Virus: una panoramica in attesa del futuro

[Nockmaar]

Originariamente inviato da bjt2

Per chi ha paura dei keyloggers... Usate Linux con un browser non molto diffuso, tipo Konqueror, con java e javascript disabilitati e tutte le opzioni paranoiche abilitate e... pregate che il vostro sito di home banking funzioni!!!

Per la questione keyloggers diverse banche si stanno muovendo per promuovere sistemi di autenticazione basati sulla posizione fisica di chi fa il login e, cosa assai piu' intelligente, su one-time passwords.

Se siete verameeeeeeeente paranoici, sotto linux ( ma anche sotto Solaris ) potete usare PAM piu' il modulo per le one-time passwords, ma solo per quanto riguarda l' autenticazione da remoto.

Utile se dovete accedere alla vostra box da fuori casa.

Certo, cosa ci terrete mai di cosi' importante da dover usare un sistema di autenticazione simile...

[DjLode]

Originariamente inviato da Nockmaar

Certo, cosa ci terrete mai di cosi' importante da dover usare un sistema di autenticazione simile...

Porno, Mp3, film, giochi piratati

[biffuz]

Ormai siamo al punto che al posto degli anti-virus dovremmo fare dei pro-tuttoilresto... sono più semplici e ci sono meno cose

[rei.andrea]

Io uso "f-prot" come antivirus da molti anni e mi trovo benissimo.
E' leggerissimo, scandisce TUTTO quello che passa nella memoria del PC,
occupa pochissimo di RAM.

Un pò di statistiche prese con "Process Explorer" su "F-StopW.exe" (l'unico eseguibile caricato da f-prot) con PC acceso da 3 giorni:

Kernel time: 0:00:01.187
User time: 0:00:00.015
Total time: 0:00:01.202

Workin set (memoria utilizzata): 2.092 kb
Peak Workin set (memoria utilizzata picco): 2.108 kb

In questi 3 giorni mi ha avvisato di un paio di virus in alcune mail.

Qualcuno può darmi qualche statistica su Nod32 o può fare un raffronto col suddetto antivirus?

grazie,
ciao.

[M86]

scusate che cos'è l'Euristica e cosa cambia tra le varie tecniche per identificare un virus?

[Mr.Gamer]

Originariamente inviato da M86

scusate che cos'è l'Euristica e cosa cambia tra le varie tecniche per identificare un virus?

Originariamente inviato da wikipedia

Esiste anche un'altra tecnica di riconoscimento detta "ricerca euristica" che consiste nell'analizzare il comportamento dei vari programmi alla ricerca di istruzioni sospette perché tipiche del comportamento dei virus (come la ricerca di file o routine di inserimento all'interno di un altro file) o ricercare piccole varianti di virus già conosciuti (variando una o più istruzioni è possibile ottenere lo stesso risultato con un programma leggermente differente).

mi piace wikipedia, molto chiara e specifica

riguardo alle tecniche per identificare virus già ci sono dei tentativi via "hardware", come ad esempio la tecnologia installata sui processori amd64 (di cui sinceramente adesso non ricordo il nome) che permette di evitare l'esecuzione di "codice malizioso", ma suppongo funzioni con veramente pochi tipi di virus / malware

forse qualcuno che ne sà di piu riguardo questo tipo di protezione saprà aggiungere qualcosa

[LinoX-79]

Originariamente inviato da Mr.Gamer

la tecnologia installata sui processori amd64 (di cui sinceramente adesso non ricordo il nome) che permette di evitare l'esecuzione di "codice malizioso", ma suppongo funzioni con veramente pochi tipi di virus / malware

Quella tecnologia non è efficace contro i virus/malware ma solo contro i buffer overflows (e i virus/malware che si diffondono tramite questi) poiché (SOLO NEI PROGRAMMI APPOSITAMENTE COMPILATI) ogni pagina di dati è logicamente serparata dalle pagine di esecuzione (senza quella tecnologia puoi eseguire del codice presente anche nelle pagine di dati che potrebbero essere appositamente danneggiate da buffer overflows).

Con il NX (no-execute, nome tecnico della "protezione antivirus" di AMD) si evita che porzioni di memoria destinate ai dati vengano eseguite (generando un access violation exception)
I comuni worms-trojan quindi non sono di certo bloccati da tale tecnologia.

Inoltre mi preme ricordarvi che questa pseudo-tecnologia non ha come scopo principale fornire protezione da buffer overflows ma bensì (cosa più terrificante) quella di evitare il code-injection in aree di memoria di un processo che gira (cosa che avviene adesso quando si utilizzano i "loader")
(per chi non lo sapesse un loader è un software che "patcha" in memoria un programma, una specie di crack in memoria perché il programma su disco è crittografato e impossibile da craccare, mentre in memoria viene prima decodificato, poi patchato dal loader e poi eseguito "craccato")

Il no-execute semplicemente complica la vita ai cracker perché non puoi iniettare codice tramite loader in pagine di dati ma devi "limitarti" a patchare il codice nelle pagine di codice...

Il NX spacciato come una miglioria per gli utenti non è altro che l'inizio di palladium (come tutto il resto della tecnologia relativa a palladium. Si dice che eviterà che i virus si spargeranno, che i pc saranno più sicuri, che finirà lo spam.. non è vero niente di niente... i worm ci saranno come ci sono adesso... ma non potrai craccare windows per eseguirlo senza attivazione come si fa adesso con xp).

[12pippopluto34]

Originariamente inviato da LinoX-79

[cut]

Il no-execute semplicemente complica la vita ai cracker perché non puoi iniettare codice tramite loader in pagine di dati ma devi "limitarti" a patchare il codice nelle pagine di codice...

...probabilmente il NX-bit e' ANCHE questo, ed e' cosa buona e giusta, o no?

Tra l'altro e' una soluzione che esiste da un'eternita' su CPU ben piu' professionali anche di parecchi ANNI fa.

Poi, che possa crearci il dispiacere di non poter giocare ai giochini scaricati dal mulo e' un'altra questione, ed IM(NSH)O anche questa e' cosa buona e giusta.

Sempre pero' che il giochino sia stato compilato per sfruttarlo.

Il NX spacciato come una miglioria per gli utenti non è altro che l'inizio di palladium (come tutto il resto della tecnologia relativa a palladium. Si dice che eviterà che i virus si spargeranno, che i pc saranno più sicuri, che finirà lo spam.. non è vero niente di niente... i worm ci saranno come ci sono adesso... ma non potrai craccare windows per eseguirlo senza attivazione come si fa adesso con xp).

Non e' vero proprio per un cazzo!


Il NX-bit serve per non permettere quello spiacevole inconveniente come nei casi di Blaster e Sasser, ovvero un bel exploit remoto su un servizio di sistema che causa l'esecuzione di codice arbitrario, non ovviamente rilevabile nemmeno dal miglior AV di questo mondo, ma chiaramente prevenibile tramite fw!


Se questo e' Palladium, beh, che dire...

VIVA POLLADIUM!


PS: tra l'altro il wpakill patcha si' winlogon, ma non a runtime, ovvero modifica il file ma poi per far funzionare la versione crackata devi ovviamente riavviare.
Per quanto riguarda worm, trojan e spam, e' ovvio che il NX-bit non risolva il problema, mica e' un AV hw!
Difatti la campagna di marketing di AMD in tale circostanza fu duramente criticata.