Il sistema rallenta? Colpa di un malware nascosto

[Redazione di Hardware Upg]

Link alla notizia: http://www.hwupgrade.it/news/sicurezza/21934.html

Un proof-of-concept mostra come possa essere utilizzata la cpu per eseguire del codice, potenzialmente malevolo, con privilegi user level

Click sul link per visualizzare la notizia.

[Racer89]

come si può eliminare un malware del genere?
ho zonealarm ma ho questo problema!

[DevilsAdvocate]

E' un poco tutta da ridere, il 90% degli utenti linux tiene karamba o le gdesklet
o gkrellm sul desktop dal quale vede effetivamente quanta è l'occupazione del processore.
(che non darà il nome del processo,ma mostra senza dubbio se c'è
un simile malware nel pc).....

[DevilsAdvocate]

Originariamente inviato da Racer89

come si può eliminare un malware del genere?
ho zonealarm ma ho questo problema!

Qua si fa riferimento a sistemi Linux e MacOSX, benchè essendo questo
trucchetto dovuto ad un'istruzione della cpu non è da escludere che
si possa sfruttare sotto windows.

Se ti rallenta il windows prova a :
1- rimuovere il norton
2- rimuovere spyware/malware/trojans
3- usare un programmino di pulizia del registro
4- formattare

EDIT: leggendo meglio il proof-of-concept sembra indirizzato pure a windows, non a MacOSX
(immagini in cima alla pagina 4).

[Mister24]

Originariamente inviato da Racer89

come si può eliminare un malware del genere?
ho zonealarm ma ho questo problema!

Si parla di "proof of concept" cioè di un prototipo quindi è impossibile che tu abbia questo maleware.

[omerook]

su mac osx certe porcate girano

[black-m01]

"Il documento fa riferimento a sistemi Unix, solo Mac OS X pare essere immune, ma in linea di principio la minaccia è estendibile a tutti i sistemi operativi multitasking più recenti."

Errato, lo scheduler CFS del kernel Linux serve esattamente anche a prevenire questa possibilità. Precisando, volendo bloccare una macchina con Mac OS X, è sufficiente agire sul sottosistema della memoria virtuale: ogni operazione di pesante input/output congela il sistema operativo.

[Mr.Gamer]

beh niente è sicuro, anche halo 2/shadowrun "necessitano" di directx10, finche non arrivano un gruppo di cracker che modificano 2 file e *magicamente* le dx10 non servono più.

se quest'idea è venuta a qualcun'altro in mente prima del proof-of-concept, ci potrebbero essere malware in giro

[Kenny Rullo]

Originariamente inviato da DevilsAdvocate

Se ti rallenta il windows prova a :
1- rimuovere il norton
2- rimuovere spyware/malware/trojans
3- usare un programmino di pulizia del registro
4- formattare

Io riscriverei la tua citazione in
1- rimuovere spyware/malware/trojans/norton
2- usare un programmino di pulizia del registro
3- formattare


Nel mio precedente pc con winxp avevo un problema piuttosto curioso: un processo scvhost.exe monopolizzava la cpu per lunghi periodi di tempo, soprattutto appena avviato e casualmente durante l'esecuzione con decisi cali di prestazioni. Se killavo quel processo non mi funzionava più l'audio. Credevo che fossero i driver della scheda audio appunto ma anche aggiornandoli non cambiava nulla. Li ho addirittura rimossi lasciando la periferica non attiva ma ciccia.
Alla fine scoprii che era il processo di windows update a crearmi tutti sti casini. Pensavo che usando fastweb con la storia dell'ip privato / ip pubblico gli automatic updates avessero problemi a trovare il server MS e andassero in loop ma me l'hanno escluso categoricamente.
In buona sostanza, ho disattivato gli aggiornamenti automatici e tutto è andato liscio. Oggi anche in virtualizzazione su parallels gli autoupdates li mantengo disabilitati e ogni martedì vado a dare un occhio a manina

[ilsensine]

Originariamente inviato da black-m01

Errato, lo scheduler CFS del kernel Linux serve esattamente anche a prevenire questa possibilità

Vediamo, il CFS è molto recente.
Ricordo che la "feature" era già stata segnalata sulla lkml in un contesto scorrelato -- un task che inseriva delle sleep "stategiche" riusciva ad ottenere un bonus dal s/o anche quando non ne aveva diritto.

[DevilsAdvocate]

Originariamente inviato da Mr.Gamer

beh niente è sicuro, anche halo 2/shadowrun "necessitano" di directx10, finche non arrivano un gruppo di cracker che modificano 2 file e *magicamente* le dx10 non servono più.

se quest'idea è venuta a qualcun'altro in mente prima del proof-of-concept, ci potrebbero essere malware in giro

Prima che si scateni il panico collettivo: se usate Karamba/gdesklets/gkrellm
o desklets e la vostra cpu sta sotto al 10-15% quando non lanciate
programmi o che, allora siete al sicuro...

Per quanto riguarda il CFS: questo proof-of concept sembra un poco vecchiotto,
tra i sistemi operativi non nomina neppure Vista....

[AnonimoVeneziano]

Originariamente inviato da Kenny Rullo

Io riscriverei la tua citazione in
1- rimuovere spyware/malware/trojans/norton
2- usare un programmino di pulizia del registro
3- formattare

Personalmente io riscriverei :

Io riscriverei la tua citazione in
1- rimuovere spyware/malware/trojans
2- usare un programmino di pulizia del registro
3- formattare

Dove "spyware/malware/trojans" è un sinonimo di Norton

[Mister24]

Originariamente inviato da AnonimoVeneziano

Personalmente io riscriverei :

Io riscriverei la tua citazione in
1- rimuovere spyware/malware/trojans
2- usare un programmino di pulizia del registro
3- formattare

Dove "spyware/malware/trojans" è un sinonimo di Norton

Tanto per continuare il "io scriverei così":

Ma cosa servono i punti 1 e 2 se tanto bisogna formattare?
Io consiglierei dopo la formattazione un antivirus leggero come antivir.
Imho è il migliore anche tra quelli a pagamento.

[ilsensine]

Originariamente inviato da DevilsAdvocate

Prima che si scateni il panico collettivo: se usate Karamba/gdesklets/gkrellm
o desklets e la vostra cpu sta sotto al 10-15% quando non lanciate
programmi o che, allora siete al sicuro...

No, il tempo "rubato" sparisce anche dal conteggio globale di sistema.

[nuclearstrenght]

mumble mumble

questo proof-of-concept in pratica dimostra un malware che si inserisce tra un cambio e l'altro di task e ne fà eseguire uno tra i due, ho capito bene?

come mai non è visualizzabile da top allora?

dove sta il task che si attiva tra un ciclo e l'altro nel frattempo?
non dovrebbe essere comunque visualizzato da top et similia ma a tempo di cpu = 0?
oppure si genera da solo alla fine di un ciclo e si distrugge all'inizio del successivo? da qualche parte dovrebbe comunque stare quindi scansione della ram e via no?

prima di linciarmi sappiate che io non studio SO o similari, faccio tutt'altro e non sò scrivere neanche una linea di codice ma l'informatica è la mia passione mancata (nel senso che non ho potuto studiarla come avrei voluto)

[AnonimoVeneziano]

Originariamente inviato da Mister24

Tanto per continuare il "io scriverei così":

Ma cosa servono i punti 1 e 2 se tanto bisogna formattare?
Io consiglierei dopo la formattazione un antivirus leggero come antivir.
Imho è il migliore anche tra quelli a pagamento.

Beh, è un ordine di prove da fare. Non devi farle tutte, se al punto 2 già il sistema è tornato normale non c'è necessità di passare al 3°

[vincino]

Originariamente inviato da DevilsAdvocate

Se ti rallenta il windows prova a :
1- rimuovere il norton
2- rimuovere spyware/malware/trojans
3- usare un programmino di pulizia del registro
4- formattare

Dopo aver rimosso virus e aver pulito il registro dovrebbe formattare?
Io partirei dal punto 4 direttamente no? E nn reinstallerei Norton AntiWindows!

[black-m01]

ilsensine:

Ciao! Il Completely Fair Scheduler di Ingo non è stato scritto "from scratch", ma "ispirato" dal lavoro di Con Kolivas, che per anni ha mantenuto il proprio Staircase Deadline scheduler al di fuori del ramo ufficiale. (Ma visto che segui lkml saprai già della battaglia tra seguaci religiosi dell'uno e dell'altro)

Non è che avresti un piccolo link a quel metodo che hai menzionato? E' decisamente interessante. Anche se sembra sfruttare un particolare bug di logica di uno scheduler in particolare.

DevilsAdvocate:

Se non si nomina un sistema operativo della Microsoft in un test di sicurezza informatica, è perché si danno per scontati certi risultati. (Scherzo)
Studio vecchiotto? Perché dici? Mi sembra di aver letto si tratti dello Usenix 2007.

Comunque se avete le gdesklets ed il vostro uso di CPU è sotto il 15%, fate qualcosa, avete qualche problema nel rilevamento.

[step76]

Originariamente inviato da DevilsAdvocate

Prima che si scateni il panico collettivo: se usate Karamba/gdesklets/gkrellm
o desklets e la vostra cpu sta sotto al 10-15% quando non lanciate
programmi o che, allora siete al sicuro...

E invece no, se leggi tutto il paper noteresti che uno degli obiettivi (riuscito) è quello di nascondere il processo in modo da non vedere l'occupazione.

E comunque è il sistema operativo che fa calcola l'occupazione di CPU, pertanto se il sistema operativo è imbrogliato non può fornire un'indicazione precisa in merito. Pertanto i vari karamba/gdesklets/gkrellm e compagnia bella non possono fornire alcuna informazione attendibile.

Il brutto (o bello dipende dai punti di vista) di questo paper è che mette in evidenza come sia possibile realizzare un processo che usa risorse senza che sia possibile capire che sta usando le risorse. Questo significa che un processo così fatto può usare il pc fuori dal controllo dell'utente proprietario, e questa cosa va fuori i vari spyware/malware etc etc e va anche fuori i vari discorsi di user e super user.

Tanto per capirci qualcuno potrebbe realizzare e vendere un prodotto spacciandolo per rivoluzionario in termini di occupazione di CPU perché il SO mostra che occupa l'1%!!!

[Aegon]

Se non c'è Windows è solo perchè queste tecniche sono decisamente TROPPO AVANZATE. Per Win basta molto meno
(alla faccia di chi dice che Vista è l'OS più sicuro al mondo. certo, usando firefox ed tutti altri programmi o.s....si arriva alla decenza. E lo dico da utente windows (perchè la ati x700 mobile sotto linux mi dà problemi assurdi))