Un rootkit di Norton? Risponde Symantec

[Redazione di Hardware Upg]

Link alla notizia: http://www.hwupgrade.it/news/sicurez...tec_28374.html

Nei giorni scorsi un aggiornamento diffuso da Symantec è stato al centro di parecchie discussioni. Symantec ha voluto fornire una propria spiegazione del problema

Click sul link per visualizzare la notizia.

[SuperSandro]

Premetto che non uso alcun Symantec, ma credo sia necessario riflettere sulla facilità con cui alcuni utenti scrivono commenti inopportuni senza essersi prima documentati a sufficienza.

Un banale errore umano - benché difficilmente scusabile per coloro che lavorano nell'azienda leader del settore - non può e non deve essere preso come pretesto per spammare o rilasciare opinioni a dir poco infelici.

[int main ()]

che geni quelli dei commenti auhauhuahuahua XD

[SuperSandro]

Originariamente inviato da int main ()

che geni quelli dei commenti auhauhuahuahua XD

..esattamente ciò che intendevo

[Pts.Mac]

Ma quali intenti e link malevoli?! Tutti quei commenti vengono dal raid di 4chan! Era "for the lulz"

[Pikazul]

IF PIFTS.EXE WAS HERE, THEN WHO WAS PHONE?

...credo di sapere da dove è nato lo spammaggio XD

[capitan_crasy]

Originariamente inviato da Pts.Mac

Ma quali intenti e link malevoli?! Tutti quei commenti vengono dal raid di 4chan! Era "for the lulz"

[filippo1980]

Mi spiegate una cosa?
Ma come è possibile che un aggiornamento di un programma possa essere considerato rootkit (che dal poco che ne so è il nome dei virus che permettono agli hacker di entrare nei pc e modificare i file del pc infetti) senza che ci sia un reale problema?
Possibile che alcuni programmi controllino SOLO se il file è "firmato" e non cosa faccia effettivamente?
Se fosse così, è così difficile "firmare" un file?
Sia ben chiaro, l'ultima domanda non è legata al fatto che voglio creare un virus e firmarlo come se fosse della Symantec ma è solo per curiosità LOL

[Therinai]

IF PIFTS.EXE WAS HERE, THEN WHO WAS PHONE?

Originariamente inviato da filippo1980

Sia ben chiaro, l'ultima domanda non è legata al fatto che voglio creare un virus e firmarlo come se fosse della Symantec ma è solo per curiosità LOL

si si, dite tutti così voi hakcer

[Pikazul]

Originariamente inviato da filippo1980

Mi spiegate una cosa?
Ma come è possibile che un aggiornamento di un programma possa essere considerato rootkit (che dal poco che ne so è il nome dei virus che permettono agli hacker di entrare nei pc e modificare i file del pc infetti) senza che ci sia un reale problema?
Possibile che alcuni programmi controllino SOLO se il file è "firmato" e non cosa faccia effettivamente?
Se fosse così, è così difficile "firmare" un file?
Sia ben chiaro, l'ultima domanda non è legata al fatto che voglio creare un virus e firmarlo come se fosse della Symantec ma è solo per curiosità LOL

Il "reale problema" riscontrato è la volontà del programma di eseguirsi automaticamente con i privilegi massimi, addirittura se è un rootkit dovrebbe partire prima dell'OS stesso. Cosa faccia esattametne il programma questo l'antivirus non può saperlo senza una analisi approfondita che una macchina non può fare agilmente.
Chiaramente più privilegi ha un antivirus più sarà difficile per i virus bloccarlo ed evitarlo, per questo l'antivirus ha la necessità di installarsi al livello più alto.

Firmare un file non è difficile, il problema è che una firma per avere un valore deve essere riconosciuta, ed è praticamente impossibile falsificare la firma digitale di un altro produttore.

[!fazz]

Originariamente inviato da filippo1980

Mi spiegate una cosa?
Ma come è possibile che un aggiornamento di un programma possa essere considerato rootkit (che dal poco che ne so è il nome dei virus che permettono agli hacker di entrare nei pc e modificare i file del pc infetti) senza che ci sia un reale problema?
Possibile che alcuni programmi controllino SOLO se il file è "firmato" e non cosa faccia effettivamente?
Se fosse così, è così difficile "firmare" un file?
Sia ben chiaro, l'ultima domanda non è legata al fatto che voglio creare un virus e firmarlo come se fosse della Symantec ma è solo per curiosità LOL

un rootkit è un programma che viene eseguito diciamo per ragioni di semplicità "al di sotto del sistema operativo", in questo modo i suoi file possono essere nascosti al sistema operativo e quindi anche all'antivirus (uso malevolo)
la firma digitale del file è una forma di crittografia volta a garantire non la riservatezza delle informazioni contenute ma bensi a garantire la fonte del file e l'assenza di manomissioni, firmare un file od una email è facile esistono appositi strumenti (richiedono la creazione di un certificato di firma digitale depositato), è logico che se su un programma che modifica i file dell'antivirus (patch) questa firma manca non avendo certezza della fonte ne dell'eventuale manomissione della patch i sistemi di sicurezza scattano

[filippo1980]

Grazie per i chiarimenti!
Immaginavo potesse esserci qualche inghippo nel controllare i file... non sapevo però chee potessero esserci dei file nascosti al sistema operativo! Ora capisco come mai ogni volta che instalo Java, plug-in su Eclipse e tanti altri programmi mi chiede se sono sicuro visto che manca la firma digitale!

[Fx]

Originariamente inviato da Pikazul

Il "reale problema" riscontrato è la volontà del programma di eseguirsi automaticamente con i privilegi massimi, addirittura se è un rootkit dovrebbe partire prima dell'OS stesso.

aspetta

un layer intermedio tra hardware e os tecnicamente è un software di virtualizzazione, che ovviamente puoi usare per ALCUNE finalità di un rootkit ma altre no

in genere un rootkit "manomette" il sistema operativo ma da dentro.

faccio due esempi. voglio un rootkit che intercetta tutto il traffico sulla scheda di rete. lo puoi fare sia con il layer di cui sopra, sia con un rootkit interno al sistema operativo che aggiunge un layer sulle API dell'os (cosa molto più semplice).

altro esempio. voglio che il rootkit lanci dei processi e nel contempo li renda invisibili, per non dare nell'occhio. nel primo caso non puoi fare nulla, dato che sei un layer SOPRA l'os mentre per lanciare un processo devi stare DENTRO. nel secondo caso lanci i processi e intercetti l'API dell'os che ti dà l'elenco dei processi attivi.

[Pikazul]

@Fx
Grazie per la spiegazione, in effetti la definizione di rootkit che avevo letto era proprio quella di un malware che utilizza la virtualizzazione per nascondersi all'OS, evidentemente era errata.

[unplugged]

ma chi è che usa software Symantec,
la massima rappresentazione del bloatware.
Marketing allo stato puro, vanna marchi inspired.

[!fazz]

Originariamente inviato da unplugged

ma chi è che usa software Symantec,
la massima rappresentazione del bloatware.
Marketing allo stato puro, vanna marchi inspired.

ecco qui un ottimo esempio di messaggio volto a scatenare flame, ammonizione, tra parentesi l'ultima suite di Symantec pare un prodotto molto valido e soprattutto leggero

[Fx]

si, per sentito dire lo sappiamo tutti

anche se ormai sulla propria pelle non lo sperimenta più nessuno

personalmente dopo anni di norton sono passato ad avira e sono molto soddisfatto, in primis per il prezzo, gratis per uso domestico e per uso commerciale con quanto paghi un norton ci compri 3 licenze... inoltre è leggero e a livello di risultati è uno dei migliori

a me fa piacere che finalmente symantec si sia ravveduta però per me è troppo tardi

[qboy]

c'è da dire una cosa: symantec farà anche delle buone cose "a volte" ma oramai la sua fama, direi anche cattiva del software pesante e virus autocreanti non gliela toglie nessuno.Per carità c'è chi ha sempre usato norton e si è trovato benissimo senza mai troppi problemi ma forse non è ben informato di quello che acquista. il problema inoltre potrà non comportare danni ma se quei file non fossero proprio di symantec? se era un hacker allora ci inchiappettavano per bene.
comunque resta il fatto che questi errori non dovrebbero succedere per di più da un'azienda che produce antivirus dove la firma è fondamentale.

Ho abbandonato norton alla fine dei tre mesi gratuiti dopo aver preso il pc nuovo e sono passato a kaspersky e sono molto soddisfatto dalla mia scelta.

[Mastermoon]

io penso che l'errore umano ci possa stare sempre e comunque.. le macchine fanno solo quello per cui sono programmate e a programmarle ci pensano degli uomini.. cmq se vale l'adagio fatta la legge trovato l'inganno meglio un'allarme smentito che un virus non trovato.. personalmente utilizzo Nod32 che spesso trova falsi positivi e molte volte fa passare malware (vedi AV360) ma norton resta un punto di riferimento per tutti nel panorama antivirus..