ZeroAccess: malware capace di bypassare e disattivare i software di sicurezza

[WarDuck]

Originariamente inviato da Kernel69

E' proprio questo il problema: unix è nato unix, windows è nato msdos/windows95...

D'altro canto fino a non molto tempo fa era considerata una follia mettere un qualsiasi sistema unix-like su un PC per uso domestico.

Basta vedere quali erano le alternative nel '95 e a che livello erano come interfaccia utente, facilità di configurazione e installazione dei programmi (che poi i Windows moderni nascono da NT, non certo da Win95).

[eraser]

Originariamente inviato da WarDuck

(che poi i Windows moderni nascono da NT, non certo da Win95).

Basti ricordare come nei sistemi operativi Win9x era possibile passare da user mode a kernel mode in un batter d'occhio, senza neanche caricare un VxD. Chernobyl/CIH docet

[Pier2204]

Originariamente inviato da Obelix-it

Mmmmh, magari quando Microsoft stessa smettera' di fare programmi che hanno bisogno dell'utente Administrator o equivalente per funzionare???

Non mi risulta che ci siano programmi Microsoft che per funzionare abbiano bisogno dell'amministratore, almeno quelli che conosco io. Tutta la serie Office funziona con account limitato, Houtlook pure, IE9, tutta la serie Windows Live (LiveMail, Calendario, Skydrive, Writer, foto, movie maker e Hotmail)

Ho provato anche Money 2000, funziona anche quello...

[WarDuck]

Originariamente inviato da eraser

Basti ricordare come nei sistemi operativi Win9x era possibile passare da user mode a kernel mode in un batter d'occhio, senza neanche caricare un VxD. Chernobyl/CIH docet

Nulla batte il mio format.com (modificato opportunamente nell'editor esadecimale per cambiare le stringhe da "Formatta" a "Verifica" ) nell'autoexec.bat

Probabilmente uno dei primi esempi di social engineering .

[tossy]

Originariamente inviato da WarDuck

Nulla batte il mio format.com (modificato opportunamente nell'editor esadecimale per cambiare le stringhe da "Formatta" a "Verifica" ) nell'autoexec.bat

Probabilmente uno dei primi esempi di social engineering .

Mi permetto di correggerti

Ai tempi del Ms-DOS avevo modificato il "command.com" e quando accedevi ad un floppy rovinato di solito ti chiedeva:

- Riprova, Ignora, Annulla, Tralascia -

io che non ho mai capito cosa cavolo volessero dire ste 4 possibili risposte mi sono preso la rivincita e le avevo modificate in:

- Riprova, Ingoia, Aborri, Tromba -

Mi ammazzavo dalle risate quando mi uscivano ste possibili scelte .... poi ancora di più quando copiavo il solo "command.com" sul Pc di altri colleghi

scusate x l' OT

bei tempi quando questi erano i problemi dei PC ...

[litocat]

Originariamente inviato da Kernel69

E' proprio questo il problema: unix è nato unix, windows è nato msdos/windows95...

Il problema non e' solo l'os, ma e' anche e soprattutto l'utente. Perche' non e' che su Windows non esista distinzione tra account amministrativi e account limitati... esiste... ma diventa tutto inutile se la maggior parte degli utenti Windows sono utonti che non capiscono che i privilegi di amministrazione vanno usati solo quando e' strettamente necessario.

[shodan]

Originariamente inviato da pabloski

come dissi qualche tempo fa, il paradigma dell'user non è più adatto alle moderne esigenze di sicurezza....è ora di migrare massicciamente verso le capabilities

Ciao,
in realtà con selinux (in ambito Linux) e con i privilegi estesi (in ambito Windows) l'infrastruttura per fare quanto suggerisci (MAC) dovrebbe già essere interamente in piedi.

Il punto è che, soprattutto in ambito Windows (usato anche da moltissimi utenti alle prima armi) è difficile fare in modo che il tutto sia trasparente all'utente...

Ciao.

[shodan]

Originariamente inviato da eraser

Basti ricordare come nei sistemi operativi Win9x era possibile passare da user mode a kernel mode in un batter d'occhio, senza neanche caricare un VxD. Chernobyl/CIH docet

Ciao,
mi sembra di ricordare che in DOS/Win3.1/Win95 tutti i programmi giravano già in ring 0, quindi in effetti si era già in kernel mode (anche se poi concettualmente c'erano le api user mode e quelle kernel mode).

Certo che CIH96 fu un vero flagello!

Ciao.

[Akeela]

Avete notato come ad ogni "nuovo" malware di turno, c'è sempre una specifica (e spesso diversa) azienda di antivirus che "lo tiene d'occhio" e "lavora per noi" ?

[eraser]

Originariamente inviato da shodan

Ciao,
mi sembra di ricordare che in DOS/Win3.1/Win95 tutti i programmi giravano già in ring 0, quindi in effetti si era già in kernel mode (anche se poi concettualmente c'erano le api user mode e quelle kernel mode).

Certo che CIH96 fu un vero flagello!

Ciao.

Diciamo che detta così è abbastanza errata come frase, ma per dare una spiegazione più dettagliata e corretta bisogna ritirare fuori argomenti decisamente lunghi

Mi limito al momento a Windows 9x (95/98) senza tornare troppo indietro. Sia Windows 95 che Windows 98 erano configurati per utilizzare sia il ring0 - dove girava il kernel - che ring3.

La più grande falla che c'era, utilizzata per primo da Chernobyl ma successivamente sfruttata da parecchi altri, era che l'IDT, l'Interrupt Descriptor Table, era modificabile da ring3, permettendo così l'esecuzione di codice arbitrario in ring0.

[eraser]

Originariamente inviato da Akeela

Avete notato come ad ogni "nuovo" malware di turno, c'è sempre una specifica (e spesso diversa) azienda di antivirus che "lo tiene d'occhio" e "lavora per noi" ?

How many viruses are made by anti-virus companies?

[shodan]

Originariamente inviato da eraser

Diciamo che detta così è abbastanza errata come frase, ma per dare una spiegazione più dettagliata e corretta bisogna ritirare fuori argomenti decisamente lunghi

Mi limito al momento a Windows 9x (95/98) senza tornare troppo indietro. Sia Windows 95 che Windows 98 erano configurati per utilizzare sia il ring0 - dove girava il kernel - che ring3.

La più grande falla che c'era, utilizzata per primo da Chernobyl ma successivamente sfruttata da parecchi altri, era che l'IDT, l'Interrupt Descriptor Table, era modificabile da ring3, permettendo così l'esecuzione di codice arbitrario in ring0.

Ciao,
hai ragione, ricordavo male! Grazie dell'info...

Qui ho trovato qualcosa di interessante: http://vx.netlux.org/lib/static/vdat/turingrs.htm

EDIT: ecco, ricordavo questo: http://win32assembly.online.fr/vxd-tut1.html - cioè l'uso di una VxD dinamica per entrare nel Ring0.

Ciao.

[Spectrum7glr]

presonalmente credo che se metti in mano una distro Linux a quello stesso utente di win7 che clicca su qualsiasi cosa per installarla i risultati siano perfettamente sovrapponibili....insomma è vero che win7 di default ti mette come amministratore ma non si tratta del vecchio Administrator di winXP: di fatto di default è ancora soggetto all'UAC...in altri terminiu se la cosa su cui si clicca è in predicato di installare qualcosa ricevi comunque la richiesta di conferma...ora, se uno messo davanti a questa richiesta clicca come un ebete non vedo perchè messo su Linux non dovrebbe confermare l'installazione inserendo nel relativo prompt le credenziali dell'utente amministratore. Qualcuno obietterà che l'inserimento di credenziali costituisce un passaggio meno immediato e che quindi in quel lasso di tempo l'utente potrebbe farsi delle domande...ok: ma che risposte volete che si dia uno che HA GIA' DECISO di installare quella cazzata? farebbe lo stesso se operasse da utente limitato in windows: alla richiesta metterebbe le credenziali di amministratore e via.

In altri termini il problema è nella testa delle persone che sono disposte a scaricare ed installare qualsiasi cosa prometta ad esempio di craccare photoshop o l'ultima iso scaricata con bittorrent...LORO VOGLIONO dare i permessi al programma perchè come degli ebeti si fidano della prima cosa che trovano su internet che prometta di risolvere il loro problema contingente (giocare a COD 72, usare Photoshop 24, far vedere donne nude etc etc): cosa può fermare il proprietario di un computer che HA DECISO di installare una cosa se è convinto che quella cosa risolverà il SUO PROBEMA CONTINGENTE?(se si esclude l'uso della materia grigia) niente, sia su Linux che su Windows.
Alle volte sorrdio quando leggo che il sistema X è più sicuro: ok, possiamo guradere il numero di falle e fare una classifica ma anche un sitema senza falle (che non esiste) non può nulla contro la volontà imbecille dell'utente (come in questi casi)...cazzo nel mondo reale c'è gente che gira con un CD attaccato allo specchietto retrovisore della macchina perchè è convinta che li salva dall'autovelox: cosa pensate che farebbe uno così con un SO che abbia i permessi sistemati come Linux? la stessa cosa che fa con windows: un casino immane...ecco, al limite ci metterebbe più tempo a capire come installare il crack per Photoshop ma una volta risolto l'arcano farebbe le stesse cazzate di prima (oppure credete davvero che "più scomodo" = "più sicuro" sia una policy di sicurezza credibile?).

[omerook]

il video dimostrativo è interessante!

a) vedo che le battiaglie ai malware vengono fatte per lo più con strumenti gratuiti alla faccia delle suite da decine euro l'anno

b) potevate anche fare dei test dove erano già presenti degli antivirus installati, per vedere chi sopravviveva, perche cosi, con il pc totalmente scoperto, penso che quasi tutti i malware oggi in circolazione riescono a prendere "possesso del sistema" e ad inibire l'installazione degli antivirus e l'utillizzio di tool per la pulizia.

[darkpanze]

ebene si ecco un "utonte" che ha avvuto a che fare con questo fstidiodissimo rootkit...praticamente l'ho fatto esseguire come il tizio nell video...e in 10 secondi ha preso il controllo dei miei programmi di esecuzione tipo il mi antivirus Avira premium Security che per stressarmi il pc mi facceva l'aggiornamento ogni 5 secondi e disabilitandomi tuneup che lo uso per la sua estensione dell program deactivator...praticamente ho fatto eseguire la scansione di avira che lo conosceva come virus e che in teoria lo cancellava ma in pratica non gli facceva niente perché rimaneva sempre disattivato il controllo in tempo reale del antivirus, anche manualmente non riuscivo ad eseguire il servizio stessa cosa anche per altri programmi...cosi ho fatto eseguire anche cmbofix con i stessi risultati...cosi decisi di fare il ripristina dell pc ad una data precedente...il che andava bene ma quando si riavviava il pc diceva che per causa di un errore non si era riusciti a fare il ripristina...quindi l'unica alternativa mi rimaneva la formatazione...ma prima ho pensato di andare in modalità safe mode e lì alla fine con il ripristina per magia sono riuscito a fare il ripristina il che mi ha fatto scomprarire in pratica il problema e mi ha riportato il pc...alla normalità...adesso non so se questo rootkit sia scomparso dell tutto dall mio pc...ma di fatto non mi da nessun problema e se sta zitto...senza rompere lo posso anche ospitare nell mio pc...

Beh mi ha fatto fare 4-5 ore di bella battaglia le mie competenze da nabbo contro questo rootkit aggiornato...ma alla fine sono riuscito a vincere...viva la modestia...:P

P.s. ma siamo sicuri che questi rootkit non siano opera delle proprio companie di antivirus???