Malware...Una spolverata di conoscenza
Inviato: 23 feb 2009, 15:52Spero con questa guida di farvi arricchire la vostra conoscenza sui malware.
Di software che ci proteggono ce ne sono a iosa...ma come si suddividono i vari malware?
e come funzionano? 
Malware Introduzione
I “Malware” sono programmi o parti di programmi che hanno un effetto spiacevole sulla sicurezza del vostro computer. La parola vuole indicare vari termini che avrete già sentito prima, come “Virus”, “Worm” e “Trojan” ed anche altri meno noti quali “Rootkit”,“Logicbomb” e “Spyware”.
Virus Introduzione
Virus – questo è il tipo più comune di malware di cui le persone dovrebbero essere a conoscenza. Il motivo per cui è noto come virus, piuttosto che altro, è storica. La stampa trattava le storie dei primi virus per computer allo stesso modo che gli articoli sulla diffusione dell'AIDS. Allora esistevano semplici paralleli tra i due, la propagazione attraverso l'interazione con una parte contaminata e la “morte” definitiva di qualunque cosa fosse stata infettata.Da ciò l'idea che le persone potessero venire “infettati” con un virus del computer.
Descrizione
I virus (o virii) sono parti di software auto-replicanti che, analogamente ad un virus biologico, si attaccano ad un altro programma, o, nel caso di “macro virus”, ad un altro file. Il virus si attiva solo quando il programma o il file viene eseguito o aperto. E' proprio questo che differenzia i virus dai worm. Se non si attiva il programma o il file, il virus non viene eseguito e non si propaga ulteriormente. Ci sono molti tipi di virus, tuttavia la forma più comune è oggi il macro virus, mentre altri, come i virus del settore di boot, si trovano solo “in cattività”.
Virus del Settore di Boot
Il settore di boot è stato il primo tipo di virus ad essere creato. Si nasconde nel codice all'inizio dei dischi di boot. Questo significa che per infettare una macchina è necessario effettuare il boot da un floppy infetto. Molto tempo fa (circa 15 anni) l'accensione di una macchina da floppy era molto comune, quindi tali virus erano molto diffusi. Questo virus (e tutti gli altri tipi) dovrebbe lasciare una firma rilevabile dai successivi tentativi di infezione, in modo da non infettare ripetutamente lo stesso obiettivo. E' questa firma che consente agli altri software (noti come Anti-virus) di rilevare l'infezione.
I Virus nei File Eseguibili
I virus dei file eseguibili si attaccano ai file, quali .exe o .com files. Alcuni virus cercano programmi che sono parte del sistema operativo, in modo tale che vengono eseguiti ogni volta che il computer viene acceso aumentando la loro possibilità di propagazioni successive, Ci sono pochi modi per attaccare un virus ad un file eseguibile, alcuni dei quali funzionamo meglio di altri. La modalità più semplice (e la meno ingegnosa ) è sovrascrivere la prima parte del file eseguibile con il codice del virus. Questo significa che il virus viene eseguito, ma il programma va successivamente in crash; è, quindi, abbastanza ovvio che ci si trova di fronte ad un'infezione – specialmente se il file è un importante file di sistema.
I virus “Termina e Stai Residente” (TSR)
TSR (Terminate e Stay Resident) è un termine del DOS che indica una applicazione che si carica in memoria e successivamente vi rimane in background, consentendo al computer di agire normalmente in foreground. I virus più complessi di questo tipo intercettano le chiamate di sistema e restituiscono risultati errati – altri si attaccano al comando 'dir' e infettano ogni applicazione della directory listata – altri ancora terminano (o cancellano) il software Anti-Virus installato sul sistema.
I Virus Polimorfi
I primi virus erano abbastanza facili da intercettare. Avevano una firma che li identificava, contenevano un metodo per prevenire una nuova infezione, o semplicemente avevano una struttura specifica che era possibile rilevare. Poi venne il virus polimorfo. Poli – che significa multiplo - e morfo – che significa forma. Questi virus si modificano ogni volta che si replicano, modificando il proprio codice, cambiando la crittografia e generalmente rendendosi completamente differente. Questo ha creato un enorme problema, poichè istaneamente c'erano firme molto più piccole: alcuni dei “migliori” virus si ridussero ad una firma di pochi bytes. Il problema aumentò con il rilascio di “kit polimorfi” da parte della comunità che
scriveva virus che consentirono a qualunque virus di replicarsi come polimorfo.
Il Macro Virus
Il Macro Virus utilizza l'abilità che hanno molti programmi di eseguire codice. Programmi come Word and Excel hanno una versione del linguaggio di programmazione Visual Basic limitata, ma molto potente. Questo consente l'automazione di operazioni ripetitive e la configurazione automatica di settaggi specifici. Questi linguaggi di macro sono utilizzati per
allegare ai documenti codice virale che si copierà automaticamente su altri documenti e si propagherà. Nonostante la Microsoft abbia eliminato la funzionalità di default su nuove installazioni, c'è Outlook che esegue automaticamente il codice allegato alle e-mail appena queste vengono lette. Cià implica che i virus si possono replicare molto velocemente
inviandosi a tutti gli indirizzi di e-mail presenti nella macchina infetta.
I Worm
Introduzione
I Worm sono più vecchi dei virus. Il primo worm venne creato molti anni prima del primo virus. Questo worm fece uso di un'imperfezione nel comando UNIX finger per bloccare la maggior parte di Internet (che a quel tempo era molto più piccola). La sezione seguente tratta questi worm.
Descrizione
Un worm è un programma che, dopo essere stato avviato, si replica senza alcun bisogno di intervento umano. Si propaga da un host ad un altro, sfruttando uno o più servizi sprotetti.Attraversa una rete senza bisogno che un utente invii un file o un'emali infetta. La maggior parte degli incidenti recenti sono stati causati da worm piuttosto che da virus.
Cavalli di troia e Spyware
Introduzione
Il primo Cavallo di Troia (Trojan Horse) fu creato dai greci migliaia di anni fa (pensate al film “Troia” se l'avete visto). Il concetto base è quello di introdurre qualcosa di sgradevole nel computer sicuro di qualcuno sotto la parvenza di qualcosa di piacevole. Questo varia da un trailer di un gioco, alla e-mail che promette foto della vostra celebrità preferita nuda.
Descrizione
I Cavalli di Troia sono pezzi di software dannoso mascherato come qualcosa di utile o desiderabile per far sì che vengano eseguiti. A questo punti gli stessi danneggiano il computer installando una backdoor o rootkit, o – anche peggio – compongono un numero telefonico che vi costerà molto denaro (questo per i possessori di modem 56kb o linee Isdn).Gli Spyware sono software che si installano clandestinamente, spesso da siti web che avete visitato. Una volta installati, essi cercheranno informazioni che considerano preziose. Si può trattare di statistiche relative alla vostra navigazione web o il numero della vostra carta di credito. Alcuni spyware inondano il vostro desktop con annunci.
Rootkit e Backdoors
Introduzione
Spesso quando un computer è stato compromesso da un hacker, è stato installato un meccanismo per ottenere un facile accesso alla macchina. Ci sono molte varianti di questo, alcune delle qualli sono diventate abbastanza famose (per esempio Back Orifice).
Descrizione
Rootkits e backdoors sono software che creano meccanismi per accedere ad una macchina. Variano dal semplice (un programma che ascolta su una porta) al complesso (programmi che nascondono processi in memoria, modificano file di log e ascoltano su una porta). Spesso creare una backdoor è semplice come creare un nuovo utente con privilegi da super-user in un file di password nella speranza che non venga individuato. Questo perchè una backdoor è progettata per superare la normale autenticazione di sistema. Entrambi i virus Sobig e MyDoom installano back doors.
Logicbombs e Timebombs
Introduzione
I programmatori e amministratori di sistema possono essere persone abbastanza strane.Spesso impostano su un sistema delle azioni che vengono intraprese al verificarsi di determinati eventi. Ad esempio: può essere creato un programma che, nel caso in cui l'amministratore fallisca il login per più di 3 volte, inizi a cancellare a caso bit di dati dal disco.Questo è successo in un caso molto noto che ha coinvolto una società chiamata General Dynamics nel 1992. Un sistemista creò una logicbomb in grado di cancellare dati critici e che era programmata per essere attivata dopo che egli fosse stato licenziato. Egli si aspettava che la società gli pagasse una conspicua quantità di denaro per ritornare e risolvere il
problema. Tuttavia, un altro programmatore trovò la logic bomb prima che si licenziasse, fu accusato di un crimine e condannato a pagare 5,000 dollari.Il giudice fu clemente, la pena avrebbe potuto essere 500,000 dollari, più un periodo di reclusione.
Descrizione
Logicbombs e Timebombs sono programmi che non hanno la capacità di replicarsi nè di creare un meccanismo di accesso, ma sono applicazioni o parti di applicazioni che causano danni ai dati quando attivati. Possono essere stand-alone, o parte di worms o viruses. Le Timebombs sono programmate per causare danni ad un'ora prefissata. Le Logicbombs sono programmate per causare danni quando si verifica un certo evento. L'idea dietro i timebombs, tuttavia, è anche una utile. Dopo un certo periodo dall'installazione (generalmente 30 giorni) il programma cessa la propria funzione a meno che venga fornito un codice di registrazione. Questo è un esempio di programmazione di timebomb non dannoso.
Contromisure
Introduzione
Ci sono molti modi con cui potete rilevare, rimuoveree prevenire software dannosi. Alcuni di essi sono il senso comune, altri sono alternative tecnologiche. La sezione seguente evidenzia alcune di queste, con una breve spiegazione e esempi.
Anti-Virus
I software Anti-Virus sono disponibili in molte versioni commerciali e Open Source. Tutti questi agiscono seguendo lo stesso metodo. Ognuno di essi ha un database con i virus noti e confronta le firme di questi con quelli del sistema per vedere se ci sono infezioni. Spesso tuttavia, con i virus moderni, queste firme sono molto piccole e ci posso spesso essere falsi
positivi (cose che sembrano virus ma non lo sono). Alcuni scanner di virus utilizzano una tecnica nota come euristica: sanno a cosa assomiglia il virus e determinano se un'applicazione sconosciuta corrisponde a questi criteri. I recenti software AntiVirus si sono trasformati in Host Based Intrusion Detection, mantenendo una lista di files e checksums per aumentare la velocità della scansione.
NIDS
Un Network intrusion Detection è simile al software AntiVirus. Cerca una firma particolare o il comportamento da worm o virus. Può o allertare l'utente o fermare automaticamente il traffico di rete che trasporta il software dannoso.
HIDS
Gli Host based Intrusion Detection Systems, come Tripwire, sono in grado di rilevare i cambiamenti effettuati ai file.E' ragionevole aspettarsi che un'applicazione, una volta compilata, non abbia necessità di cambiare, così la esaminano (la sua dimensione, la data dell'ultima modifica e la checksum) evidenziando immediatamente che qualcosa è sbagliato.
Firewalls
I Worms si propagano attraverso la rete connettendosi ai servizi vulnerabili sui vari host.Oltre ad assicurare che nessuno di questi servizi vulnerabili sia in esecuzione, la successiva cosa da fare è assicurare che il vostro firewall non consenta connessioni a questi servizi. Molti firewall moderni forniscono una forma di filtraggio dei pacchetti simile ai NIDS che elimina i pacchetti che corrispondono ad una certa firma.
Sandboxes
Il concetto di una sandbox è semplice. La vostra applicazione ha il suo piccolo mondo in cui agire e non può fare nulla al resto del computer. E' implementato nel linguaggio di programmazione Java e può anche essere implementato attraverso altre funzioni come chroot in Linux. Questo restringe il danno che ogni malware può fare ad un sistema operativo
semplicemente negandoglli l'accesso richiesto. Un'altra opzione è far eseguire una macchina completa all'interno di un'altra macchina utilizzando un prodotto che crea macchine virtuali come VMWare. Questo isola la macchina virtuale dal sistema operativo consentendo l'accesso solo come definito dalll'utente.
Esempio http://www.vmware.com – VMWare virtual machines
LINK ALLA GUIDA ORIGINALE http://www.hackerhighschool.org/lessons ... alware.pdf
Di software che ci proteggono ce ne sono a iosa...ma come si suddividono i vari malware?
e come funzionano? Malware Introduzione
I “Malware” sono programmi o parti di programmi che hanno un effetto spiacevole sulla sicurezza del vostro computer. La parola vuole indicare vari termini che avrete già sentito prima, come “Virus”, “Worm” e “Trojan” ed anche altri meno noti quali “Rootkit”,“Logicbomb” e “Spyware”.
Virus Introduzione
Virus – questo è il tipo più comune di malware di cui le persone dovrebbero essere a conoscenza. Il motivo per cui è noto come virus, piuttosto che altro, è storica. La stampa trattava le storie dei primi virus per computer allo stesso modo che gli articoli sulla diffusione dell'AIDS. Allora esistevano semplici paralleli tra i due, la propagazione attraverso l'interazione con una parte contaminata e la “morte” definitiva di qualunque cosa fosse stata infettata.Da ciò l'idea che le persone potessero venire “infettati” con un virus del computer.
Descrizione
I virus (o virii) sono parti di software auto-replicanti che, analogamente ad un virus biologico, si attaccano ad un altro programma, o, nel caso di “macro virus”, ad un altro file. Il virus si attiva solo quando il programma o il file viene eseguito o aperto. E' proprio questo che differenzia i virus dai worm. Se non si attiva il programma o il file, il virus non viene eseguito e non si propaga ulteriormente. Ci sono molti tipi di virus, tuttavia la forma più comune è oggi il macro virus, mentre altri, come i virus del settore di boot, si trovano solo “in cattività”.
Virus del Settore di Boot
Il settore di boot è stato il primo tipo di virus ad essere creato. Si nasconde nel codice all'inizio dei dischi di boot. Questo significa che per infettare una macchina è necessario effettuare il boot da un floppy infetto. Molto tempo fa (circa 15 anni) l'accensione di una macchina da floppy era molto comune, quindi tali virus erano molto diffusi. Questo virus (e tutti gli altri tipi) dovrebbe lasciare una firma rilevabile dai successivi tentativi di infezione, in modo da non infettare ripetutamente lo stesso obiettivo. E' questa firma che consente agli altri software (noti come Anti-virus) di rilevare l'infezione.
I Virus nei File Eseguibili
I virus dei file eseguibili si attaccano ai file, quali .exe o .com files. Alcuni virus cercano programmi che sono parte del sistema operativo, in modo tale che vengono eseguiti ogni volta che il computer viene acceso aumentando la loro possibilità di propagazioni successive, Ci sono pochi modi per attaccare un virus ad un file eseguibile, alcuni dei quali funzionamo meglio di altri. La modalità più semplice (e la meno ingegnosa ) è sovrascrivere la prima parte del file eseguibile con il codice del virus. Questo significa che il virus viene eseguito, ma il programma va successivamente in crash; è, quindi, abbastanza ovvio che ci si trova di fronte ad un'infezione – specialmente se il file è un importante file di sistema.
I virus “Termina e Stai Residente” (TSR)
TSR (Terminate e Stay Resident) è un termine del DOS che indica una applicazione che si carica in memoria e successivamente vi rimane in background, consentendo al computer di agire normalmente in foreground. I virus più complessi di questo tipo intercettano le chiamate di sistema e restituiscono risultati errati – altri si attaccano al comando 'dir' e infettano ogni applicazione della directory listata – altri ancora terminano (o cancellano) il software Anti-Virus installato sul sistema.
I Virus Polimorfi
I primi virus erano abbastanza facili da intercettare. Avevano una firma che li identificava, contenevano un metodo per prevenire una nuova infezione, o semplicemente avevano una struttura specifica che era possibile rilevare. Poi venne il virus polimorfo. Poli – che significa multiplo - e morfo – che significa forma. Questi virus si modificano ogni volta che si replicano, modificando il proprio codice, cambiando la crittografia e generalmente rendendosi completamente differente. Questo ha creato un enorme problema, poichè istaneamente c'erano firme molto più piccole: alcuni dei “migliori” virus si ridussero ad una firma di pochi bytes. Il problema aumentò con il rilascio di “kit polimorfi” da parte della comunità che
scriveva virus che consentirono a qualunque virus di replicarsi come polimorfo.
Il Macro Virus
Il Macro Virus utilizza l'abilità che hanno molti programmi di eseguire codice. Programmi come Word and Excel hanno una versione del linguaggio di programmazione Visual Basic limitata, ma molto potente. Questo consente l'automazione di operazioni ripetitive e la configurazione automatica di settaggi specifici. Questi linguaggi di macro sono utilizzati per
allegare ai documenti codice virale che si copierà automaticamente su altri documenti e si propagherà. Nonostante la Microsoft abbia eliminato la funzionalità di default su nuove installazioni, c'è Outlook che esegue automaticamente il codice allegato alle e-mail appena queste vengono lette. Cià implica che i virus si possono replicare molto velocemente
inviandosi a tutti gli indirizzi di e-mail presenti nella macchina infetta.
I Worm
Introduzione
I Worm sono più vecchi dei virus. Il primo worm venne creato molti anni prima del primo virus. Questo worm fece uso di un'imperfezione nel comando UNIX finger per bloccare la maggior parte di Internet (che a quel tempo era molto più piccola). La sezione seguente tratta questi worm.
Descrizione
Un worm è un programma che, dopo essere stato avviato, si replica senza alcun bisogno di intervento umano. Si propaga da un host ad un altro, sfruttando uno o più servizi sprotetti.Attraversa una rete senza bisogno che un utente invii un file o un'emali infetta. La maggior parte degli incidenti recenti sono stati causati da worm piuttosto che da virus.
Cavalli di troia e Spyware
Introduzione
Il primo Cavallo di Troia (Trojan Horse) fu creato dai greci migliaia di anni fa (pensate al film “Troia” se l'avete visto). Il concetto base è quello di introdurre qualcosa di sgradevole nel computer sicuro di qualcuno sotto la parvenza di qualcosa di piacevole. Questo varia da un trailer di un gioco, alla e-mail che promette foto della vostra celebrità preferita nuda.
Descrizione
I Cavalli di Troia sono pezzi di software dannoso mascherato come qualcosa di utile o desiderabile per far sì che vengano eseguiti. A questo punti gli stessi danneggiano il computer installando una backdoor o rootkit, o – anche peggio – compongono un numero telefonico che vi costerà molto denaro (questo per i possessori di modem 56kb o linee Isdn).Gli Spyware sono software che si installano clandestinamente, spesso da siti web che avete visitato. Una volta installati, essi cercheranno informazioni che considerano preziose. Si può trattare di statistiche relative alla vostra navigazione web o il numero della vostra carta di credito. Alcuni spyware inondano il vostro desktop con annunci.
Rootkit e Backdoors
Introduzione
Spesso quando un computer è stato compromesso da un hacker, è stato installato un meccanismo per ottenere un facile accesso alla macchina. Ci sono molte varianti di questo, alcune delle qualli sono diventate abbastanza famose (per esempio Back Orifice).
Descrizione
Rootkits e backdoors sono software che creano meccanismi per accedere ad una macchina. Variano dal semplice (un programma che ascolta su una porta) al complesso (programmi che nascondono processi in memoria, modificano file di log e ascoltano su una porta). Spesso creare una backdoor è semplice come creare un nuovo utente con privilegi da super-user in un file di password nella speranza che non venga individuato. Questo perchè una backdoor è progettata per superare la normale autenticazione di sistema. Entrambi i virus Sobig e MyDoom installano back doors.
Logicbombs e Timebombs
Introduzione
I programmatori e amministratori di sistema possono essere persone abbastanza strane.Spesso impostano su un sistema delle azioni che vengono intraprese al verificarsi di determinati eventi. Ad esempio: può essere creato un programma che, nel caso in cui l'amministratore fallisca il login per più di 3 volte, inizi a cancellare a caso bit di dati dal disco.Questo è successo in un caso molto noto che ha coinvolto una società chiamata General Dynamics nel 1992. Un sistemista creò una logicbomb in grado di cancellare dati critici e che era programmata per essere attivata dopo che egli fosse stato licenziato. Egli si aspettava che la società gli pagasse una conspicua quantità di denaro per ritornare e risolvere il
problema. Tuttavia, un altro programmatore trovò la logic bomb prima che si licenziasse, fu accusato di un crimine e condannato a pagare 5,000 dollari.Il giudice fu clemente, la pena avrebbe potuto essere 500,000 dollari, più un periodo di reclusione.
Descrizione
Logicbombs e Timebombs sono programmi che non hanno la capacità di replicarsi nè di creare un meccanismo di accesso, ma sono applicazioni o parti di applicazioni che causano danni ai dati quando attivati. Possono essere stand-alone, o parte di worms o viruses. Le Timebombs sono programmate per causare danni ad un'ora prefissata. Le Logicbombs sono programmate per causare danni quando si verifica un certo evento. L'idea dietro i timebombs, tuttavia, è anche una utile. Dopo un certo periodo dall'installazione (generalmente 30 giorni) il programma cessa la propria funzione a meno che venga fornito un codice di registrazione. Questo è un esempio di programmazione di timebomb non dannoso.
Contromisure
Introduzione
Ci sono molti modi con cui potete rilevare, rimuoveree prevenire software dannosi. Alcuni di essi sono il senso comune, altri sono alternative tecnologiche. La sezione seguente evidenzia alcune di queste, con una breve spiegazione e esempi.
Anti-Virus
I software Anti-Virus sono disponibili in molte versioni commerciali e Open Source. Tutti questi agiscono seguendo lo stesso metodo. Ognuno di essi ha un database con i virus noti e confronta le firme di questi con quelli del sistema per vedere se ci sono infezioni. Spesso tuttavia, con i virus moderni, queste firme sono molto piccole e ci posso spesso essere falsi
positivi (cose che sembrano virus ma non lo sono). Alcuni scanner di virus utilizzano una tecnica nota come euristica: sanno a cosa assomiglia il virus e determinano se un'applicazione sconosciuta corrisponde a questi criteri. I recenti software AntiVirus si sono trasformati in Host Based Intrusion Detection, mantenendo una lista di files e checksums per aumentare la velocità della scansione.
NIDS
Un Network intrusion Detection è simile al software AntiVirus. Cerca una firma particolare o il comportamento da worm o virus. Può o allertare l'utente o fermare automaticamente il traffico di rete che trasporta il software dannoso.
HIDS
Gli Host based Intrusion Detection Systems, come Tripwire, sono in grado di rilevare i cambiamenti effettuati ai file.E' ragionevole aspettarsi che un'applicazione, una volta compilata, non abbia necessità di cambiare, così la esaminano (la sua dimensione, la data dell'ultima modifica e la checksum) evidenziando immediatamente che qualcosa è sbagliato.
Firewalls
I Worms si propagano attraverso la rete connettendosi ai servizi vulnerabili sui vari host.Oltre ad assicurare che nessuno di questi servizi vulnerabili sia in esecuzione, la successiva cosa da fare è assicurare che il vostro firewall non consenta connessioni a questi servizi. Molti firewall moderni forniscono una forma di filtraggio dei pacchetti simile ai NIDS che elimina i pacchetti che corrispondono ad una certa firma.
Sandboxes
Il concetto di una sandbox è semplice. La vostra applicazione ha il suo piccolo mondo in cui agire e non può fare nulla al resto del computer. E' implementato nel linguaggio di programmazione Java e può anche essere implementato attraverso altre funzioni come chroot in Linux. Questo restringe il danno che ogni malware può fare ad un sistema operativo
semplicemente negandoglli l'accesso richiesto. Un'altra opzione è far eseguire una macchina completa all'interno di un'altra macchina utilizzando un prodotto che crea macchine virtuali come VMWare. Questo isola la macchina virtuale dal sistema operativo consentendo l'accesso solo come definito dalll'utente.
Esempio http://www.vmware.com – VMWare virtual machines
LINK ALLA GUIDA ORIGINALE http://www.hackerhighschool.org/lessons ... alware.pdf
