[NEWS] ALLARME ROOTKIT nel MBR HD (infetta anche VISTA)

[sampei.nihira]

http://www.antirootkit.com/blog/

La notizia è riportata in italiano anche da PianetaPC:

http://www.pianetapc.it/view.php?id=1019

p.s. ( Ricordo che la versione stabile di Gmer è la 1.0.13,quella usata per lo scan nell' immagine è una beta)

[c.m.g]

grande sampei, ottima bews, grazie per averla condivisa con noi. in quanto a questa minaccia, sta accadendo purtroppo quel che temevo da tanto tempo!!!
p.s.: non riesco a trovare la versione beta del programma...

edit: eccolo:

http://www2.gmer.net/beta/

[riazzituoi]

.

[c.m.g]

Originariamente inviato da riazzituoi

"L’unica difesa efficace contro di loro, al momento, è la prevenzione"



Chi ha scritto quella frase dovrebbe farsi un giro nell'area "aiuto sono infetto"

[c.m.g]

Originariamente inviato da deepdark

Ma nel caso in cui io formatti in fat32, si presenterebbe lo stesso il rischio dell'infezione del MBR?

no, è risaputo che i rootkit possono coesistere solo in partizioni di tipo ntfs; le stesse specifiche del file system lo prevedono, che poi lo si usi per scopi malevoli, è un altro discorso.

[GmG]

Originariamente inviato da c.m.g

no, è risaputo che i rootkit possono coesistere solo in partizioni di tipo ntfs; le stesse specifiche del file system lo prevedono, che poi lo si usi per scopi malevoli, è un altro discorso.

Non è vero solamente alcuni rootkit usano gli ADS per nascondersi.


------------
altre notizie sul blog di prevx

Master Boot Record Rootkit is here and ITW
MBR Rootkit: follow up

Dove si può leggere questa "bella" notizia

We've seen that one of the most widely exposed countries to this attack is Italy, where these malicious pages are already seen on compromised web sites.

[sampei.nihira]

Originariamente inviato da GmG

Non è vero solamente alcuni rootkit usano gli ADS per nascondersi.


------------
altre notizie sul blog di prevx

Master Boot Record Rootkit is here and ITW
MBR Rootkit: follow up

Dove si può leggere questa "bella" notizia

GmG,appurato che la notizia è "bella"........... che si fà ?

1) Si passa (si dice "prima o poi" ma dopo la "bellezza" della notizia si decide per il prima) tutti a LINUX ?

2) Si consiglia agli utenti in via precauzionale un backup del MBR (mai fatto) tramite il (mi sembra...... ) "facilissimo" MBRTOOL 2.3 ?

3) Si fà finta di nulla ?

Dai fai un consulto con Eraser e poi facci sapere qualcosa......OK ?

[sampei.nihira]

Io naturalmente propendo (non c'è bisogno di nasconderlo) per la mia Iª soluzione.
E non c'è articolo che posso leggere che possa farmi cambiare idea tra un'uguaglianza,allo stato delle conoscenze e soluzioni attuali, in sicurezza tra WINDOWS vs LINUX.

Anzi se prendo la lista dei malwares con caratteristiche di rootkit del sito antirootkit.com (naturalmente tutti per sistema windows anche nell'anno 2007 appena trascorso) e faccio una previsione prudente a venire per i prossimi 5 anni ipotizzando un tasso di crescita simile a quella degli anni 2006-2007 (che lo facciamo pure gli utenti è del 110 % circa) troviamo che frà 5 anni il numero dei malwares con caratteristiche di rootkit sarà circa l'astronomica cifra annuale di:

16.453.

Nel 2006 erano (192) nel 2007 sono stati (403).

Ma stiamo scherzando ?

[sampei.nihira]

Un'analisi più approfondita rispetto all'articolo iniziale di antirootkit.com scritta (in italiano) da ERASER trà ieri ed oggi nel suo PC AL SICURO.
Gli utenti Vista con UAC abilitato quindi possono dormire (al momento ? ) sonni più tranquilli ?

[CARVASIN]

Scusate la domanda forse stupida ma chi usa grub è al "sicuro" da questo rootkit?

Ciao e grazie!

[c.m.g]

Originariamente inviato da GmG

Non è vero solamente alcuni rootkit usano gli ADS per nascondersi. [...]

beh se lo dici te, non posso controbattere, io ero convinto che i rootkit girassero solo sotto ntfs, comunque grazie per la precisazione

[c.m.g]

Originariamente inviato da sampei.nihira

[...]

2) Si consiglia agli utenti in via precauzionale un backup del MBR (mai fatto) tramite il (mi sembra...... ) "facilissimo" MBRTOOL 2.3 ?
[...]

aggiunto nella cassetta degli attrezzi, può sempre servire

[lancetta]

Mi chiedo se utilizzando i vari soft di virtualizzazione (tipo Sandbox,returnil,ecc...) possano ovviare al problema..

[W.S.]

Originariamente inviato da CARVASIN

Scusate la domanda forse stupida ma chi usa grub è al "sicuro" da questo rootkit?

Ciao e grazie!

Ciao, credo che un bootloader nell'MBR non cambi la situazione visto che il rootkit sposta il vecchio MBR e poi lo esegue. Forse però qualche speranza c'è, bisognerebbe provare .
Sicuramente basta reinstallare grub nell'MBR per cancellare il rootkit (ovviamente fino alla prossima infezione).

@lancetta: quei sistemi di protezione sono sicuramente utili per evitare l'infezione, una volta infetti però non sarebbero di grande aiuto.

[Riverside]

L’unica difesa efficace contro di loro, al momento, è la prevenzione, una prevenzione rappresentata da un sistema di sicurezza stratificato, o multi livello. Purtroppo, come è accaduto per altre precedenti minacce informatiche, e per i programmi e le metodologie per difendersene, c’è da prevedere che la comunità dei normali utenti informatici , notoriamente restia e anche lenta nel percepire gli allarmi e le informazioni sulla sicurezza dei loro pc, dovrà aspettare di rimanere più o meno gravemente scottata anche dall’insidia dei rootkit, prima di rendersi conto della necessità di provvedere a difendersi da essi.

Prevedo un forte aumento del traffico nella sottosezione Aiuto sono infetto

Originariamente inviato da sampei.nihira

Gli utenti Vista con UAC abilitato quindi possono dormire (al momento ? ) sonni più tranquilli?

Sampei, sarebbe, davvero il colmo quel rompiballe di UAC, sul nuovo ebook che ho acquistato (putroppo, con installato Vista Businness) lo ho appena sdradicato e stroncato

[riazzituoi]

.

[Riverside]

Originariamente inviato da riazzituoi

Ciao, Returnil protegge l'MBR
altra alternativa HDHACKER:
mini utilità che serve per salvare, visualizzare, ripristinare l'MBR

Preso nota

[Chill-Out]

Per rimuovere l'eventuale infezione si potrebbe provare da Console di Ripristino con il comando fixmbr .

[Chukie]

Originariamente inviato da riazzituoi

altra alternativa HDHACKER:
mini utilità che serve per salvare, visualizzare, ripristinare l'MBR

Non funzionerebbe, leggete meglio l'analisi del malware

[c.m.g]

se ne parla anche da Tweakness:

http://www.tweakness.net/index.php?topic=4287