Master Boot Record rootkit, a volte ritornano

Non è propriamente vero quello che dici. Anche da linux si può "infettare" l'MBR.
Anzi probabilmente fare dei guai da linux è molto più semplice che da windows.

Se da root mandi un comando del genere:

dd if=/dev/null of=/dev/sda bs=512

cancelli l'MBR e tutte le partizioni primarie del disco sda.

Il problema semmai è che l'utenza Windows è abituata ad avere sempre privilegi di root, almeno fino a WinXP. Questa è una cattiva abitudine che si può benissimo imputare alla Microsoft, ma se uno configura Windows con tutti i crismi del caso (leggi: utenti in modalità limitata) dubito seriamente che in modalità utente si possa fare qualcosa del genere.

se non erro ci sono software in grado di ricostruirle tramite i descrittori di protezione (mi pare si chiamino così dei dati che sono sparsi qua e là nell hdd.
Le partizioni di oggi hanno dei criteri di recuperabilità...anche perchè lo stesso mbr potrebbe anche risiedere in un settore danneggiato...e certi software recuperano i dati alla grande proprio grazie a queste protezioni...
Funzionano anche per NTFS oltre che EXT...

...ma onestamente delle nozioni vaghe in merito...non ricordo nè quali software nè cosa fanno nello specifico, ma solo che lo fanno.

piuttosto una domanda...formattando si va ad eliminare questo rootkit o bisogna fare qualcos'altro?

Con Vista a meno che non si sia disabilitato UAC l'utente ha sempre privilegi limitati, quindi se si usa la testa e non si autorizzano ad elevare i propri privilegi tutte le applicazioni, anche le più sconosciute e maligne anche con Windows non c'è nessun problema.

Mi spieghi cosa volevi dire?

veramente se non ricordo male il MBR bypassa il UAC

edit: scherzavo -> http://www.webnews.it/news/leggi/74...ei-mbr-rootkit/

@DeMoN3

Formattando non si risolve nulla, fidati perchè c'ho perso 2 nottate sul PC di un mio amico che era infestato da una variante di Sinowal. Non mi fiderei nemmeno di nessun tool, perchè ne ho provati a decine ma GMer e Avira mi riconoscevano sempre che l'MBR era corrotto (non riuscivano però a sistemarlo nemmeno con l'Avira Boot Sector Repair Tool). Ovviamente è assolutamente inutile anche un FixMBR perchè ormai il Rootkit è installato a livello di Kernel e al successivo boot di Windows tornerebbe tutto uguale. L'unica soluzione che ho trovato e che mi ha dato fiducia al 100%, drastica purtroppo, è backup dei dati + formattazione a basso livello (http://hddguru.com/). Attualmente, ripeto, non mi fiderei di nessun tool anti virus/malware perchè questo rootkit è fatto veramente a regola d'arte e muta in continuazione.

PS: questi rootkit, attualmente, sono studiati per infettare solo il kernel di XP. Consiglio a tutti di installare Comodo e di tenere il Defense+ in Paranoid Mode per cercare di evitare l'infezione (ovviamente non usare IE è un'altra ottima idea).
Comunque, attualmente i più pericolosi non riescono a modificare il kernel di Vista e se si ha lo UAC abilitato il tentativo di modificare l'MBR da user mode verrebbe comunque bloccato.

ragazzi,scusate,prima che vi scanniate nella solita diatriba Windows Vs Linux,potreste dirmi se formattando si risolvono problemi simili o se bisogna trattare l'hd in qualche maniera?

qui avrai tutte le tue risposte: http://www.hwupgrade.it/forum/showthread.php?t=1715546

in realtà lì non dice come fare se il MBR ti scasina il grub, ma puoi provare a chiederlo in quel thread, dovrebbero saperlo

Comunque, al momento non è ancora nata nessuna diatriba, e speriamo non ne nascano

se ci fai caso pure il tizio si chiama Giuliani...quindi sgrat sgrat...speriamo che non porta sfiga come chi ha annunciato il terremoto

scherzo su

Quoto più o meno su tutto ciò che hai detto, è vero che con ubuntu non puoi loggarti root, ma come hai detto puoi cmq scalare di privilegi con sudo. Ora se la gente usasse solo i repository non ci sarebbero problemi credo (a meno di infezione nei repository), ma in linea teorica potrei mandare uno script maligno ad un utente (che cmq dovrebbe renderlo eseguibile) con un comando che tramite sudo cancelli il contenuto della directory home dell'account utente loggato.

Intendiamoci: è difficile, ma funziona.

Cmq sia se si è un minimo capaci Windows mette a disposizione alcuni strumenti per bloccare gli eseguibili e gli script. Le ACLs di NTFS consentono di togliere il flag di esecuzione per i file all'interno di una cartella, per cui potenzialmente potrei scaricare files lì di default e non sarebbero eseguibili di primo acchitto. Gli integrity levels rafforzano il tutto, andando a costituire la famosa modalità protetta di IE, per cui quello che scarichi nella cartella temponarea di IE non può intaccare il resto del sistema.

Tutto funziona, a meno di bug.



Non c'entra nulla come ho detto, posso fare migliaia di script, finché rimaniamo nell'ambito di sistemi interattivi, tutto è condizionato dall'utente.

Windows ha maggior market share, ed è anche usato da più persone, che in genere vedono il pc come elettrodomestico. Microsoft ha avuto delle responsabilità in alcuni frangenti, ma non totalmente.



Ti stai confondendo... con Java puoi fare alcune cose e non puoi farne altre, Windows mette a disposizione TROPPE librerie per fare quello che dici te, e in genere per usarle devi scrivere programmi in C/C++.

Si può intercettare tutto, perché tutto si traduce in codice assembly.



Windows ha una architettura dei permessi (imho più dettagliata e complessa di quella di linux) sin da Windows NT, la differenza è che di default prima di Vista gli utenti sono tutti Administrator.



Non c'entra nulla, è dai tempi del cucco che i BIOS proteggono contro la sovrascrittura del MBR.



Appunto, lo usano come elettrodomestico, ma in genere usano e provano anche altre applicazioni, per svago... non c'è sempre un set prefissato di programmi.

Una memoria secondaria sarebbe cmq necessaria per i propri dati, siamo OT cmq e non è di questo che si sta parlando.



Ricordi male, l'unico modo per bypassarlo è modificare il kernel e naturalmente questo non è consentito se non hai i giusti privilegi.

Se poi usi Vista a 64bit con PatchGuard allora non hai proprio possibilità di modificare il kernel.

A meno di bug ovviamente.