Antivirus e storie su Vista

[pistolino]

Originariamente inviato da hexaae

Dunque,
ho seguito quel link e ho anche eseguito alcuni di quei leak-test che in effetti su una config base (ovvero di default, a cui non si è messo mano) funzionano... ma il punto è che tutti quelli che vanno sono test in outbound, ovvero tu li lanci in locale (e sottolineo questo fatto) e si collegano all'esterno. Beh, non c'è nulla di strano dal momento che Vista ha il firewall di default impostato in modo da consentire collegamenti in outbound senza regole! Alcuni di quei test più critici falliscono nella creazione di file in locale (come mi attendevo, date le nuove protezione di Vista) quindi sono inutili. Inoltre volendo si può benissimo impostare il fw di Vista in modo da bloccare le connessioni outbound non consentite esplicitamente, bastano pochi click del mouse. A questo punto nemmeno la maggior parte di quei leak-test che prima funzionavano, andranno più. Qualcuno di quei test, come il Thermite ancora funzioneranno ma...

La morale è molto semplice: se accedi ad una macchina in locale e le fai eseguire del codice (= lanci un programma), beh, stai sicuro che non esiste Vista o Linux o Solaris che tengano dal momento che puoi fargli fare teoricamente tutto quello che vuoi. Dipende tutto dall'abilità di chi ha creato il malware e dalla sua conoscenza dell'OS. Non esiste protezione alcuna. È un falso problema di sicurezza perciò! Il problema vero è bloccare i virus e il malware in entrata (email, WWW, eventuali scambi di file infetti con conoscenti, e accessi in-bound indesiderati tramite porte etc.) cosa che Vista con un antivirus "classico" fa benissimo. Insomma nessun allarmismo io direi...

Il problema è che se un programma (come quelli ad esempio) non viene rilevato dalle firme di un antivirus, può avviarsi da solo e inviare dati all'esterno senza problemi. Il problema non è limitato ai leaktests, bensì si aggrava in caso di rootkit e altri tipi di malware.

Originariamente inviato da hexaae

Non mi fido affatto a lasciare "sostituire" da un av parti del kernel nella speranza di un'AI che intercetti simili comportamenti virali... Io resto di questa opinione

Erroneamente si parla di "patchare" il kernel. In realtà il kernel non viene toccato da HIPS o dai software antivirus. Semplicemente questi prodotti installano un layer (strato) aggiuntivo tra user mode e ring 0 (ovvero il kernel) rilevando tutte le chiamate effettuate verso le API. E' diversa quindi la faccenda...
Ho cercato di tradurre il tutto in modo piuttosto semplicistico...per approfondire, puoi andare nmel thread degli HIPS.

Regards

[hexaae]

Originariamente inviato da pistolino

Il problema è che se un programma (come quelli ad esempio) non viene rilevato dalle firme di un antivirus, può avviarsi da solo e inviare dati all'esterno senza problemi. Il problema non è limitato ai leaktests, bensì si aggrava in caso di rootkit e altri tipi di malware.

Come potrebbe "avviarsi da solo"? Il miglior av resta sempre il cervello dell'utente da quello che ho imparato...

Originariamente inviato da pistolino

Erroneamente si parla di "patchare" il kernel. In realtà il kernel non viene toccato da HIPS o dai software antivirus. Semplicemente questi prodotti installano un layer (strato) aggiuntivo tra user mode e ring 0 (ovvero il kernel) rilevando tutte le chiamate effettuate verso le API. E' diversa quindi la faccenda...
Ho cercato di tradurre il tutto in modo piuttosto semplicistico...per approfondire, puoi andare nmel thread degli HIPS.
Regards

Parla pure tecnicamente, quei termini che non conosco me li vado a trovare facilmente. A livello concettuale ti seguo bene (ho una lunga esperienza informatica ma non in questo specifico campo. Però mi permette di capire di cosa parli...).
Sto leggendo con interesse articoli a riguardo... anche nel thread su questo forum

P.S.
Mi lascia di stucco una cosa... Ma il fw di Vista è davvero così tonto da farsi prendere in giro da un task con lo stesso nome di uno "consentito" in outbound e inbound senza fare checksum!?!??? Sono cose in cui nessun fw moderno cascherebbe!
Se è così devo rivedere completamente la mia posizione sulla sua presunta (decente) qualità!

[pistolino]

Originariamente inviato da hexaae

Come potrebbe "avviarsi da solo"? Il miglior av resta sempre il cervello dell'utente da quello che ho imparato...

Semplice. Se un file dannoso non viene rilevato dall'antivirus, questo potrebbe aggiungersi nella sezione di avvio del registro di sistema (operazione perfettamente possibile anche in user-mode tramite script o .bat) cosicchè, al riavvio successivo, potrebbe avviarsi automaticamente, comunicando eventualmente con l'esterno (aggirando il firewall o utilizzando le tecniche di uno di quei leaktests) oppure arrecando al sistema altri tipi di danni.

Originariamente inviato da hexaae

Parla pure tecnicamente, quei termini che non conosco me li vado a trovare facilmente. A livello concettuale ti seguo bene (ho una lunga esperienza informatica ma non in questo specifico campo. Però mi permette di capire di cosa parli...).
Sto leggendo con interesse articoli a riguardo... anche nel thread su questo forum

P.S.
Mi lascia di stucco una cosa... Ma il fw di Vista è davvero così tonto da farsi prendere in giro da un task con lo stesso nome di uno "consentito" in outbound e inbound senza fare checksum!?!??? Sono cose in cui nessun fw moderno cascherebbe!
Se è così devo rivedere completamente la mia posizione sulla sua presunta (decente) qualità!

OK.

Per il firewall di serie, non ho mai dubitato della sua scarsa efficienza.

Regards

[hexaae]

Originariamente inviato da pistolino

Semplice. Se un file dannoso non viene rilevato dall'antivirus, questo potrebbe aggiungersi nella sezione di avvio del registro di sistema (operazione perfettamente possibile anche in user-mode tramite script o .bat)

E perché uno script o bat in user-mode si lancia da solo??? Come sempre se l'utente non è utonto da eseguirlo non c'è rischio...

Originariamente inviato da pistolino

OK.

Per il firewall di serie, non ho mai dubitato della sua scarsa efficienza.
Regards

Se è davverò così pirla mi tocca cercarne uno free 100% funzionante (e buono) per Vista.... Consigli?

[pistolino]

Originariamente inviato da hexaae

E perché uno script o bat in user-mode si lancia da solo??? Come sempre se l'utente non è utonto da eseguirlo non c'è rischio...

Semplicemente visualizzando anche un semplice spot pubblicitario nel browser.

Originariamente inviato da hexaae

Se è davverò così pirla mi tocca cercarne uno free 100% funzionante (e buono) per Vista.... Consigli?

Mi spiace...di firewall ne conosco numerosi, ma non so suggerirti visto che non so quali funzionano su Vista.

Regards

[hexaae]

Originariamente inviato da pistolino

Semplicemente visualizzando anche un semplice spot pubblicitario nel browser.

Beh insomma dipende da molti fattori e da come hai anche impostato il browser (che si spera abb. decente e intelligente da non consentire certe cose) però...

Originariamente inviato da pistolino

Mi spiace...di firewall ne conosco numerosi, ma non so suggerirti visto che non so quali funzionano su Vista.
Regards

Già... il classico ZA non ho ancora capito se funziona adesso su Vista... ho trovato anche questi: http://puntodivista.wordpress.com/20...ewall-control/