Prevenire è meglio che curare :) Software HIPS

[eraser]

Mi è stato appena dato dello "spooky hacker"

[Romagnolo1973]

Originariamente inviato da eraser

Mi è stato appena dato dello "spooky hacker"

addirittura spettrale!!!
Sti linuxari son quasi peggio dei Melafans
Comunque ha ragione Cloutz, noi Windowsari viviamo nell'insicurezza e in un certo senso siamo consapevoli dell'imperfezione che ci circonda, gli altri invece cadono dal pero come si dice qua e non accettano neppure le evidenze, contenti loro...

[Kohai]

L'ho sempre detto: la cosa piu' brutta al mondo e' l'ignoranza

[levriero]

Condivido in pieno... winzozz..per "bastardo" che sia.. sotto 7 a 64 bit mi sta dando soddisfazioni audio(ed è tutto dire) che per nulla rimpiango la melina di casa.. e linux..bo..ancora tarda a sbocciare.
Sarò off-topic.. ma 7 a 64 è 2..anzi..3 spanne sopra Xp..
MI SBILANCIO...BRAVA MICROSOFT.

[eraser]

Confermo il mio test con un vecchio post di un addetto ai lavori in Debian:

If you ever believed that there is *any* way to prevent a program having
access to your session to obtain root access when you use the same
session to do stuff as root, you have been abused. It’s possible to make
things harder, but the purpose of locking keyboard and mouse is to avoid
leaking *accidentally* the password. If there is a malicious program
running in your session, you are completely screwed.

E poi lo spooky hacker sono io

[nV 25]

Non conosco il mondo Linux e solo in minima parte quello Windows:
certo è che se una persona con la tua preparazione in materia si esprime in un certo modo, non rilevo francamente alcun motivo per dubitare delle consclusioni cui arrivi che, peraltro, documenti anche a mezzo filmato dimostrativo...



Conclusione che, nel caso in esame, è molto semplice:
i nuovi OS Microsoft (Vista, 7), grazie all'implementazione di una serie di tecnologie pensate proprio allo scopo (e di derivazione dal mondo Unix?), isolano i processi elevati dai processi non elevati che girano sullo stesso Desktop (= inteso come "nella stessa sessione attiva")...
Linux sembrerebbe non fare altrettanto o, per lo meno, restringe un ventaglio minore di azioni tagliate invece dalla tecnologia UIPI di Vista/7, es:

"UIPI prevents lower privilege processes from accessing higher privilege processes by blocking the following behavior.

A lower privilege process cannot:

- Perform a window handle validation of higher process privilege.
- SendMessage or PostMessage to higher privilege application windows. These application programming interfaces (APIs) return success but silently drop the window message.
- Use thread hooks to attach to a higher privilege process.
- Use Journal hooks to monitor a higher privilege process.
- Perform dynamic link library (DLL)–injection to a higher privilege process.",
da MSDN.



----------------------EDIT---------------
IMPERDIBILE

[sampei.nihira]

Buon pomeriggio a tutti,la mia auto-punizione "morale" è alle spalle !!
Meno male,devo ammettere che è stata dura.

Anche se rimarrà (ancora da scontare) quella "corporale" fino al giorno del mio compleanno (io sono della bilancia quindi......)....

Noto che in questo 3D si stà discutendo "di tutto un pò" e tiene banco il test di Eraser per altro molto interessante.
Almeno dal punto di vista teorico.

[eraser]

Prima che qualcuno mi faccia notare che il certificato ssl di pcalsicuro.com è scaduto, lo so Sto provvedendo Dovrebbe essere apposto nel giro di qualche ora al massimo

[Chill-Out]

Experimental Protection [64-bit] http://www.sandboxie.com/phpbb/viewtopic.php?t=10201

[cloutz]

osservando il Whole product dynamic test (link), ho notato tra i valori preliminari che 360.cn ottiene ~96%.
ma 360.cn non è mica il progetto cui il buon Xiaolin, ex sviluppatore del noto () hips Malware Defender, ha aderito??

tifo spudoratamente per lui.

buona serata!

[eraser]

La questione malware in Windows e Linux

[nV 25]

Originariamente inviato da cloutz

ma 360.cn non è mica il progetto cui il buon Xiaolin [...] ha aderito??

si, anche se non si conosce il ruolo che ricopre all'interno di quella realtà (cura sicuramente il [lento] sviluppo di MD, poi?)...

Originariamente inviato da eraser

La questione malware in Windows e Linux

Originariamente inviato da Chill-Out

Experimental Protection [64-bit] http://www.sandboxie.com/phpbb/viewtopic.php?t=10201

alla luce del disclaimer che accompagna questa notizia, non so dirti a priori se questo meccanismo sarà adottato sul mio PC, vedremo...

[sampei.nihira]

Solo per curiosità:

http://www.wilderssecurity.com/showthread.php?t=299026

[nV 25]

Scoperto il 2° Rootkit per piattaforma x64 che sfrutta un canale lasciato appositamente aperto dalla stessa Microsoft per consentire agli sviluppatori di verificare il corretto funzionamento dei programmi che vivono attorno ad un componente kernel mode, Nekus Rootkit.

Per i sistemi operativi a 64bit, "the kernel-mode code signing policy requires that all kernel-mode code have a (valid) digital signature" (dunque, che la componente kernel mode sia validata da Microsoft stessa).
In sostanza, gli OS a 64bit non caricheranno in memoria un driver che non risponda al requisito di cui sopra e, di conseguenza, i "test-signed kernel-mode drivers" (quelli cioè impiegati per finalità di test dagli sviluppatori) "will not load by default on 64-bit versions".
Se invece il sistema è lanciato in modalità TESTSIGNING, "any driver having a digital signature (even not approved by Microsoft) can be successfully loaded by the system", fonte: 1, 2.

Anche questo Rootkit non ha quindi bisogno di bypassare PatchGuard per insidiarsi nella macchina e, a giudicare dall'analisi di EP_X0FF su KMinfo, risulta essere cmq semplice da identificare e rimuovere, nulla dunque in confronto a quanto visto con la sofisticazione di TDL4...

[arnyreny]

Originariamente inviato da nV 25

Scoperto il 2° Rootkit per piattaforma x64 che sfrutta un canale lasciato appositamente aperto dalla stessa Microsoft per consentire agli sviluppatori di verificare il corretto funzionamento dei programmi che vivono attorno ad un componente kernel mode, Nekus Rootkit.

Per i sistemi operativi a 64bit, "the kernel-mode code signing policy requires that all kernel-mode code have a (valid) digital signature" (dunque, che la componente kernel mode sia allo stesso tempo firmata & validata da Microsoft stessa).
In sostanza, gli OS a 64bit non caricheranno in memoria un driver che non risponda al requisito di cui sopra e, di conseguenza, i "test-signed kernel-mode drivers" (quelli cioè impiegati per finalità di test dagli sviluppatori) "will not load by default on 64-bit versions".
Se invece il sistema è lanciato in modalità TESTSIGNING, "any driver having a digital signature (even not approved by Microsoft) can be successfully loaded by the system", fonte: 1, 2.

Anche questo Rootkit non ha quindi bisogno di bypassare PatchGuard per insidiarsi nella macchina e, a giudicare dall'analisi di EP_X0FF su KMinfo, risulta essere cmq semplice da identificare e rimuovere, nulla dunque in confronto a quanto visto con la sofisticazione di TDL4...

chissà se riesce a bypassare anche l'uac

[Chill-Out]

http://blogs.technet.com/b/srd/archi...available.aspx

[nV 25]

Originariamente inviato da Chill-Out

http://blogs.technet.com/b/srd/archi...available.aspx

Ottima segnalazione!

Per l'installazione del nuovo pacchetto è stato sufficiente sovrascrivere la vecchia installazione...

Osservando peraltro la tavola delle mitigazioni "per-process", in linea peraltro con le note che accompagnano il rilascio di questa nuova release, si ricava come, effettivamente, i processi a 64bit godano delle stesse protezioni dei processi a 32bit fatta eccezione per il meccanismo SEHOP, evidentemente non applicabile su questa piattaforma se non a livello di sistema...

Insomma, so felice...



PS: bellissimo, anche se "nudo", il nuovo forum dedicato a questo pacchetto,
http://social.technet.microsoft.com/...n/emet/threads

[nV 25]

Il fatto che la v2.1 possa essere sovrascritta direttamente sopra la v2.0 viene confermata anche da Microsoft stessa per bocca di un suo impiegato,
"So, in few words, if you have 2.0 you can install on top of it 2.1".

Qui, invece, c'è una tavola che riassume le protezioni per-process che possono dar fastidio ad alcuni programmi,
http://social.technet.microsoft.com/...6-a0edd1857875.

I driver ATI, in particolare (ma era scritto anche sulla guida della v2!), NON VANNO D'ACCORDO con l'impostazione "always on" per l'impostazione DI SISTEMA dell'ASLR, pena BSOD al boot della macchina.
Attenzione dunque a NON fare gli sboroni.


A livello DI SISTEMA, dunque, le impostazioni più stringenti che è possibile configurare su un PC con VGA ATI sono riassunte nello screenshot sotto (e che, peraltro, rappresenta la mia configurazione),

[sampei.nihira]

Vero ottima segnalazione, grazie Chill.

Anche io ho sovrascritto la versione precedente.
E mi sono ritrovato nella configurazione applicazioni la nuova lista "Bottom-up Rand".
Quindi disponibile anche per XP.

Veramente ottimo.

[marcoesse]

Originariamente inviato da nV 25

Scoperto il 2° Rootkit per piattaforma x64

scusate se mi intrometto in questo 3D
ho visto segnalato questo
http://www.securelist.com/en/blog/11...to_64_bit?CID=
è stato postato ieri per cui dovrebbe essere news
io però non ci capisco nulla
ciao a tutti