.:: Securnetwork.net Blog - Massimo Rabbi ::. » Virus & Spyware

Virus hunting: la visione di Mikko Hypponen

Massimo Rabbi — Sat, 23 Jul 2011 15:10:08 +0000

Alcuni giorni fa tra i post Facebook di uno dei miei contatti, è comparso un interessantissimo talk di Mikko Hypponen, intitolato “Fighting viruses, defending the net”.
Per chi non lo conoscesse Hypponen è uno dei pezzi di grossi di F-Secure, compagnia nella quale è dal lontano 1991. Di sicuro è uno che in fatto di virus, malware e security in genere “ne sa a pacchi” per usare un’espressione.
Il talk merita veramente di essere visto, 20 minuti godibilissimi dall’inizio alla fine ad alto contenuto tecnico, ingegno e un pizzico di humor.

Gli anni passano… ma i worm restano!

Massimo Rabbi — Sun, 13 Feb 2011 18:50:06 +0000

Cos’ha di cosi’ speciale venerdi’ 11 febbraio 2011 da poco passato?
Un giorno palindromo (11022011) come molti si sono divertiti a scrivere e a dire?
No, in realtà la mia attenzione è caduta sull’articolo comparso su The Register e su come questa data costituisca il decimo anniversario dalla comparsa del famigerato worm Anna Kournikova.

Per chi non lo ricorda, fu uno dei tanti esempi di worm di quegli anni, scritto in Visual Basic Script (VBS) e che si diffondeva via mail attraverso un banale “trucchetto” di social engineering che invitava a visualizzare un’immagine della nota tennista russa.

Di sicuro non cosi’ sofisticato come il più noto Love Bug o anche I Love You, ma in grado di diffondersi a velocità doppia rispetto al suo simile rilasciato un anno prima. Fu forse l’ultimo nella sua “specie” con una simile capillarità di infezione.

Perchè val la pena ricordarlo oggi giorno, quando ormai esistono malware, spyware e rootkit in grado di nascondersi nel sistema e rendere la loro individuazione piu’ difficile che mai ai normali software antivirus?
Per il semplice fatto che fu uno dei primi esempi di virus di “successo” scritti utilizzando appositi scripting toolkit.

Il toolkit in questione VBSWG era scritto in Visual Basic e fu creato da un programmatore argentino; il worm Anna Kournikova fu invece creato, partendo proprio dal tool, da un giovane olandese identificato poi come Jan De Wit.

Oggi come dieci anni fa, la possibilità di aver accesso a toolkits di generazione, permette a persone con scarsi skill tecnici di produrre in pochissimo tempo varianti di malware in grado di provocare danni economici ingenti.
Pensiamo al caso dello Zeus e alla vasta botnet che ad esso fa capo.

APPROFONDIMENTI:
- Memories of the Anna Kournikova worm, by Sophos
- 10th Anniversary of the Anna Kournikova virus, by Symantec

Google URL Shortener nel mirino di un worm Twitter

Massimo Rabbi — Wed, 08 Dec 2010 17:29:22 +0000

Il servizio di URL shortening di Google, goo.gl, sarebbe stato utilizzato negli ultimi tempi per la diffusione di un worm Twitter.
I link incriminati finora individuati che portano alla diffusione del malware sono i seguenti: “goo.gl/R7f68″ e “goo.gl/od0az”.

I responsabili di Twitter hanno fatto sapere che non appena la diffusione del worm è stata scoperta, hanno provveduto a notificare la procedura di password reset per tutti coloro che sono stati interessati dal problema.
E’ stato anche consigliato un controllo sulle connessioni oAuth “autorizzate” per verificare la possibilità che ne siano state aggiunte alcune in maniera illecita ed eventualmente rimuoverle.

Per tutti coloro che hanno cliccato sui link sopra riportati, l’effetto è stato quello di un primo redirect verso un sito compromesso di una compagnia francese di mobili, e successivamente ad altri domini.
La cosa interessante è come il worm sembra si sia diffuso principalmente attraverso le piattaforme Twitter per dispositivi mobile.
Gerry Egan, direttore di Symantec Security Response, ha fatto sapere come gli URL malevoli in questione punti in effetti ad una copia del “Neosploit attack toolkit“.

I servizi di URL shortening non sono nuovi al fatto di essere sfruttati per questo tipo di attacchi.
Da un lato la loro utilità nel “comprimere” un URL di molti caratteri, specie quando si usano piattaforme come Twitter che impongono un limite di 140 caratteri per messaggio. Dall’altra il fatto che si prestano bene a nascondere i domini reali, rendendo cosi’ all’utente finale più difficile individuare un sito trappola.

Hon Lau, ricercatore presso Symantec, ha comunque evidenziato come alcuni servizi siano migliori di altri. Tiny.cc per esempio offre una pagina di statistiche dove chiunque può verificare il numero di click effettuati verso un particolare link e la destinazione reale dell’URL compresso. Altri invece come bit.ly, integrano dei meccanismi di blacklisting per filtrare in maniera (semi)automatizzata i tentativi di creare short link per far puntare a siti contenenti malware.

Il rootkit TDL4 sceglie la “via” di Stuxnet

Massimo Rabbi — Tue, 07 Dec 2010 20:52:50 +0000

Il rootkit TDL4 è l’ultima delle evoluzioni del famigerato TDSS, già in circolazione da un po’ di tempo.
La novità che riguarda questo malware, è che TDL4 sembra faccia uso di uno dei bug di Windows usato in precedenza da Stuxnet.

Pare infatti che il rootkit sfrutti la vulnerabilità del Windows Task Scheduler su macchine Windows 7/2008 (x86/x64) per poter installarsi senza che venga segnalato alcun messaggio dal sistema di protezione UAC.
E’ questo quello che appare nel report di Sergey Golovanov, security expert dei Kaspersky Lab.

Sembra dunque che TDL4 tenti di seguire la strada “indicata” in primis dal worm Stuxnet, di cui si è fatto un gran parlare negli ultimi tempi, soprattutto per la sua particolarità di attaccare i sistemi SCADA.
Per quanto riguarda il bug relativo al Windows Task Scheduler, il codice di exploit ad esso relativo è stato rilasciato qualche settimana fa, e quindi facilmente reperibile.

Johnny Depp is NOT dead! Occhio al malware!

Massimo Rabbi — Mon, 25 Jan 2010 15:07:33 +0000

A quanto pare la frenesia scatenata dalla morte di una celebre star è un buon modo per diffondere il malware.
E i vari cyber-criminali del pianeta lo sanno bene.
Questa volta nel mirino è finito il capitano Jack Sparrow o meglio l’attore Johnny Depp che stando alle indiscrezioni sarebbe morto in un incidente d’auto. “Peccato” che la pagina web che riporta la notizia sia falsa, una simil-CNN.
Tuttavia sembra che il rumor si sia diffuso in fretta e su Twitter non si sia parlato d’altro.

Ecco qua un video di Sophos che mostra come viene attuato l’inganno e installato il malware. Maggiori informazioni sull’accaduto sempre sul blog di Sophos.

Altro “buon” esempio di social engineering!

Conficker ora si aggiorna!

Massimo Rabbi — Thu, 09 Apr 2009 18:05:22 +0000

Trend Micro segnala che il worm Conficker.C (o Downad) ha effettivamente iniziato a scaricare gli aggiornamenti (tanto annunciati).
In ogni caso non da quei siti web che erano sotto controllo ma bensi’ attraverso la sua funzionalità P2P.
Gli esperti hanno rilevato questo comportamento osservando il traffico di rete su un sistema infetto e le modifiche alla cartella Temp di Windows.
A differenza delle altre due varianti, Conficker.C è in grado di stabilire una rete peer-to-peer con gli altri sistemi infetti e puo’ utilizzarla per scaricare ulteriori programmi e/o ricevere comandi remoti.
Stando a quanto rilevato da Trend Micro pare che questa “operazione P2P” sia in piena esplosione.

Nel caso del sistema sotto osservazione è stato rilevato il download e successiva installazione di un aggiornamento criptato da un nodo P2P in Corea.
Il worm è mutato nella variante .E, che mostra nuove caratteristiche.
In particolare tenta di cancellare le proprie tracce, eliminando voci di registro esistenti e utilizzando da quel momento in poi nomi di file e servizi in maniera random.
Il worm si mette in ascolto sulla porta TCP 5114, in attesa di richieste in grado di essere processate dal mini-server HTTP interno.
Si connette a myspace.com, msn.com, ebay.com, aol.com cnn.com al fine di verificare se c’è una connessione Internet attiva.

A quanto pare il worm sta continuando a diffondersi unicamente attraverso la vulnerabilità di Windows.
BitDefender ha fatto sapere che la nuova variante blocca l’accesso non solo al sito web di BitDefender, ma anche a quelli di numerosi security vendors che offrono tools per la rimozione di Conficker in tutte le sue varianti.

Le analisi hanno evidenziato come l’ultima versione di Downad/Conficker dovrebbe disabilitarsi il 3 maggio 2009. Non appare ancora chiaro se siano previsti ulteriori aggiornamenti prima di allora.
Alcuni esperti hanno evidenziato sporadici collegamenti a domini legati alla botnet Waledac.
Anche Symantec ha riscontrato un comportamento analogo.
Un file scaricato da Conficker (484528750.exe) si pensa contenga il bot Waledac.
Tuttavia a parte questo, finora, ne’ Trend Micro, ne’ Symantec si sono sbilanciati circa questa “interconnessione” tra Conficker e Waledac.

Sul sito di Heise Security e’ disponibile una pagina con le principali informazioni su Conficker e collegamenti a test per verificare un’eventuale infezione della propria macchina.
Vengono elencati anche i principali e piu’ importanti tools e scanners per la rimozione.

RIFERIMENTI:
- Conficker now definitely downloading updates, by Heise Security
- The H Security Conficker information site

Ricercatori tedeschi sviluppano un network scanner per individuare Conficker

Massimo Rabbi — Tue, 31 Mar 2009 20:36:52 +0000

Felix Leder e Tillmann Werner dell’università di Bonn hanno analizzato il worm Conficker e hanno scoperto che cambia il modo in cui Windows risponde ad alcune chiamate di sistema.
Questa caratteristica puo’ quindi essere sfrutta per individuare in maniera remota i sistemi che sono stati infettati dal worm.

In particolare invocando la funzione NetpwPathCanonicalize(), che contiene la vulnerabilità attraverso cui il worm si diffonde.
Quando la macchina è infetta, Conficker intercetta e gestisce le chiamate a questa funzione, modificando in alcuni casi le risposte.
Affinchè questo test abbia successo è necessario che la porta TCP 445 sia accessibile.
Tipicamente questa porta non è accessibile (e non dovrebbe esserlo) attraverso da Internet.

Leder e Werner hanno realizzato uno scanner per dimostrare la veridicità di quanto scoperto.
In collaborazione con Dan Kaminsky, hanno inoltrato l’informazione al Conficker Working Group e altri esperti di sicurezza.
In questo i tool di scansione disporranno presto di questa funzionalità: in particolare Kaminsky ha annunciato estensioni per nmap, Tenable (Nessus), McAfee/Foundstone, ncircle e Qualys.
A quanto pare domani 1 aprile Conficker.C scaricherà da Internet degli aggiornamenti al proprio codice.
Gli effetti di questi updates non sono al momento conosciuti.
Attualmente molti produttori anti-virus offrono tools specifici per rimuovere Conficker.
In ogni caso la soluzione migliore per un sistema infetto è la reinstallazione del sistema operativo e l’eventuale ripristino di una copia “pulita” dei dati di backup.

RIFERIMENTI:
* German researchers develop network scan for Conficker worm, by Heise Security
* Detecting Conficker, announcement from the Honeynet Project.
* Scanner download, a ZIP file.

Conflicker infetta il parlamento inglese

Massimo Rabbi — Sat, 28 Mar 2009 10:42:12 +0000

Giovedi’ 26 marzo, Channel 4 News ha rivelato che il sistema informatico del Parlamento britannico è stato vittima del worm Conflicker.

A parte la conferma dell’attacco subito, nessuna informazione aggiuntiva (es: durata e origine) è stata riportata dai portavoce del parlamento.
Quando è stato chiesto dai giornalisti di Channel 4 la data dell’ultimo aggiornamento del sistema antivirus della rete parlamentare, la risposta è stata un secco “no comment”.
Appare abbastanza chiaro che poichè la maggior parte dei produttori antivirus e antispyware hanno rilasciato firme aggiornate per questo malware sin da novembre 2008, gli aggiornamenti non sono stati effettuati dal personale con regolarità.
Questo fatto lascia alquanto perplessa l’opinione pubblica sulle competenze del personale IT del Parlamento.
Tuttavia la “nota positiva” è che almeno qualcuno aveva l’antivirus aggiornato visto che Conflicker è stato rilevato.

Alla scoperta dell’attacco è stata inviata una mail a tutto lo staff parlamentare con un testo del genere: “Chiediamo dunque che, se si sta utilizzando un PC o computer portatile non autorizzato ad essere connesso alla rete, venga immediatamente disconnesso”.
A quanto pare non è un fenomeno tanto strano (e sconosciuto) che vengano collegate delle macchine prive di autorizzazione, controlli antivirus o firewall.

Qualcuno ha suggerito che l’attacco del worm possa essere in qualche modo legato al summit G20 che si terrà nella città di Londra la prossima settimana.
Pare infatti che il codice di Conflicker contenga una particolare data di attivazione per il 1 aprile, giorno in cui il creatore della botnet dovrebbe prenderne controllo per non si sa quale scopo.

RIFERIMENTI E APPROFONDIMENTI:
* Conficker infects UK parliament: news by Heise Security
* Worth Reading: An Analysis of Conficker-C, by Heise Security.
* Tools to remove Conficker, report by Heise Security.
* Conficker modified for more mayhem, report by Heise Security.

Problemi di sicurezza per numerosi antivirus

Massimo Rabbi — Mon, 22 Dec 2008 13:04:47 +0000

Secunia e IVIZ Techno hanno pubblicato degli advisories riguardanti alcuni virus scanners.
Un controllo ActiveX vulnerabile dello scanner online Trend Micro HouseCall puo’ consentire di infettare un pc semplicemente visitando un sito web malevole.
Il problema è stato riscontrato nelle versioni House Call 6.51.0.1028 e 6.6.0.1278.
Gli utenti dovrebbero rimuovere il file Housecall_ActiveX.dll e visitare nuovamente il sito web House Call cosi’ da installare la versione piu’ recente 6.6.0.1285.

ESET Smart Suite per Windows è invece interessata da un problema riguardante il driver epfw.sys: sarebbe possibile ottenere i privilegi di sistema utilizzando particolari richieste IOCTL.
E’ già stato rilasciato un aggiornamento che fixa il problema.

Per quanto riguarda AVG per Linux è stata riscontrata una falla nel parsing dei pacchetti UPX che potenzialmente puo’ essere usata per code injection exploits.
La versione interessata è la 7.5.51 e non c’è alcuna patch disponibile al momento.
Problemi anche per la versione linux di BitDefender che soffre di integer overflows in fase di analisi di binari PE corrotti compressi con i packers Neolite o ASProtect.
In questo caso pero’ la casa madre ha già fixato il problema nelle versioni successive alla 7.6.0825.
Sempre in ambito Linux problemi di crash per Sophos SAVScan 4.33.0 che nella scansione di alcuni tipi di file compressi (con i packers Armadillo, ASProtect, asprotectSKE, CAB).
A quanto pare sono stati risolti i problemi con i file .CAB ma non con gli altri.
A chiudere la lista una vulnerabilità in Avast per Linux v1.0.8 (trial) già eliminata nelle successive (disponibile per il download la 1.2.0).

Ulteriori informazioni:
- Vulnerabilities in several virus scanners by Heise Security
- Trend Micro HouseCall “notifyOnLoadNative()” Vulnerability, Secunia advisory
- Bitdefender antivirus for Linux multiple vulnerabilities, iViZ advisory
- ESET Smart Security (epfw.sys) Privilege Escalation Vulnerability, NT Internals advisory
- Sophos Anti-Virus fuzzed CAB archive vulnerability reported; Sophos advisory
- Sophos Antivirus for Linux, iViZ advisory
- AVG antivirus for Linux, iViZ advisory
- Avast antivirus for Linux multiple vulnerabilities, iViZ advisory

AVG e il caso di falso positivo aaaamon.dll

Massimo Rabbi — Wed, 20 Aug 2008 21:32:47 +0000

Anche se ormai in rete gli utenti AVG troveranno miriadi di topic e post a riguardo volevo scrivere a riguardo anche io, visto che ci ho sbattuto il naso contro proprio stamattina appena arrivato al lavoro.
Ore 9.15 circa, dopo il login apro thunderbird per controllare la posta e vedo che AVG 8 mi fa comparire un popup che indica la presenza di un file infetto. Nella fattispecie il file aaaamon.dll sembra essere infetto da un trojan: “Trojan Horse Patched_c.yl“.
Dapprima il messaggio riguarda il file
C:\windows\system32\aaaamon.dll
e di lì a pochi secondi vedo comparire un secondo avviso per il file
C:\windows\system32\dllcache\aaaamon.dll
Alquanto sorpreso dalla cosa, visto che la sera prima dopo aver installato i classici aggiornamenti del Windows, ero “passato” per le cartelle di sistema senza notare il minimo messaggio, comincio a cercare informazioni su Internet.
Dapprima una “googlata” alla ricerca di info sul file e poi sulla possibilità di un falso positivo.
Avuta conferma che si tratta di un file effettivamente di sistema e che è sconsigliabile rimuoverlo, “pena la stabilità del sistema”, non ho trovato alcuna segnalazione circa la possibilità di un falso positivo.
Quando anche alla mia collega Sara compare lo stesso messaggio (lei pero’ ha installato AVG 7.5) comincio ad avere sempre piu’ il sospetto si tratta di una “svista” dell’antivirus.
Chiedo lumi al buon Vittorio che mi dice che lui non ha notato alcun messaggio avendo installato Nod32.
Procedo quindi ad un compare della sua dll con la mia e sono perfettamente identiche.
Certezza quasi al 99%.
Solamente verso metà mattinata ho visto comparire su Internet i primi post a riguardo.
Qui sotto trovate il link alla KB su sito italiano di AVG con le indicazioni su come comportarsi a riguardo in attesa del rilascio di una patch (non ho ancora avuto di controllare se è già stata rilasciata).

RIFERIMENTI:
- Segnalato falso positivo in file aaaamon.dll, report sul sito di AVG.it

Antivirus Rescue CDs: Avira, Kaspersky, BitDefender e F-Secure

Massimo Rabbi — Sun, 27 Jul 2008 11:16:26 +0000

Quella che vado a segnalare oggi è una lista di 4 rescue disk rilasciati gratuitamente da alcune delle piu’ famose firme nel campo degli Antivirus: per l’appunto Kaspersky, BitDefender, F-Secure e Avira.
Questi tipo di cd possono tornare decisamente utile nel caso ci si trovi di fronte a un sistema non piu’ bootabile o cmq altamente instabile (esempio continui crash del processo explorer.exe, la shell di windows).
La procedura è abbastanza semplice:
1. Download della .iso dal sito del produttore
2. Masterizzazione su supporto CD-R o CD-RW
3. Boot da CD
4. Eventuale update online con le ultime firme se previsto dalla versione (non tutti supportano questa features)
5. Scansione e rimozione di antivirus e malware vari

Ogni rescue cd ha i suoi pro e i suoi contro. Il fatto poi di essere “affezzionato utente” dell’uno o dell’altro puo’ sicuramente portare a scegliere su basi personali.
E’ bene quindi chiarire alcune cose fondamentali:
- Kaspersky è sicuramente uno dei migliori antivirus sul mercato (personalmente utilizzo KIS 2009) tuttavia gli aggiornamenti del rescue cd non sono cosi’ frequenti e non c’è un sistema di update automatico
- Avira in base alle classifiche dei vari test antivirus (es: AV-Comparatives) risulta essere da un po’ di tempo a questa parte sempre tra le prime posizioni, molto spesso poco prima o poco dopo Kaspersky in fatto a percentuale di rilevamento. Vengono rilasciate versioni sempre aggiornate (anche su base giornaliera) del del rescue cd tuttavia non è pensabile masterizzare ogni volta un nuovo cd.
- Le soluzioni di BitDefender e F-Secure invece utilizzano un ottimo sistema di update che all’avvio tenta di recuperare basi aggiornate dal sito produttore sfruttando la presenza di una connessione di rete. Le nuove firme eventualmente scaricate vengono salvate in RAMDISK.

E’ abbastanza evidente che i piu’ “completi” risultano essere proprio i rescue disk di BitDefender e F-Secure. A voi comunque la scelta e come si suol dire la “prova su strada”!

Questi i link per scaricare le immagini dei rispettivi CD:
- Avira AntiVir Rescue System: download iso
- BitDefender RescueCD v2: download iso
- F-Secure Rescue CD 3.00: download iso
- Kaspersky KAV Rescue 2008: download iso

AVG Free 8.0 italiano: un milione di download in un solo mese!

Massimo Rabbi — Fri, 18 Jul 2008 17:36:42 +0000

AVG Technologies, produttore dell’omonimo software per la sicurezza su internet, annuncia che il suo prodotto, AVG Free 8.0, è stato scaricato da più di un milioni di utenti italiani attraverso www.html.it nel giro di un solo mese, dal 14 giugno al 14 luglio 2008.

AVG Free risulta così l’applicazione più scaricata in assoluto in un periodo di tempo così breve (v. http://download.html.it). Da aprile, quando è stato lanciato il prodotto in inglese sul mercato, gli italiani che lo hanno scaricato da html.it sono circa 3.300.000.

L’altissimo numero di download raggiunto conferma quanto AVG sia davvero apprezzato dagli utenti. AVG Free è il software più scaricato su html.it tra il 14 Giugno e il 14 Luglio 2008. Solo un altro anti-virus è presente nella top-ten del sito. Si tratta di Avast, che occupa la nona posizione e che raggiunge solamente il 20 per cento dei download registrati da AVG nello stesso periodo.

AVG Free offre protezione di base contro virus e spyware, insieme alla componente di navigazione sicura fornita dalla tecnologia brevettata da AVG LinkScanner®. La versione free non include la componente di navigazione sicura proattiva, che fa parte del modulo completo di LinkScanner® e si può trovare invece inclusa nei prodotti AVG destinati al commercio. AVG Free non fornisce inoltre protezione contro hackers, keyloggers, spam, attacchi di phishing e download di file infetti.

Ulteriori dettagli e informazioni sui prodotti AVG sono reperibili sul sito www.avg.it.

AVG Free 8.0 è realizzato per l’utilizzo personale e non commerciale su singoli computer che supportano Windows 2000, XP o Vista ed è attualmente disponibile in inglese, giapponese e italiano. Sebbene AVG Technologies non offra supporto per l’utilizzo di AVG Free 8.0, l’azienda ospita un sito web e un forum per favorire la diffusione del supporto fornito da parte degli utenti, all’indirizzo http://free.avg.it (che è assimilabile a free.avg.com per questioni di corporate appearance).

FONTE: Comunicato stampa di AVG Technologies

Allerta virus per i fan di Homer Simpson

Massimo Rabbi — Sun, 13 Jul 2008 10:00:41 +0000

Alcuni anni fa (nel 2003) molti fans dei Simpons alla loro lista dei contatti AIM aggiunsero “Chunkylover53″ dopo aver saputo che il produttore dello show rispondeva online alle domande degli spettatori facendo le veci di Homer e usando l’account “Chunkylover53@aol.com”.
Lo screen name è rimasto inattivo sin da allora, fino a quando qualche giorno fa il messaggio “away” (non al computer) di Chunkylover53 è apparso indicando la possibilità di vedere in anteprima su Internet una nuova puntata dei Simpsons.
Naturalmente non esiste alcun video. Si tratta chiaramente di un file .exe infetto che una volta eseguito installa un Trojan trasformando la macchina in uno zombie pc appartenente ad una botnet turca, stando a quanto dichiarato da FaceTime.

FONTE:
- Homer Simpson and the Kimya Botnet, by FaceTime Security Labs Blog

In arrivo le nuove tecniche per i rootkits

Massimo Rabbi — Sat, 17 May 2008 10:58:47 +0000

In occasione dei prossimi convegni sulla computer security, vari hackers/security researchers stanno preparando il proprio materiale in tema di rootkits.
Sebastian Muñiz di Core Security ha sviluppato un rootkit per i router Cisco e sta pensando di presentarlo all’EuSecWest Conference che si terrà a Londra il 21 e 22 di maggio.
Sherri Sparks e Shawn Embleton di Clear Hat Consulting sfruttano un operational mode poco conosciuto dei processori Intel per nascondere il codice. Il loro lavoro sarà presentato alla conferenza Black Hat USA 08 il 6-7 agosto al Caesars Palace Hotel and Casino di Las Vegas.

Il rootkit sviluppato da Sparks e Shawn usa il System Management Mode (SMM) dei processori Intel per nascondere in memoria un key logger.
Il System Management Mode è pensato per individuare e reagire a eventi di sistema come errori della memoria e del chipset, estendendo le funzionalità della scheda madre e gestendo il controllo della temperatura e dell’alimentazione.
SMM è implementato su tutti i moderni processori x86 e x64, inclusi quelli prodotti da Via e AMD.
Il sistema operativo non è in grado di interrompere una chiamata SMM.
Quando il processore riceve un System Management Interrupt (SMI) non-maskable, viene sospesa l’esecuzione del s.o. stesso e dei programmi, salvato lo stato della macchina, ed eseguito il codice da una zona di memoria privilegiata e nascosta.
Uno dei pericoli è che il codice non può accedere alcun drivers del sistema operativo in modalità SMM, ma deve “dialogare” direttamente con l’hardware.

Alla CanSecWest Conference del 2006, Loic Duflot ha presentato un articolo in cui mostra come i superusers possano innalzare i propri privilegi grazie a SMM su un sistema OpenBSD. Al tempo pero’ non fu reso pubblico alcun rootkit per SMM.

Il rootkit per l’IOS Cisco sviluppato da Sebastian Muñiz di Core Security Technologies presumibilmente gira su diverse versioni del sistema operativo.
Un attaccante deve prima di tutto ottenere l’accesso alla macchina che vuole compromettere, magari mediante una vulnerabilità nota (della particolare versione) e code injection.
Il codice viene quindi memorizzato nel firmware e immediatamente eseguito una volta che il device viene riavviato.
Apparentemente, i router Cisco possono essere controllati e monitorati senza che nessuno se ne accorga.
Muñiz ha già fatto sapere che non rilascierà il codice sorgente per questo rootkit.

Preoccupante inoltre come recentemente, l’FBI abbia individuato moduli e appliances Cisco piratati, utilizzati dal governo e dai militari. L’ipotesi alquanto preoccupante è che qualcuno stia già utilizzando questi devices per scopi di spionaggio.
Il rootkit di Muñiz potrebbe dimostrare come questo pericolo non sia solamente teorico, ma effettivamente reale, anche Cisco non ha individuato nulla di anomalo nei dispositivi sequestrati dall’FBI.

Va ricordato a riguardo quanto successe in occasione del Black Hat 2005, quando Michael Lynn parlò di alcune vulnerabilità dei router Cisco che consentivano l’injection e l’esecuzione di codice malevole.
Cisco scatenò l’inferno tentando di impedire a Lynn di fare la presentazione, addirittura intentandogli causa.
L’avvocato Jennifer Granick di Electronic Freedom Foundation (EFF), che rappresentò Lynn nel caso contro Cisco, avverte che la cosa potrebbe ripetersi, con Cisco che potrebbe intentare causa contro Muñiz per violazione di segreti commerciali.
A quanto pare però Muñiz non sembra molto preoccupata dalla cosa visto la brutta figura che ci fece Cisco nel 2005.
Dice infatti: “Cisco si definisce come una società molto vicina e amichevole nei confronti di chi svolge ricerca… Ci penseranno bene prima di intentare un’azione legale.”.

FONTI:
* Security Researcher to release Cisco rootkit at EUSecWest, news sul blog di Nathan McFeters
* A New Breed of Rootkit: The System Management Mode (SMM) Rootkit, annuncio della presentazione di Shawn Embleton e Sherri Sparks al BlackHat USA 08
* Hackers present new rootkit techniques, by Heise Security

Spybot Search&Destroy ora anche anti-rootkit!

Massimo Rabbi — Thu, 20 Mar 2008 22:52:02 +0000

I creatori del noto software anti-spyware SpyBot Search&Destroy si son dati da fare e hanno realizzato un aggiornamento sotto forma di plugin che consente di cercare e individuare eventuali rootkits.
Il tool può essere eseguito anche come programma standalone.

RootAlyzer, questo il nome del software, è ancora in fase di sviluppo ma può essere scaricato gratuitamente dal forum di Spybot Search&Destroy. Agisce controllando il registro, il file system e i processi in esecuzione alla ricerca di incoerenze e utilizzi sospetti di chiamate di sistema di vario tipo e API Win32 (possibile segnale di rootkits “a bordo”).

Per effettuare il download del programma cliccate qui.

RIFERIMENTI:
- L’annuncio sul sito di Spybot Search&Destroy
- Spybot Search&Destroy learns to sniff out rootkits, by Heise Security

Scoperto un database con più di 8000 account ftp rubati

Massimo Rabbi — Sat, 01 Mar 2008 10:01:56 +0000

La società di sicurezza Finjan ha scoperto sul web un database contenente all’incirca 8700 account ftp rubati e appartenenti a siti web, alcuni dei quali di “alto profilo”: società governative, servizi finanziari, fornitori tecnologi e industriali oltre a vari security vendors.
La maggior parte appartiene a organizzazioni dislocate negli Stati Uniti e Russia, con l’Australia e i paesi asiatici del pacifico al secondo posto.

Il database sembra sia stato ricavato mediante l’uso di Neosploit versione 2, uno fra i numerosi toolkits automatici che facilitano attacchi di tipo iframe injection sui server web per la distrubuzione di trojans.
Di origine chiaramente russa il software è caratterizzato da una interfaccia utente ben realizza che include anche un “servizio statistiche”.

Nel suo “Malicious Page of the Month” di febbraio, Finjan descrive in maniera approfondita il “crimeware tool”, incluso un componente chiamato FTP-Toolz pack 2.7, che in aggiunta ad installare iframes, può importare e esportare liste di account da database come quello scoperto di recente.

APPROFONDIMENTI:
- Over 8000 ftp credentials found on crimeware database, by Heise Security
- Malicious Page of the Month – February 2008, report by Finjan

Anche Linux nel mirino delle botnets

Massimo Rabbi — Sun, 17 Feb 2008 14:33:05 +0000

Il fatto che Windows sia il sistema sicuramente più diffuso è dato di fatto, così come che la maggior parte del malware e dei virus sviluppati dai vari crackers abbia come target piattaforme Microsoft, Vista o Xp che sia.
Spesso si scatenano su forum, blog, siti tecnici o meno vere e proprie guerre di religione tra i vari “taleban linux” e “taleban windows”.
Gli uni a sostenere Windows è meglio di Linux perchè blablabla, gli altri viceversa a dire Windows è una ciofecca usate Linux se volete essere dei “veri fighi”, superprotetti da qualsiasi minaccia.
Quello che penso è che non esiste un sistema operativo che possa definirsi “MIGLIORE” di altri, ognuno nel bene e nel male ha i suoi pregi e difetti.
Per motivi di lavoro uso Windows XP (in particolare) quasi tutto il tempo. Ai tempi dell’università ho smanettato parecchio con Linux, in tutte le varie salse: anche qui sul numero di distribuzioni Linux che prolificano si potrebbe aprire un dibattito.
Così come mi diverto ogni tanto a provare le varie security-distro Backtrack, Hakin9, Helix, Phlak e chi più ne ha più ne metta, anche se ormai il tempo è quello che è. Ho installato e mantenuto un serverino a casa con OpenBSD 3.9 per alcuni mesi, fino alla rottura di un disco
L’indole da smanettone ti porta poi a provare anche s.o. non troppo diffusi: il mitico QNX o il buon vecchio BeOS (ora rimpiazzato da Haiku).
Di tutti quanti ti fai un’impressione, a volte più o meno superficiale per questioni di tempo o per via di un primo impatto non troppo positivo.

Quando ho letto questa news su Heise Security riguardo il moltiplicarsi di macchine Linux che “entrano a far parte” delle cosiddette botnets, un po’ mi è venuto da sorridere.
Pensavo a come molto spesso si decanti tanto la superiorità di Linux (per carità molto spesso a ragione), e poi si legga come una backdoor (Linux/Rst-B backdoor) di ben 6 anni fa sia il motivo principale del problema.
L’indagine realizzata da Sophos evidenzia come stia aumentando il numero di Linux servers che vengono infettati e diventino a tutti gli effetti zombies pc nelle mani di crackers sparsi nel globo pronti ad utilizzarli come nodi per gli attacchi più svariati (spam, DDoS, etc.).
Come suggerisce l’articolo già solo il fatto di avere anche su Linux installato un antivirus basterebbe ad evitare tutto ciò, visto che la vulnerabilità in questione è individuabile da tutti gli antivir in circolazione.
Tra quelli free ricordiamo:
* Avira: Avira AntiVir PersonalEdition Classic
* AVG Technologies (formerly Grisoft) AVG Anti-Virus Free Edition 7.5 for Linux
* Avast: avast! Linux Home Edition Download
* F-Prot: F-PROT Antivirus for Linux Workstations
* ClamAV: Clam AntiVirus

La verità è quella racchiusa in una frase che fa il giro della rete da anni e che sembra estratta da un vecchio proverbio: “l’unico sistema sicuro è quello spento“.
D’altronde anche Windows può essere reso un po’ più sicuro in pochi passaggi:
- lavorare sempre e cmq con un account non privilegiato, si puo’ fare tutto dal programmare al giocare
- installare un buon firewall e antivirus
- installare un paio di tools per la rilevazione di spyware e malware
Ci vuole poi cosi’ tanto?

APPROFONDIMENTI:
* Sophos: Linux machines hijacked for botnets, by Heise Security
* Botnets, a free tool and 6 years of Linux/Rst-B, blog entry by Sophos
* Botnet study: bots spread through old loopholes

StopBadware classifica RealPlayer come “badware”

Massimo Rabbi — Sat, 02 Feb 2008 17:24:59 +0000

A quanto pare recentemente (28 gennaio scorso) StopBadware, l’iniziativa creata da varie società IT e istituzioni, ha classificato il noto software RealPlayer come “badware”.
Questo nomignolo viene affibiato a tutti quei software come spyware, adware e malware di vario tipo che “spiano nel tempo” la navigazione degli utenti (tracciandone le abitudini), generano una miriade di finestre popup contenenti pubblicità e nei casi peggiori addirittura tentano di intercettare le password memorizzate sui computer infetti.

Il motivo per cui StopBadware ha classificato RealPlayer 10.5 come badware è perchè il software in questione non espone in maniera chiara all’utente finale che viene installato anche un adware. Il componente pubblicitario è il cosiddetto RealPlayer Message Center. L’EULA (End User License Agreement) per RealPlayer indica che questo componente fornisce aggiornamenti importanti/utili. In realtà Message Center continua a mostrare un fastidioso avviso se gli utenti non registrano i propri dati personali creando un account su RealNetworks.

RealPlayer 11 dal canto suo non informa l’utente che il player Rhapsody (utile per l’online music store di RealNetworks) viene installato, ma non rimosso quando si va ad effettuare la disinstallazione del prodotto.
Nessun avviso ne’ in fase di installazione, ne’ in fase di disinstallazione avverte l’utente del legame che c’è tra RealPlayer e il Rhapsody Player.

Attualmente la versione 10.5 viene installata anche attraverso il Mozilla Plugin Finder, mentre la 11 è disponibile per il download direttamente sull’homepage di RealPlayer.
StopBadware sconsiglia quindi vivamente l’installazione di questo software e in particolare di queste versioni fino a quando RealNetworks non risponderà alla segnalazione rilasciando una versione pulita del proprio programma.

In alternativa è possibile usare VLC Mediaplayer per ascoltare musica in formato RealMedia, prestando però attenzione ai data stream RTSP visto che il software soffre ancora di un bug scoperto qualche settimana fa.
Altra possibilità è l’uso di Real Alternative, player che incorpora i codec RealPlayer, tuttavia senza il permesso di RealNetworks.
Risulta evidente che si tratta di una soluzione non propriamente legale

RIFERIMENTI:
- StopBadware initiative rates RealPlayer as “badware”, by Heise Security
- RealPlayer, report by StopBadware

Pubblica la beta di AVG 8

Massimo Rabbi — Tue, 22 Jan 2008 21:06:39 +0000

Grisoft ha reso disponibile e scaricabile a tutti la beta della nuova versione di AVG, la 8 per l’appunto.
Il software a quanto dichiarato offre nuove funzionalità e sembra sia stato riscritto quasi completamente.
AVG 8 si presenta con una nuova interfaccia.

Le nuove features includono un modulo per il controllo web e per il traffico di instant messaging, il filtro per gli script LinkScanner sviluppato dalla neo-acquisita Exploit Prevention Labs, e un componente anti-rootkit.
Il nuovo motore di scansione si presuppone abbia migliorato l’euristica e le capacità di individuare nuovi virus.
Migliorata a quanto si dice anche la velocità e diminuito il consumo di risorse.
Nonostante l’interfaccia sia stata pensata per rendere più semplice l’accesso alle varie funzioni per gli utenti meno esperti, è ancora possibile accedere dal menu alle funzionalità avanzate.
Per dare uno sguardo da vicino alla nuova versione è sufficiente registrarsi e scaricare la beta.
Le versioni supportate di Windows sono Windows 2000,2003,XP,Vista e le versioni 64-bit di XP, Vista, 2000 Server, 2003.
AVG 8 beta rimarrà disponibile per il download fino al 1 marzo 2008.

RIFERIMENTI:
- Public beta for AVG 8: news by Heise Security
- Download AVG 8 beta (necessaria registrazione)

Disponibile la beta di Norton 360 V2

Massimo Rabbi — Fri, 21 Dec 2007 13:57:39 +0000

Symantec ha reso disponibile la beta di Norton 360 Versione 2.
La suite di sicurezza all-in-one è costituita dai seguenti moduli: antivirus e antispyware, personal firewall, intrusion prevention, anti-phishing. E’ inoltra inclusa anche una funzionalità di clean-up del sistema operativo e un modulo per il backup.

Nella versione 2, sono stati introdotti componenti addizionali come il Browser Defender che in Internet Explorer tenta di identificare e prevenire i tentativi di installazione automatica di malware. Presente anche un gestore di passwords per memorizzare i propri account e per la compilazione assistita/automatica durante la navigazione.
E infine stando a quanto dichiarato la funzionalità di backup sarebbe ora in grado di creare copie su dischi Blu-ray e su iPod.

La fase di beta sembra durerà per circa 4 settimane.
La versione finale dovrebbe comparire dopo poche settimane, il tempo di ultimare gli ultimi fixing e processi minori come la localizzazione.

LINK PER IL DOWNLOAD: Norton 360 V2 Beta

Aggiornamento di sicurezza per avast! antivirus

Massimo Rabbi — Sat, 08 Dec 2007 09:32:34 +0000

Alwil ha rilasciato di recente un aggiornamento per il proprio engine di scansione avast! in modo da correggere almeno due bugs di sicurezza.
L’engine antivirus utilizzato in versioni precedenti alla 4.7.1098 di avast! 4 Home e Professional edition è vulnerabile a potenziali attacchi che prendano di mira l’unpacker per file .tar e .rar.
Stando al report almeno nel caso della vulnerabilità riguardante i file .tar, aprire una mail “infetta” o visitare un sito appositamente modificato è sufficiente per incappare nel bug e vedere il proprio sistema compromesso.

Ad ogni modo gli utenti avast! dovrebbero aver già ricevuto la versione aggiornata 4.7.1098 attraverso il sistema di automatic update.
Detto questo, esistono pero’ altri software che utilizzano il motore avast! ma non è chiaro se utilizzino gli unpackers di avast! oppure i propri.
Un esempio sono GDATA AntiVirusKit 2007 e 2008 che utilizzano l’engine avast e sono di conseguenza anch’essi vulnerabili. Anche GDATA sta pensando di distribuire un aggiornamento tra il sistema di update automatico.

RIFERIMENTI:
* Security update for avast! anti-virus, by Heise Security
* Version 4.7.1098, avast! 4 Home/Professional revision history
* Avast! AntiVirus TAR Processing Remote Heap Corruption, security advisory from Nevis Labs

Apple patcha il bug dei file TIFF in iPhone

Massimo Rabbi — Tue, 13 Nov 2007 23:30:27 +0000

Apple ha rilasciato l’aggiornamento firmware 1.1.2 per l’iPhone e iPod Touch, che corregge le falle scoperte nella libreria TIFF, usate dai possessori di iPhone per eseguire codice di terze parti e personale.
Una volta installato da iTunes, l’aggiornamento impedisce l’esecuzione di codice di terze parti sfruttando files TIFF manipolati.
La falla è stata sfruttata in alcune occasioni da utenti malintenzionati per fare injection di codice arbitrario sul dispositivo.

Gli utenti iPhone desiderosi di far girare le proprie applicazioni personali dovranno attendere ora il rilascio del Software Development Kit (SDK), in programma per febbraio 2008.
Detto questo sono pero’ in circolazione su internet nei vari siti e forum dedicati, le istruzioni su come installare l’aggiornamento senza perdere la possibilità di far girare codice di terze parti (vedi Unofficial Apple Weblog).
L’aggiornamento è invece una priorità di sicurezza per tutti coloro che usano l’iPhone o l’iPod Touch per navigare su Internet.

LINKS:
- About the security content of iPhone v1.1.2 and iPod Touch v1.1.2 Updates, Apple’s security advisory
- Apple closes TIFF hole in iPhone, news by Heise Security

Vulnerabilità per il controllo ActiveX di Kaspersky Online Scanner

Massimo Rabbi — Sun, 14 Oct 2007 10:02:09 +0000

I Kaspersky Lab hanno rilasciato una versione aggiornata del proprio controllo ActiveX che viene installato sul pc degli utenti che usano il Kaspersky Online Scanner.
La nuova versione del componente (kavwebscan.dll) è la 5.0.98.0 e risolve alcuni bug critici che possono essere sfruttati per eseguire codice arbitrario, per esempio quando un ignaro utente sta visitando un sito web, appositamente modificato, con Internet Explorer.

Stando all’advisory pubblicato da iDefense, la vulnerabilità è dovuta ad errori format string in svariate funzioni del controllo.
L’esistenza di una vulnerabilità è stata confermata nella versione 5.0.93.0, ma è probabile interessi anche versioni precedenti.
Per controllare la versione installata sul proprio pc, è possibile controllare direttamente nella cartella
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner
Nel caso la versione dell’ActiveX non venga mostrata direttamente nel filename è possibile, previo click col tasto destro sull’icona, analizzare il tab “Proprietà”.
Il consiglio è che chiunque utilizzi l’Online Scanner aggiorni immediatamente il controllo.
Per installare l’ultima versione è sufficiente lanciare lo scanner. Un’altra opzione è naturalmente quella di cancellare la dll vulnerabile.

LINKS:
- Kaspersky Lab announces the release of a new version of its free Kaspersky Online Scanner
- Kaspersky Web Scanner ActiveX Format String Vulnerability, iDefense Advisory
- Kaspersky Online Scanner installed vulnerable ActiveX control , by Heise-Security

Malware che cancella i file .mp3

Massimo Rabbi — Thu, 02 Aug 2007 22:15:11 +0000

E’ stato scoperto di recente un nuovo tipo di worm, che tenta di cancellare tutti i file MP3 che riesce a individuare all’interno del pc di un utente.
Per fare ciò il worm, chiamato W32/Deletemp3.worm (McAfee), W32.Deletemusic (Symantec) o Win32/AutoRun, si comporta in maniera molto simile a W32/Napir-B, che salì alla ribalta verso la metà del 2005.

Una volta infettato il sistema,Deletemp3, che è stato programmato in Delphi, si aggiunge nell’autostart di Windows in maniera da potersi riattivare ogni qualvolta il pc viene riavviato.
McAfee fa notare come, poichè i percorsi del programma sono fissi, il worm non funziona correttamente in Windows 2000.
Disattiva inoltre il Task Manager e il menu contestuale per le cartelle in Windows Explorer.
Fatto questo procede a cancellare tutti gli mp3 che individua sul disco.
Per propagarsi inoltre, Deletemp3 crea i files autorun.inf e csrss.exe su tutti gli eventuali hard-disk da E: a O:.
Con i dispositivi rimovibili infatti il malware viene eseguito in maniera automatica sfruttando l’autorun, ad esempio inserendo una chiavetta usb infetta.
Il livello di diffusione del virus è tuttavia molto basso e la maggior parte degli antivirus già dispongono delle firme per individuarlo.

LINKS:

W32/Deletemp3.worm, Malware description from McAfee
New malware deletes MP3 files , news su Heise Security

Kaspersky anti-phishing zoppica

Massimo Rabbi — Wed, 25 Jul 2007 09:28:39 +0000

Questa mattina quando ho aperto iTunes per far partire alcuni .mp3 il buon vecchio KIS ha attivato il suo filtro anti-phishing segnalandomi che si stava tentando di instaurare una connessione con un sito http “malevole”.
Al che la cosa mi è sembrata strana. Sul primo momento ho pensato potesse trattarsi di un qualche malware che avesse infettato e “modificato” itunes, per cercare di fregare username e password degli utenti iStore.
In realtà la spiegazione è ben piu’ semplice: si tratta di un semplice falso positivo.
Infatti il mio passo successivo è stato andare a controllare sul forum di kasperksy se qualcuno aveva avuto problemi analoghi, visto comunque che il problema si è presentato oggi per la prima volta.
In effetti più di un utente ha postato a riguardo.
Relativamente al dubbio espresso da un utente riguardo al fatto che l’URL bloccato contenga la stringa “edgesuite.net” che farebbe pensare ad un ipotetico fake URL, posso solo dire che cercando su Google si legge come Edgesuite sia una delle tecnologie fornite da Akamai.
Per chi non conoscesse Akamai, si tratta di una società con una enorme rete di servers distribuita su tutto il pianeta in una settantina di paesi e che viene sfruttata da moltissime mega-aziende del calibro di Microsoft, Google, Yahoo e Apple appunto, per velocizzare la distribuzione di contenuti audio, video e file in generale.
In pratica i servers Akamai fanno da mirrors in maniera perfettamente trasparente all’utente, e cosi’ mentre siamo convinti di scaricare dal sito della Microsoft l’ultimo service pack, in realtà lo stiamo scaricando da uno dei servers Akamai sparsi in giro per il globo.
Qualche info in più su Akamai potete trovarla sul loro sito web e anche su Wikipedia.
Ecco qui l’immagine dell’allarme phising di KIS.

Detto questo si puo’ stare tranquilli, si tratta solo di aggiornare l’antivirus.
Alle ore 11.26 ho effettuato l’update e il problema non esiste più
Un caso analogo di falso positivo mi era successo con Skype che dalla Difesa Pro-Attiva veniva individuato come keylogger.

Problemi di sicurezza per i software antivirus

Massimo Rabbi — Mon, 16 Jul 2007 08:19:56 +0000

I prodotti antivirus ClamAV e AVG contengono alcune vulnerabilità che possono essere sfruttate per eseguire attacchi di tipo DoS (Denial-of-Service) o consentire l’escalation di privilegi di utenti locali.
Nel frattempo, Microsoft ha rilasciato una beta gratuita del proprio prodotto di sicurezza Live OneCare 2.0.

Stando ad un advisory di Metaeye Security, il processing di file RAR corrotti comporta una null pointer dereference, che porta al crash del software ClamAV.
Gli sviluppatori del prodotto hanno rilasciato la versione 0.91, che fixa il bug.

Per quanto riguarda AVG, il kernel driver avg7core.sys soffre di problemi nella fase di processing degli IRPs (interrupt request packets): il risultato è la possibilità per gli utenti di sovrascrivere spazi di memoria del kernel ottenendo i privilegi di SYSTEM.
Il produttore Grisoft ha fornito delle versioni patchate già disponibili per il download in modalità manuale e automatica.

Nella versione OneCare 2.0 beta rilasciata da Microsoft c’è una particolare attenzione per le reti casalinghe. Mentre la versione 1.5 garantiva l’utilizzo di fino ad un massimo di 3 utenti concorrenti, la versione 2.0 fornisce una funzionalità che consente ad un computer di gestire anche tutti gli altri clients.
Questo per esempio consente di gestire in maniera centralizzata gli updates dei sistemi client, restando sempre aggiornati sulla status di sicurezza dei pc controllati.
Gli utenti del software inoltre possono comprare una spazio di storage online per salvare i propri backup in Windows Live Folders.

RIFERIMENTI:

Clam AntiVirus RAR File Handling Denial Of Service Vulnerability, security advisory by Metaeye Security

Arbitrary kernel mode memory writes in AVG, security advisory by NGSSoftware

Download of Microsoft’s Live OneCare 2.0 beta version

Download of the current ClamAV version

Security holes in antivirus software by Heise Security

Arrestato in Spagna autore di virus per cellulari

Massimo Rabbi — Mon, 25 Jun 2007 11:59:14 +0000

La polizia spagnola ha proceduto all’arresto di un 28enne sospettato di aver creato e distribuito un virus a più di 115.000 telefoni cellulari.
Le agenzie di stampa spagnola riportano che la polizia era sulle tracce del sospetto da ben 7 mesi.
Si tratta del primo arresto effettuato in Spagna con un’accusa di questo tipo.

Stando agli investigatori il virus infetta unicamente cellulari con il bluetooth attivato e che montano un sistema operativo Symbian.
Il virus sembra si diffondesse sotto forma di MMS dall’ipotetico contenuto erotico, o a seconda dei casi riportando informazioni sportive o addirittura del software antivirus.
La polizia ha affermato che gli effetti del virus hanno provocato danni per circa sette milioni di euro.

Server Aruba sotto attacco: siti web italiani nel mirino!

Massimo Rabbi — Tue, 19 Jun 2007 08:45:38 +0000

In questi ultimi giorni sui blog e sui siti web più disparati, non si è fatto altro che parlare del massiccio attacco subito da numerosi siti web hostati su server Aruba.
Il modus operandi rispecchia in pieno quanto avvenuto lo scorso mese per i sistemi di Hosting Solutions.
L’intrusione ha infatti consentito a degli attacker di modificare le pagine web di svariati siti web inserendo un IFRAME che effettuasse il redirect degli utenti verso siti web contenenti malware.
Di seguito riporto il link a tre articoli che spiegano molto bene l’accaduto:
- Server Aruba sotto attacco, allarme in Italia
- Possibile intrusione nei sistemi Aruba
- L’italia sotto pesante attacco malware
Dalle cose lette qui e in altre pagine sembra sia stato sfruttato un tool automatizzato per lanciare attacchi malware: il software in questione è chiamato MPACK.
Panda Software ha pubblicato un interessantissimo report che analizza nel dettaglio questo tool: lo potete scaricare qui.

Il problema ha interessato direttamente anche noi di TechTown. In particolar modo è stato colpito il forum con risultante inserimento del seguente frammento IFRAME:

Del problema mi son accorto grazie alla segnalazione di Kaspersky Internet Security che ha prontamente bloccato il tentativo di download di due malware, nella fattispecie due Trojan.Downloader.

Acid ha rimosso il problema che sembra fosse dovuto ad una modifica nel campo templates del database del forum dove sembra sia stato aggiunto il codice, in particolare il board wrappers.
Abbiamo proceduto anche ad una verifica dei file dell’intero ftp e cercato di verificare se tutto fosse funzionante.
Nel frattempo Aruba sembra non dire nulla a riguardo. Penso che una comunicazione via mail globale a tutti i propri utenti sarebbe stata cosa buona e giusta, per informare del possibile pericolo e del possibile coinvolgimento nell’attacco di questo o quel server anche in base alle tante segnalazioni degli utenti.
Il consiglio è quello di tenere sempre l’antivir aggiornato, meglio se di quelli che hanno la funzionalità integrata di web protection.

Possibile attacco DoS contro un driver Kaspersky

Massimo Rabbi — Mon, 18 Jun 2007 12:36:34 +0000

I vari prodotti di sicurezza della nota casa Kaspersky lavorano a stretto contatto col sistema operativo, impiegando un driver che tra le altre cose monitora anche le chiamate di sistema di Windows. Il controllo sul passaggio di parametri effettuato dal driver non sembra essere però corretto: ciò apre la porta a possibile attacchi che sfruttando dati non validi portano al crash del sistema.
Il security provider MatouSec, che ha segnalato il bug, lascia intendere che questa falla potrebbe essere ben più pericolosa di quanto sembri, alludendo a potenziali attacchi di tipo “code injection and execution“.

I prodotti di sicurezza molto spesso si “agganciano” alle funzioni di sistema con lo scopo di monitorare lo stato di funzionamento ed esecuzione di una macchina.
Mediante chiamate alla System Service Descriptor Table (SSDT) è possibile determinare quali programmi sono attivi sul computer e cosa stanno facendo: è possibile quindi prendere decisioni appropriate e interrompere per esempio l’esecuzione di un programma che abbia un comportamento “potenzialmente malevole”. Un’altra funzionalità importante è che questo consente di evitare che potenziale malware tenti di intaccare il comportamento dei software di sicurezza stessi.

Il driver klif.sys si aggancia a svariate syscalls tra cui NtCreateKey, NtCreateProcess, NtCreateProcessEx, NtCreateSection, NtCreateSymbolicLinkObject, NtCreateThread, NtLoadKey2, NtOpenKey e NtOpenProcess.
Se un programma effettua una chiamata ad una di queste funzioni con parametri non validi, il computer crasha e riparte.

Un interessante post su RootKit.com di EP_XoFF spiega questa vulnerabilità (presumibilmente piuttosto datata) usando la funzione NtOpenProcess.
Kaspersky ha reagito alle segnalazioni postando il proprio advisory di sicurezza e annunciando una patch che la compagnia distribuirà a breve tramite il sistema di automatic update.
Kaspersky ha classificato la minaccia come “low”, poichè richiede che un utente locale esegua il software malevole.
Stando all’advisory, la vulnerabilità non consentirebbe l’escalation di privilegi o l’esecuzione di codice esterno.
Le versioni interessate dal problema sembrano essere: Kaspersky Antivirus 6 e 7, Internet Security 6 e 7, Anti-Virus for Windows Workstations 6 e Anti-Virus 6 for Windows Servers, per sistemi operativi da Windows NT a Windows 2003. Sotto Windows Vista sembra che il famigerato crash di sistema non si verifichi.

Questo annunci conferma la crescente tendenza nella scoperta di bug che interessano software dedicati alla sicurezza. I bug scoperti negli antivirus di F-Secure, Grisoft e Avira (tra gli altri) sono legati a problemi di buffer overflows e format string vulnerabilities.
Questi fenomeni per la maggior parte sono da imputare il più delle volte ad una carenza per i dettagli durante la fase di programmazione.
Questo trend non lascia di certo ben sperare, è quindi auspicabile che ci sia un cambiamento di rotta, in virtù del fatto che software come personal firewall e antivirus sono la prima linea di difesa contro la diffusione su larga scala di malware e virus di ogni tipo.

LINKS:

Kaspersky Multiple insufficient argument validation of hooked SSDT function Vulnerability, advisory di MatouSec

Exploiting Kaspersky Antivirus 6.0-7.0, bug report di EP_X0FF

KLV07-07.Klif.sys calling NtOpenProcess vulnerability, security advisory di Kaspersky

Ad-Aware 2007 Free finalmente disponibile!

Massimo Rabbi — Sat, 09 Jun 2007 23:32:55 +0000

E’ stata rilasciata il 7 giugno la nuova versione del famoso software per la rimozione di spyware e malware di casa Lavasoft.
La nuova release targata Ad-Aware 2007 è disponibile in tre versioni: Free, Plus e Pro.

In breve le nuove caratteristiche più importanti:
- Engine di scansione completamente nuovo: più preciso e più performante
- Migliorata la tecnologia Code Sequence Identification (CSI) che identifica nuove possibili minaccie e malware nascosto
- Cambiamenti al sistema di update per risparmiare tempo e risorse
- Nuovo tool TrackSweep per cancellare le tracce lasciate durante la navigazione
- Supporto a diversi browser: Internet Explorer, Firefox, e Opera.
- Nuova interfaccia utente

Link: Ad-Aware 2007 Free

Panda Antivirus: nuova versione compatibile con Vista

Massimo Rabbi — Fri, 11 May 2007 10:34:50 +0000

Panda software ha recentemente rilasciato una versione della sua Internet Security Suite 2007 pienamente compatibile con Windows Vista.
La nuova versione gira comunque anche su Windows XP e include un modulo backup che consente di effettuare in maniera automatizzata il salvataggio dei dati utente.
E’ incluso inoltre un “coupon” gratuito di due mesi per l’utilizzo di un servizio di backup online (per il quale è necessario un apposito installer da scaricare) dello spazio di 1 GB.
E’ stata migliorata la parte anti-rootkit basandosi sul sistema signature-based e sull’analisi del comportamento del software usando il sistema Panda TruPrevent.
Il filtro di navigazione inoltre ora oltre a bloccare siti di phishing dovrebbe impedire l’accesso a siti che tentino in qualche modo di installare malware sul computer dell’utente.
Gli utenti delle precedenti versioni di Panda Internet Security Suite 2007 possono scaricare dal sito web la nuova versione ed utilizzare la license key attuale.

- Annuncio del rilascio della nuova release, sul sito di Panda Software

Skype: nuovo worm in circolazione

Massimo Rabbi — Wed, 18 Apr 2007 09:38:00 +0000

Ultimamente il registro del vostro Skype si è popolato una marea di chiamate non risposte? Forse allora dovreste pensare ad una scansione completa del vostro sistema.
Ironia a parte, ultimamente stando alle rilevazioni di F-Secure, un worm per piattaforma Windows, Pykse (IM-Worm:W32/Pykse.A), farebbe in modo di impostare lo stato di un client Skype in “Non disturbare”, in maniera che un utente non riceva più chiamate in entrata, ma unicamente avvisi di mancata risposta.
Il comportamento del worm non si limita solo a questo, il virus infatti invia un messaggio a tutti i propri contatti online contenente un link che invita a scaricare il malware. Quanto il programma viene lanciato compare l’immagine di “una donna in abiti succinti” (che fantasia! n.d.r.).
Dopo aver infettato il computer, Pykse contatta vari siti web aggiornando un contatore che tiene conto del numero di infezioni.
A parte manipolare i settaggi Skype, il malware non sembra provocare danni veri e propri e nemmeno di scansionare dati sensibili (username, password, etc.). F-Secure non ha dato indicazioni circa il potenziale numero di infezioni.
Già in dicembre avevamo assistito alla diffusione di un worm per Skype che tentava di scovare le passwords dell’utente.

LINK:
- Report sul worm, dal blog di F-Secure

Photo Album.zip: un po’ di chiarimenti

Massimo Rabbi — Mon, 16 Apr 2007 10:04:46 +0000

Controllando le statistiche di accesso a Securnetwork mi sono accorto di come ultimamente la pagina più visitata sia quella di qualche giorno fa relativa al post sul virus “Photo Album.zip” che circola in Msn Messenger.
Andando a vedere le pagine di provenienza, mailing list e forum, mi è capitato di vedere riportate alcune inesattezze: forse chi ha letto in queste pagine non l’ha fatto attentamente.
Ecco qui alcuni chiarimenti:
- il virus non è legato ad un contatto msn particolare… vedi per esempio il contatto dadecarlo@hotmail.it che sembra essere stato preso come “fonte primaria” di diffusione virus. Il messaggio con l’invito a scaricare lo zip vi arriva da un qualunque contatto sia stato infettato dal virus e non da uno in particolare.
- visto che personalmente non ho scaricato lo zip, mi affido a quanto riportato dal sito C.I.S.R.T. del quale ho elencato ben tre post riguardanti il virus… forse qualcuno non si è preso la briga di andare a leggere. all’interno del file .zip pare ci siano un file .pif che è il virus vero e proprio.
Il virus non lo si prende semplicemente cliccando sullo zip.
- non avendo preso il virus fortunatamente non mi sono trovato nella situazione di doverlo rimuovere, rispondo quindi anche a coloro che mi hanno contattato via mail, che la procedura di rimozione più esauriente che ho trovato è questa.
Anche qui avevo segnalato il link nei commenti ma forse qualcuno non ci ha prestato attenzione. Unica cosa da dire è che la procedura chiaramente fa riferimento ad una particolare variante… quindi può benissimo essere che abbia bisogno di qualche aggiustamento o passaggio in più o in meno a seconda della variante in cui si può essere incappati. Se avete altre procedure di rimozioni chiare da segnalarmi fatelo pure, sarò ben lieto di pubblicarlo all’interno del post.

Spero sia tutto… per altri chiarimenti potete tranquillamente contattarmi… ma almeno questa volta fatelo dopo aver letto attentamente

UPDATE 22/04/2007:
Consultate la guida su p2pforum:
http://www.p2pforum.it/forum/showthread.php?t=174815
In particolare scaricate il tool MSNFIX, semplice da usare visto che dal 20 aprile è disponibile anche in inglese!
Spero sia tutto!

Skype Keylogger?

Massimo Rabbi — Mon, 09 Apr 2007 08:03:37 +0000

Dopo la recente reinstallazione ho messo come soluzione di sicurezza all-in-one KIS acronimo per Kaspersky Internet Security.
Non starò qui a tessere nuovamente le lodi di Kaspersky come prodotto antivirus, secondo me il top attualmente sul mercato, ma segnalo un interessante comportamento del sistema di “Difesa proattiva”.
Nelle intenzioni questa funzionalità dovrebbe consentire di bloccare e segnalare i comportamenti sospetti da parte di alcuni software che potrebbero rivelarsi virus o malware non ancora scoperti e/o classificati.
Se da un lato questa funzionalità sembra essere decisamente utile (almeno sulla carta) per “blindare” ulteriormente il proprio sistema, i commenti che si leggono a riguardo su Internet non sono certo dei più entusiasti.
Detto questo segnalo appunto un caso di falso positivo.
Nella fattispecie Skype viene segnalato come ipotetico Keylogger

Tutto ok… nulla di cui preoccuparsi anche se di certo Skype non è da classificare come uno di quei “software” dal comportamento chiaro e pulito.
Su un topic nel forum ufficiale del sito Kaspesky si trova una lista di tutti i software non malware che il sistema di difesa proattiva segnala come virus/badware.
Link: Kaspersky Proactive Defense “White List”

Live Messenger virus: photo album.zip

Massimo Rabbi — Thu, 05 Apr 2007 12:55:04 +0000

Stamattina mi è successa una cosa alquanto singolare.
Ricevo un messaggio da uno dei miei contatti Msn che mi invita a scaricare un ipotetico album di foto zippato.
Il testo però che lo precede è chiaramente in inglese…
“Lmfao hey im sending my new photo album, Some bare funny pictures!"
al che subito la cosa mi puzza.
Ecco lo screenshot

Morale della favola il virus in questione è Backdoor.Win32.IRCBot.aaq, Kaspersky lo classifica con questo nome.
I primi a darne notizia sono i cinesi in ben tre post, dove riportano a distanza di qualche giorno il manifestarsi di nuove varianti:
- POST del 26 Marzo 2007 su C.I.R.S.T.
- POST del 27 Marzo 2007 su C.I.R.S.T.
- POST del 3 Aprile 2007 su C.I.R.S.T.

Il testo che compare nel messaggio msn può variare, i piu’ frequenti sono questi:
* Lmfao hey im sending my new photo album, Some bare funny pictures! * lol my sister wants me to send you this photo album * Hey i been doing photo album! Should see em loL! accept please mate * HEY lol i've done a new photo album !:) Second ill find file and send you it. * Hey wanna see my new photo album? * looooooooooooooooooooooooooooooooooooooo!! :p * OMG just accept please its only my photo album!! * Hey accept my photo album, Nice new pics of me and my friends and stuff and when i was young lol... * Hey just finished new photo album! might be a few nudes lol... * hey you got a photo album? anyways heres my new photo album accept k? * hey man accept my new photo album.. made it for yah, been doing picture story of my life lol..

A quanto pare il virus non è riconosciuto da tutti gli antivirus… non per il momento ancora, anche se la situazione è un po’ migliorata dal momento della sua prima comparsa.

Code injection per Internet Explorer

Massimo Rabbi — Fri, 30 Mar 2007 10:59:13 +0000

Nel blog di sicurezza di McAfee è stat riportata una vulnerabilità per Internet Explorer 6 e 7 funzionante su un sistema Windows XP SP2 regolarmente aggiornato.
Questo problema consente ad un attaccante di iniettare codice malevole nel sistema di un utente attraverso mails o pagine web appositamente preparate.
Manipolando i file dei cursori animati (.ani) è possibile eseguire codice iniettato in un sistema in maniera completamente silenziosa, senza per esempio, causare il crash del browser.

Inizialmente i ricercatori McAfee hanno scoperto il proof of concept su una messagge board, e di là a poco è comparso il primo esempio di codice malevole.
McAfee lo identifica come Exploit-ANIfile.c, TrendMicro come TROJ_ANICMOO.AX.
Stando alla descrizione McAfee una volta che l’exploit è all’interno del sistema, consente il caricamento di altro software malware.
Nonostante apparentemente questo tipo di exploit non sia molto diffuso, sicuramente molti virus writers sfrutteranno la falla per generare nuovi exploits.
Il malware è particolarmente subdolo in quanto non causa nemmeno il crash del browser: in questo modo un utente è completamente ignaro di essere sotto attacco.
McAfee sta ancora esaminando la vulnerabilità.
Poichè una vera soluzione non è ancora stata trovata il consiglio è quello di utilizzare browser alternativi come Opera o Firefox, almeno fino a quando Microsoft non rilascierà una patch.
Poichè McAfee ha identificato come altro metodo d’attacco le emails, per gli utenti di Outlook e Outlook Express vale il classico suggerimento di aprire le email in formato testo e non HTML.
Microsoft non ha ancora confermato il problema e non è chiaro quando McAfee abbia avvisato la casa di Redmond del problema.
Un problema di sicurezza simile era già stato patchato agli inizi del 2005.

ALTRI RIFERIMENTI:
* Unpatched Drive-By Exploit Found On The Web, security advisory in McAfee’s blog
* Exploit-ANIfile.c, McAfee’s exploit description

Anatomia di un trojan

Massimo Rabbi — Sat, 24 Mar 2007 09:28:24 +0000

SecurWorks ha pubblicato una interessantissima analisi di un trojan per Windows.
Il trojan analizzato è in grado di leggere connessioni SSL, e l’analisi mostra anche come vengano sfruttati i dati catturati dal malware.
Il Trojan si connette alle funzioni Winsock2, riuscendo così a monitorare il traffico dati anche se questo viene poi criptato con SSL per essere trasmesso in rete.
I nomi con cui è comparso sono molteplici: Agent.AVV, Small.BS e Ursnif.AG e a quanto pare sembra sfrutti una falla di Internet Explorer per compromettere un computer.
SecurWorks ha stimato che la variante da loro analizzato ha infettato per lo meno 5.200 postazioni e raccolto informazioni di all’incirca 10.000 accounts.
Ecco qui il link, buona lettura!

Analisi SecurWorks: GOZI TROJAN

Spyware Terminator 1.8.4.965

Massimo Rabbi — Fri, 09 Mar 2007 21:58:42 +0000

Spyware Terminator è un software gratuito, facile da usare che consente di proteggere in tempo reale e rimuovere spyware, adware, keylogger, trojan horses, browsers hijackers e altri tipi di malware.
Il tool è dotato di un motore di scansione real-time che consente di essere protetti costantemente e della comoda funzionalità di aggiornamento automatico che consente di sempre avere le ultime definizioni installate.
Gli spyware individuati possono naturalmente essere eliminati direttamente o conservati in “quarantena”.
Il tool è scaricabile direttamente dal sito del produttore: HOME PAGE.

Microsoft One-Care fallisce i test antivirus

Massimo Rabbi — Wed, 07 Mar 2007 09:26:50 +0000

Microsoft Live OneCare si è piazzato ultimo in un test di qualità sulle suite antivirus effettuato da ricercatori austriaci.
AV Comparatives ha messo a confronto 17 pacchetti di sicurezza per vedere come si comportavano nel riconoscere circa mezzo milione tra virus e malware. Il vincitore è risultato essere G Data Security AntivirusKit (AVK) con una percentuale di fallimento di 0.55%. Una versione completamente aggiornata di OneCare ha invece mancato ben 17.6% del malware (86.600 su 497.600).

F-Secure, Kaspersky Labs, Avira e AEC hanno ottenuto il risultato Advanced+ piazzandosi nei tests poco dietro a G Data.
Symantec Norton Antivirus ha riconosciuto il 96.8% delle minaccie ottenendo il riconoscimento Advanced, mentre McAfee VirusScan riconoscendo solo il 91.6% ha ottenuto l’etichetta Standard.
OneCare non è stato “valutato”, segno questo che chiaramente è molto al di sotto della media di rilevamento standard.

La sfida di Symantec: Norton 360

Massimo Rabbi — Tue, 27 Feb 2007 09:16:54 +0000

Symantec ha da poco svelato il suo software all-in-one Norton 360: si tratta di una suite di sicurezza destinata al mercato consumer che ha le caratteristiche di anti-virus, anti-spyware, firewall, intrusion detection, anti-phishing, backup e system tune-up. Il tutto in un unico prodotto.
Lo scopo è chiaramente quello di rivaleggiare e se possibile “far fuori” McAfee Total Protection e Microsoft OneCare.

Il vendor ha comunicato che l’utente potrà navigare su Internet dormendo sonni tranquilli, non dovendosi preoccupare di virus o malware di alcun tipo, e nemmeno del sempre crescente fenomeno del phishing.
La suite è stata pensata e progettata per essere il più semplice possibile, garantendo un grado elevato di automatizzazione dei vari tasks. Inoltre la scansione avviene in background e impatta in maniera molto limitata sulle performances del sistema.