Sasser: incriminato il giovane virus writer

[Vik Viper]

Originariamente inviato da BigBug
Cmq,
ho deciso di ritirarmi da questa piccola discussione e di darti tutte le ragioni che vuoi, visto che a te do un particolare fastidio nell'esprimere un'inesperta opinione in quanto

nonostante frequenti l'ultimo anno di un corso di info in un'ITI.

Noto con ben poco profitto se non sai la differenza tra "codare" e programmare!! Ti hanno insegnato la differenza tra un batch e, tanto per dire, autocad?

[Vik Viper]

Originariamente inviato da cdimauro
Mi spiace, ma non siamo tutti uguali: questo è il mio modo di fare...

Io sì: l'hanno fatto tanti altri, e non vedo cosa ci sia di male in ciò. Stiamo semplicemente esprimendo una legittimissima opinione. O dovremmo privarci anche di ciò?

E perché mai? Si tratta pur sempre di qualcosa inerente l'informatica. D'altra parte, l'etica per gli "affari informatici" chi la dovrebbero sviluppare, i commercialisti? Sono sempre gli "addetti ai lavori" che hanno maggior competenza...

Allora direi che gli addetti ai lavori in materia penale (decidere che pena infliggere a questo signore) debbano essere persone che hanno studiato il diritto e meglio se quello che riguarda l'ambito informatico. Un sistemista mi pare meno indicato, mi stupisce anche che tu faccia questa confusione.
Sarai anche dottore, ma mi sembri un po' scarso in materia, salvo sentirti davvero, allora, giudice in pectore. Mi sbaglio?

Ovviamente non voglio dire che esprimere una opinione non sia legittimo (in quasi tutti i modi). E il tuo è sicuramente come dici tu legittimissimo. Peccato sappia tanto da chiacchiera da bar.
Quello che chiedevo era innanzitutto una distinzione su cosa è un hacker (o cosa dovrebbe essere), giusto per non fare un giro alla fiera del luogo comune.
Anche leggendo con attenzione il tuo post è EVIDENTE che non fai nessun distinguo... (L'ITALIANO!!!)
Il risultato della tua lunga e profonda riflessione lo esprimerei in relazione alle pene che dici commineresti a tipi come questo scellerato. Dal tuo modo di esprimerti è facile evincere che tu ti senta più sicuro di me in questa materia, non per quanto concerne la conoscenza dei virus!!

[Vik Viper]

Originariamente inviato da canislupus
Ah dimenticavo vorrei far notare una cosa fondamentale a tutti, il virus sasser non danneggiava alcun file, ma mandava solo in crash il servizio lsass e di fatto faceva riavviare il pc, quindi evitate di dire che cancellava i file (perlomeno io non ho evidenziato qusto problema su circa 1500 pc !!!).

Frustrazioni a parte per la burocrazia e la supposta inettitudine dei suoi addetti alla sicurezza (non entro nel merito), vorrei fare una precisazione: l'effetto riavvio, a quanto pare, è un bug di questo virus più che un effetto desiderato!!

cmq suggerisco a tutti quelli che parlano di genialità di leggersi almeno questo:
http://punto-informatico.it/p.asp?i=48024

E' vero: per scrivere un virus non sei il primo che trovi per strada: qcosa devi sapere, ma NON sei un genio SOLO per quello.
Ripeto: a qcuno lo sembrerà così lo stesso, ma è naturale; anche agli amerindi i conquistadores sembravano degli Dei!!
Chi sa, sa bene che l'autore di Sasser (SOLO per aver scritto Sasser) non ha alcuna dote da genio! Al più pare abbia pendente un processo penale per i danni che ha fatto per la sua irresponsabiltà.
Aggiungo che mi auguro che paghi. Non so dire quanto sia il giusto (non spetta a me) ma mi auguro che paghi salato e impari la lezione.
Io il carcere lo conosco per averlo vissuto in presa diretta (anche se non da detenuto) e ci tengo a precisare che cmq sparare anni di carcere sulla base della propria incazzatura è tipicamente sintomo di superficialità e ottusità (almeno in questo ambito).
Tutti liberi di dire str0n%ate, certo, ma sempre str0n%ate rimangono... (anche questa lo è!)

[canislupus]

x Vik Viper

L società per la quale lavoro non è la mia (altrimenti adesso stavo circondato da belle donne in qualche MIA isola privata... ).
Io volevo puntare solo il dito sul fatto che troppo spesso simili "catastrofi" informatiche avvengono perchè vi sono troppi utenti dal clic facile (e non mi si venga a dire che bisogna essere dei geni per capire che se uno sconosciuto mi manda una mail senza testo o cmq incomprensibile e con uno strano allegato, devo essere laureato per pensare che forse non sia il caso di aprirla), ma molte delle colpe sono da imputare anche ai presunti esperti di sicurezza che spesso non sono proprio dei geni in informatica (magari lo sono in altre cose, ma perchè allora fanno questo lavoro) e che soprattutto per motivi stupidi quali una strana burocrazia preferiscono rimandare l'installazione di patch dopo aver fatto delle certificazioni.
Sul fatto che chi ha scritto il virus non sia un genio, nulla da eccepire, però non è possibile che nessuno si renda conto che c'è qualcosa che non va se un ragazzino può mettere in crisi il mondo informatico.

P.S. Scusami mi potresti dire allora quali altri inconvenienti dava il sasser (a parte diffondersi e replicarsi). Ovviamnete sto parlando solo di problemi informatici (quindi non considerare il tempo perso e l'eventuale lavoro non prodotto).

[leoneazzurro]

Attenzione che tenere aggiornati i Pc di un'azienda, sotto Win, non è semplice, soprattutto se sei privo di adeguati sistemi per la distribuzione (che costano - grazie a MS - tantissimo) degli update in rete.
E hai voglia a dire agli utenti che dovrebbero fare ogni tanto clic su quell'iconcina con su scritto "windows Update".
Quando escono delle patch, al momento, io debbo scaricarmi il file eseguibile e lanciarlo su ogni singola macchina (ce ne sono una cinquantina).
E hai voglia a parlare alla direzione di "remote manageability", che quando vedono i costi connessi all'ACQUISTO di una soluzione Update server o remote managament, ti mandano a .....

Molto spesso non è chi è responsabile IT nelle aziende ad essere inetto, bisogna guardare cosa c'è al contorno.

[Vik Viper]

qual'è il problema? non lo sai o pensi che io voglia dire che ce ne siano alcuni che ti sono sfuggiti?
Nel primo caso leggiti l'articolo che cito, oppure fai una ricerchina con "sasser" su google. Nel secondo caso, se ho dato l'idea di voler dire questo allora ho sbagliato ad esprimermi.
PS l'articolo l'ho citato per 2 motivi:

1o perché evidenzia che il codice di Sasser è pure scritto male oltre che sfruttare una falla non scoperta dall'autore di cui già esisteva addirittura la pacth e già altri avevano sfruttato (alla faccia della genialità).

2o perché gli esperti ritenevano che NON si sarebbe diffuso molto (lungimiranti!!) giusto per riallacciarmi al tuo discorso.

Invece per quanto riguarda la sicurezza io credo che al di là della competenza dell' utente (non è da queste parti che lo si definisce spesso "utonto"?) sia da perseguire anche e sosprattutto proattivamente. Esempi migliori si windows ci sono, e rispondono a politiche più attente di M$ (che ha dimostrato estrema negligenza in questo) per quanto concerne l'argomento.

PS
Ma tu sei il canislupus di clony Italia?

[Italian Stallio]

"Gli hacker serii dovrebbero comunque attenersi alla legge, a prescindere da ciò che si prefiggono. Se vogliono entrare in un sistema, debbono prima richiedere un'autorizzazione nero su bianco dell'interessato, e poi provarci. Altrimenti sono fuorilegge: in Italia si rischia dai 3 mesi ai 3 anni soltanto per questo..."

Non ho mai detto che gli hacker sono in regola. Solo che non fanno quello che fanno per fare casini, mentre i distributori di virus, hanno, come scopo ultimo, quello di fare danni. Ma tutti e due sono fuorilegge.

[Max Payne I]

Vi viene in mente nulla pensando che se ci sono i virus, chi produce gli antivirus è moooooooooooolto contento???se ci sono le falle nel computer, chi produce firewall è moooooooooooooolto contento???
A volte mi solletica l'idea che non siano solo questi ragazzi a creare i virs, ma anche le stesse società che producono gli antivirus.
Direte voi a che scopo???, semplice per gli antivirus gratuiti torna bene perché così dimostrano che hanno delle defimizioni più aggiornate, per quelli non gratuiti idem ma ne fanno più pubblicità e poi sono anche un pelino più professionali (1+1 fa 2).

[cdimauro]

Originariamente inviato da RaouL_BennetH
Qui ci sarebbe molto da approfondire imho, dato che spesso anche la pirateria informatica viene citata come prima fonte di danno economico prima dei virus. Ma un'analisi economica dettagliata non sono sinceramente in grado di farla

Neppure io: non è il mio ramo...

Ma forse non ho espresso bene quello che volevo dire citando l'esempio della pirateria. Io non vedo, da un punto di vista prettamente 'etico' molta differenza tra chi scrive un virus e lo diffonde, tra chi compra un programma per farci reverse engineering e craccarlo, e tra chi scende la mattina a comprare l'ultima copia a 4 euro di w........s 2003 o di qualsiasi altro programma piratato, e non la vedo perchè c'è coscienza nell'atto 'criminoso'

Trasportala sul piano dei virus veri e propri: per te creare un virus che infetti delle persone ha la stessa portata di rubare qualcosa al supermercato?

ma sono più, emotivamente portato a 'perdonare' un adolescente che fa na cazzata per sentirsi un "hacker", che una persona che continuamente acquista e scarica illegalmente prodotti, sapendo di sbagliare e sapendo di creare insieme a tanti altri danni economici. Con il 'perdonare' intendo una pena leggermente più lieve di quella che molti si augurano di dare a quel ragazzo.

Mi spiace, ma non sono d'accordo, proprio perché i danni che crea alla comunità sono decisamente maggiori.

Poi, infine, un'altra piccolissima considerazione: ma avete idea di cosa voglia dire anche un solo anno di carcere?

Non ci sono mai stato, non ti posso rispondere.

Però, da ignorante in materia quale sono, ma non sarebbe meglio progettare a monte un sistema esente da tali problemi? (l'ho sparata grossa adesso?? )

E perché mai? Se nessuno si divertisse a scrivere virus o entrare nei computer degli altri, non si porrebbe neanche il problema...

[cdimauro]

Originariamente inviato da canislupus
Alllora in conclusione io dico, mandiamo in galera il virus writer, ma cerchiamo anche di mandare a casa questi presunti esperti di sicurezza informatica perchè onestamente mi sono rotto di dover rimediare anche ai loro disastri su migliaia di pc (loro non patchano in tempo e io devo rimuovere virus su migliaia di pc per capirci...).

Non posso che essere d'accordo, anche se, purtroppo, la maggior parte dei PC infettati appartiene alla massa di utenti privati...

[cdimauro]

Originariamente inviato da Vik Viper
Allora direi che gli addetti ai lavori in materia penale (decidere che pena infliggere a questo signore) debbano essere persone che hanno studiato il diritto e meglio se quello che riguarda l'ambito informatico.Un sistemista mi pare meno indicato, mi stupisce anche che tu faccia questa confusione.
Sarai anche dottore, ma mi sembri un po' scarso in materia, salvo sentirti davvero, allora, giudice in pectore. Mi sbaglio?

Sbagli. Un sistemista è la persona più indicata perché è perfettamente cosciente dell'implicazione che ha la diffusione di un virus. Al più potrebbe aggiungere delle nozioni in materia di giurisprudenza.

Ovviamente non voglio dire che esprimere una opinione non sia legittimo (in quasi tutti i modi). E il tuo è sicuramente come dici tu legittimissimo. Peccato sappia tanto da chiacchiera da bar.
Quello che chiedevo era innanzitutto una distinzione su cosa è un hacker (o cosa dovrebbe essere), giusto per non fare un giro alla fiera del luogo comune.

Non hai letto i miei precendenti messaggi? Mi sembra che sugli hacker ho riportato tutt'altro che chiacchere da bar...

Anche leggendo con attenzione il tuo post è EVIDENTE che non fai nessun distinguo... (L'ITALIANO!!!)

Hai detto bene: l'italiano. Bisognerebbe imparare a padroneggiare questa lingua prima di lasciarsi andare ad affermazioni troppo leggere...
Sarebbe bastato il solo primo post, ma dopo il secondo dubbi in merito non avrebbero dovuto essercene...

Il risultato della tua lunga e profonda riflessione lo esprimerei in relazione alle pene che dici commineresti a tipi come questo scellerato. Dal tuo modo di esprimerti è facile evincere che tu ti senta più sicuro di me in questa materia, non per quanto concerne la conoscenza dei virus!!

Esperienza, semplicemente esperienza...

[cdimauro]

Originariamente inviato da Vik Viper
Io il carcere lo conosco per averlo vissuto in presa diretta (anche se non da detenuto) e ci tengo a precisare che cmq sparare anni di carcere sulla base della propria incazzatura è tipicamente sintomo di superficialità e ottusità (almeno in questo ambito).
Tutti liberi di dire str0n%ate, certo, ma sempre str0n%ate rimangono... (anche questa lo è!)

Non mi sembra di aver visto un altrettanto valido metro di valutazione anche da parte tua, per cui non mi permetterei di apostrofare in questo modo chi ha espresso opinioni valide tanto quanto le tue...

[cdimauro]

Originariamente inviato da Vik Viper
Invece per quanto riguarda la sicurezza io credo che al di là della competenza dell' utente (non è da queste parti che lo si definisce spesso "utonto"?) sia da perseguire anche e sosprattutto proattivamente. Esempi migliori si windows ci sono, e rispondono a politiche più attente di M$ (che ha dimostrato estrema negligenza in questo) per quanto concerne l'argomento.

Negligenza? Mi sembra che le patch relative alla sicurezza escano abbastanza regolarmente...

[cdimauro]

Originariamente inviato da Italian Stallio
Non ho mai detto che gli hacker sono in regola. Solo che non fanno quello che fanno per fare casini, mentre i distributori di virus, hanno, come scopo ultimo, quello di fare danni. Ma tutti e due sono fuorilegge.

Quoto. Anche se per me entrare in un sistema, anche se "a fin di bene", è equivalente ad entrare nella casa di un'altra persona, che ritengo un atto molto grave...

[canislupus]

x leoneazzurro

Ehm forse mi sono espresso un tantino male...
Io lavoro per conto dell'IBM (non sono dipendente... magari... ) presso una multinazionale che ha all'incirca il fatturato di mamma MS e quindi credo che mettere su un server che ha il solo scopo di distribuire le patch direttamente al logon dei vari pc aziendali non sia nè un problema di costo nè di fattibilità.
Allo stato attuale dove lavoro fanno una cosa molto simile tramite degli script che partono al logon di ogni macchina e che provvedono a distribuire alcune patch già "certificate".
Il problema che volevo evidenziare è che purtroppo spesso in grosse realtà aziendali si aspetta moltissimo a distribuire queste patch adducendo motivazioni quali la certificazione delle stesse (ora dimmi tu che senso ha certificare e installare una patch per Outlook Express, se per policies aziendali noi usiamo SOLO Outlook con un server di Exchange ?). Certo la colpa di simili atteggiamenti è da cercarsi anche in una burocrazia assurda, ma credo che in parte sia colpa anche di alcuni responsabili della sicurezza che non si rendono conto che a volte queste patch vanno a tappare delle falle spaventose e preferiscono aspettare mesi per una presunta certificazione, lasciando di fatto i pc vulnerabili a qualsiasi attacco.

x VikViper

Io non ho assolutamente sostenuto che il Sasser sia stato scritto bene. Volevo solo porre l'accento sul fatto che un ragazzo di 18 anni sfruttando una falla conosciuta da tempo e con un virus scritto anche male è riuscito a mettere in ginocchio milioni di pc (e non stiamo parlando solo dei pc degli utonti, ma anche di pc di grosse società... ne so qualcosa io che mi sono dovuto divertire a toglierli a mano... ).

P.S. Indovina un po'... Sì, sono proprio io... Quel matto là dell'admin...

[leoneazzurro]

[quote]Originariamente inviato da canislupus
x leoneazzurro

Ehm forse mi sono espresso un tantino male...
Io lavoro per conto dell'IBM (non sono dipendente... magari... ) presso una multinazionale che ha all'incirca il fatturato di mamma MS e quindi credo che mettere su un server che ha il solo scopo di distribuire le patch direttamente al logon dei vari pc aziendali non sia nè un problema di costo nè di fattibilità.
Allo stato attuale dove lavoro fanno una cosa molto simile tramite degli script che partono al logon di ogni macchina e che provvedono a distribuire alcune patch già "certificate".
Il problema che volevo evidenziare è che purtroppo spesso in grosse realtà aziendali si aspetta moltissimo a distribuire queste patch adducendo motivazioni quali la certificazione delle stesse (ora dimmi tu che senso ha certificare e installare una patch per Outlook Express, se per policies aziendali noi usiamo SOLO Outlook con un server di Exchange ?). Certo la colpa di simili atteggiamenti è da cercarsi anche in una burocrazia assurda, ma credo che in parte sia colpa anche di alcuni responsabili della sicurezza che non si rendono conto che a volte queste patch vanno a tappare delle falle spaventose e preferiscono aspettare mesi per una presunta certificazione, lasciando di fatto i pc vulnerabili a qualsiasi attacco.


Appunto.. in GROSSE realtà aziendali il costo di quello che dici tu non è rilevante. In piccole aziende, come dove lavoro io, son costi che non si possono prendere alla leggera, soprattutto dopo aver pagato fior di quattrini per le licenze di SO, Office e software di gestione

[DioBrando]

Originariamente inviato da cdimauro
Sbagli. Un sistemista è la persona più indicata perché è perfettamente cosciente dell'implicazione che ha la diffusione di un virus. Al più potrebbe aggiungere delle nozioni in materia di giurisprudenza.

Non sn d'accordo, semmai dovrebbe essere il contrario e cioè uno studioso di giurisprudenza che si avvale o dell'esperienza o degli studi o anche della collaborazione di persone che lavorano nel ramo; ma se occorre elaborare delle pene, chi dirige la discussione e l'elaborazione di nuove norme deve essere la stessa persona che per lavoro mastica e si può dotare di una cultura ben formata e solida alle spalle in campo giurididico.
Perchè il solo giurista ha la capacità di modificare di valutare l'apporto o la modifica di una norma senza alterare o squilibrare tutto il sistema, se parliamo dell'Italia, molto complesso e fragile di persè.

Altrimenti sarebbe come chiedere ad un gioielliere di valutare, sulla base delle sue esperienze di commerciante derubato, le pene da attribuire ai ladri di oggetti preziosi.
Potrà anche fare una stima dei danni apportati e tradurlo in tempo da trascorrere in carcere ma n avrà mai la percezione 1) dei cambiamenti che avvengono per riflesso al sistema penale 2) la sua valutazione sarà solo empirica mentre dietro alla creazione di una regola c'è tutto uno studio che parte da molto lontano, da correnti di pensiero anche diametralmente opposte tra loro.

Non hai letto i miei precendenti messaggi? Mi sembra che sugli hacker ho riportato tutt'altro che chiacchere da bar...

Quello che hai riportato è un estratto dell'Enciclopedia Jargon che resta uno degli scritti + importanti per capire l'hacking ma anche un ottimo glossario per l'Informatica in generale.
Però sai benissimo che con hacking, se guardiamo soprattutto come è nato il termine e quali sn state le persone che ne hanno dato l'origine n è sinonimo di entrare in un computer senza essere autorizzati.

E' una filosofia che và molto oltre, uno stile di vita se vogliamo, di quelle persone che tentano di capire ( come può essere chessò un ragazzo appassionato di elettronica che smonta il telecomando di casa e tenta di capire come è fatto, entrando in possesso autonomamente di conoscenze empiriche) cosa c'è al di là di una scatola ( pc), di una rete ecc. ecc.

Hai detto bene: l'italiano. Bisognerebbe imparare a padroneggiare questa lingua prima di lasciarsi andare ad affermazioni troppo leggere...
Sarebbe bastato il solo primo post, ma dopo il secondo dubbi in merito non avrebbero dovuto essercene...

pranzo e poi finisco scusate

[fek]

Originariamente inviato da BigBug
certo, per persone come te che programmano da una vita tutto è facile, e se solo tu lo volessi potresti mandare al diavolo i computer di tutto il mondo, ma non penso che sia altrettanto capace un ragazzino che non ha fra le mani nemmeno un diploma.

Se non ha nemmeno un diploma vuol dire che non e' tutto sto genio.
Io programmavo in C++ a 15 anni e non ero sicuramente un genio, nonostante tutto ero perfettamente in grado di scrivere un virus del tempo (anni '90).

Questo mi ha semplicemente portato alla conclusione che Sven Jaschan sia, a mio parere, una persona dotata di capacità ben superiori alla media considerando la sua giovane età. (sia kiaro; con ciò non voglio dire che abbia fatto una cosa giusta).

Se davvero avesse capacita' superiori alla media (e non le ha) non si sarebbe fatto beccare.

[RaouL_BennetH]

Un piccolo dubbietto, dopo aver in parte cercato di contribuire a questo 3d ed in parte leggendo le vostre risposte, credevo di avere le idee più chiare, ma invece mi sento un pò disorientato perchè mi chiedevo:

do per buono quello che i più esperti di voi hanno argomentato in merito alla difficoltà o meno di scrivere un virus o un exploit che dir si voglia e, se non ho inteso male, non è sinonimo di arte o particolare bravura nella programmazione o nella conoscenza dei sistemi informatici e, quindi, il dubbio mi sorge spontaneo:

allora, se un ragazzino che, assodata la sua non abilità, assodata la sua non particolare o elevata esperienza nell'ingegneria del software, riesce a fare tutto sto casino in mezzo mondo, allora si potrebbe parlare di....come dire.... "concorso di colpa collettivo"? Nel senso che se tutta la rete informatica, compresa anche quella gestita dal fior fiore degli esperti, rischia di cadere per cose del genere, la nostra, anzi meglio, la mia ignoranza in materia come quella di tanti altri, dovrebbe essere considerata in parte una colpa?

Ma, se mentre io che sono un utonto, e quindi non do particolare peso alle patch, agli aggiornamenti, e al resto, dato che nella vita mi occupo di altro, chi invece si occupa di questo e permette che avvengano determinate cose, non dovrebbe in parte sentirsi anche lui...."colpevole"?

Perdonatemi se non sono riuscito a spiegarmi bene adesso.... sono un pochetto stancuccio

[Ocimin]

Non ci ha messo molto....

http://www.repubblica.it/2004/i/sezioni/scienza_e_tecnologia/sass/sass/sass.html

Ocimin