La classifica di Kaspersky Lab sui peggiori malware di Luglio 2010

Malware individuati nei computer degli utenti 

Rispetto al mese di giugno, non è stata registrata alcuna variazione nella Top-10 della classifica malware sopra riportata. Virus quali Sality e Virut, così come il famigerato worm Kido, non hanno quindi ceduto le loro posizioni nella speciale graduatoria da noi stilata.

La seconda parte della classifica presenta invece numerose sorprese, sotto forma di nuovi programmi maligni entrati a far parte del rating qui analizzato. Ma andiamo ad esaminare per ordine le varie «new entry» che caratterizzano la graduatoria di luglio 2010.

Il programma malware Worm.Win32.Autoit.xl (12œ posizione) è in sostanza costituito da uno script maligno elaborato in linguaggio AutoIt, preposto all'esecuzione di numerosi task dannosi per i computer degli utenti: disattivazione del firewall di Windows, applicazione di regole inibitorie, download ed installazione di ulteriori programmi maligni. E' interessante osservare come quasi un quarto dei casi di rilevamento e neutralizzazione di tale malware si sia prodotto in Brasile. Circa la metà dei rilevamenti, invece, ha avuto luogo in Russia ed in Ucraina.

Annotiamo poi la comparsa in classifica di due nuovi rappresentanti di P2P-Worm Palevo, famiglia di malware di cui abbiamo già ampiamente riferito in occasione di precedenti report da noi stilati: P2P-Worm.Win32.Palevo.aomy (13œ posizione) e P2P-Worm.Win32.Palevo.aoom (16œ posizione).

Ha fatto ugualmente il suo ingresso in classifica la nuova variante «aa» di Exploit.JS.CVE-2010-0806 (15œ posizione), exploit in grado di sfruttare la vulnerabilità CVE-2010-0806, individuata nel mese di marzo dell'anno in corso. I malintenzionati fanno attualmente sempre più ricorso all'applicazione di processi di offuscamento degli script, così come a metodiche di antiemulazione; ciò genera, ovviamente, la progressiva comparsa di nuove varianti del suddetto exploit. Ricordiamo, con l'occasione, come la vulnerabilità CVE-2010-0806 sia altresì utilizzata da due ulteriori programmi maligni presenti in graduatoria: Exploit.JS.Agent.bab (5œ posizione) e Trojan.JS.Agent.bhr (in 6œ posizione). Evidenziamo come questo «trio» compaia ugualmente nella seconda classifica oggetto del presente report, ovverosia il rating relativo ai programmi malware individuati nelle pagine Web.

Un'ulteriore «new entry» è poi costituita da Hoax.Win32.ArchSMS.ih, malware che è andato a collocarsi al 17œ posto di questa speciale graduatoria da noi stilata. Questo singolare programma maligno si è reso protagonista dell'introduzione di un metodo del tutto nuovo al fine di ingannare gli utenti della Rete. In genere il programma viene distribuito camuffato sotto forma di software gratuito e apparentemente legittimo. Al momento della sua apertura compare sullo schermo una finestra nella quale si comunica che il programma è in forma compressa e pertanto, al fine di ottenere la password necessaria per avviare il processo di decompressione dell'archivio, occorrerà procedere all'invio di alcuni SMS (in genere da uno a tre). Il costo di ciascuno di tali messaggi può addirittura raggiungere i 500 rubli (circa 13 euro)! Una volta effettuato l'invio, l'utente riceverà «in dotazione» un programma maligno, oppure un link ad un sito torrent. In altri casi ancora egli si vedrà recapitare un messaggio di errore o un file archivio... completamente vuoto. La stragrande maggioranza dei computer nei quali è stato individuato il programma malware sopra descritto è situata in paesi russofoni: Russia, Ucraina, Kazakhstan, Bielorussia, Azerbaijan, Moldavia (in ordine decrescente per quantità di computer infettati).

L'utility di compressione Packed.Win32.Katusha.n (19œ posizione) viene invece impiegata dai malintenzionati per proteggere numerosi programmi malware dall'azione condotta dai software antivirus. Sotto tale denominazione in genere si nascondono dei falsi antivirus, compressi mediante il «packer» Katusha.

Malware diffusi via Internet

La seconda tabella descrive la situazione su Internet. In questa classifica si trovano infatti malware che sono stati individuati nelle pagine Web, nonché tutti quelli i cui tentativi di caricamento sui computer degli utenti avvengono sempre attraverso le pagine Web.

Come evidenziato nella tabella sopra riportata, nel mese analizzato nel presente report sono entrati a far parte della Top-20 relativa ai malware più diffusi via Internet ben 12 nuovi programmi maligni.

La seconda posizione della nostra speciale classifica risulta saldamente occupata dal tristemente noto Trojan Downloader Pegel, la cui attività, nel corso di questi ultimi tre mesi, si è costantemente mantenuta su livelli elevati. In luglio ha fatto il suo ingresso nei piani alti della classifica una nuova variante di tale script downloader, ovverosia “bp”.

La metà dei programmi malware presenti in questa seconda graduatoria da noi stilata è costituita da exploit; ben 8 di essi sfruttano vulnerabilità già note.

Così come nel mese precedente, è andato ad insediarsi al primo posto della classifica Exploit.JS.Agent.bab, il quale utilizza la vulnerabilità CVE-2010-0806. Questa stessa vulnerabilità viene ugualmente sfruttata da una «new entry» del rating, Exploit.JS.CVE-2010-0806.aa (17œ posizione), e da Trojan.JS.Agent.bhr (collocatosi al 6œ posto). Contrariamente a quanto era lecito attendersi, rileviamo quindi come il livello di «popolarità» raggiunto dalla vulnerabilità CVE-2010-0806 risulti in fase di crescita.

Non cedono le loro posizioni in classifica nemmeno i malware che «rappresentano» la piattaforma Java. Non solo: ai due programmi nocivi già presenti in alcuni nostri precedenti report, ovverosia Exploit.Java.CVE-2010-0886.a (3œ posizione) e Exploit.Java.Agent.f (7œ posizione) si è aggiunto un ulteriore malware, Trojan-Downloader.Java.Agent.jl (insediatosi all' 8œ posto). Gli ultimi due programmi malware sopra citati sfruttano la vulnerabilità CVE-2010-3867 e vengono caricati sul computer-vittima tramite lo script collocatosi al 16œ posto della graduatoria, Trojan.JS.Agent.bmh.

Una delle “new entry” della classifica, Exploit.HTML.CVE-2010-1885.a (3œ posizione) è in pratica costituita da uno script che si avvale della vulnerabilità CVE-2010-1885. Nel nostro blog avevamo già evidenziato la comparsa di tale vulnerabilità. Tuttavia, essa non risultava ancora così “popolare”, come invece lo è stata nel mese passato. Il file che contiene il codice nocivo è costituito da una pagina html, all'interno della quale viene posto un iframe contenente un indirizzo appositamente predisposto dai malintenzionati.

Frammento di Exploit.HTML.CVE-2010-1885.a

Una volta avviato il file, viene effettuato il download di un altro script, identificato da Kaspersky Lab come Trojan-Downloader.JS.Psyme.aoy, il quale, a sua volta, provvede in seguito a caricare ed avviare uno dei malware membri della famiglia Trojan-GameThief.Win32.Magania, preposto al furto delle password utilizzate nell'ambito dei giochi online. È interessante rilevare come nello script intermedio venga applicato un metodo piuttosto singolare per occultare il link maligno; quest'ultimo viene difatti scritto «alla rovescia». Ciò risulta evidente nello screenshot qui sotto inserito:

Frammento di Trojan-Downloader.JS.Psyme.aoy: lo script costituisce un anello intermedio all'interno dello schema operativo utilizzato da Exploit.HTML.CVE-2010-1885.a

Il malware Exploit.Win32.IMG-TIF.b, elaborato per sfruttare la vulnerabilità CVE-2010-0188, era stato per la prima volta descritto già nel mese di marzo; esso ha tuttavia iniziato a diffondersi attivamente solo da poco tempo a questa parte. E' di particolare interesse evidenziare come i virus writer non siano in pratica mai ricorsi all'utilizzo della suddetta vulnerabilità nei due-tre mesi successivi alla sua scoperta.

Scorrendo la classifica dei programmi malware individuati nelle pagine web, rileviamo poi la presenza di due ulteriori exploit: Exploit.JS.Pdfka.bys (collocatosi in 15œ posizione) ed Exploit.JS.Pdfka.cny (18œ posizione). Essi altro non sono che script elaborati per sfruttare varie vulnerabilità presenti nei prodotti Adobe.

Nell'ambito di questa seconda Top-20 del mese di luglio 2010, osserviamo come ben cinque posizioni siano andate ad appannaggio di programmi AdWare: tre varianti di AdWare.Win32.FunWeb (4œ, 9œ e 19œ posizione), AdWare.Win32.Shopper.l (11œ posizione) e AdWare.Win32.Boran.z (13œ posizione). Boran.z rappresenta una delle “new entry” della classifica; questo AdWare era già stato individuato nell'ottobre del 2009: si tratta, in sostanza, di un modulo BHO, distribuito dai malintenzionati assieme al relativo driver di protezione. Tra le novità che caratterizzano la classifica del mese di luglio 2010 troviamo infine Trojan.JS.Agent.bhl, uno di quei programmi abitualmente utilizzati per diffondere in Rete pubblicità moleste. Si tratta, nella fattispecie, di uno script che provvede ad aprire finestre pop-up indesiderate sugli schermi degli utenti. Per bypassare i sistemi di sicurezza preposti ad impedire l'apertura di tali finestre, esso si avvale di varie tecnologie. Lo screenshot sotto riportato mostra un frammento del file contenente il codice (con relativo commento) elaborato per contrastare l'azione svolta dal modulo popup blocker di Norton Internet Security.

Gli ulteriori programmi che compongono la seconda Top-20 costituiscono, in sostanza, veri e propri «anelli» intermedi nella «catena» di diffusione dei principali malware.

Conclusioni

I dati relativi al mese analizzato riflettono ancora una volta la marcata tendenza, da parte dei malintenzionati della Rete, a cercare di diffondere i malware sfruttando le vulnerabilità presenti nel sistema e nelle applicazioni utilizzate dall'utente. I programmi che si avvalgono di tali vulnerabilità risultano presenti anche nel rating riguardante i malware individuati nei computer degli utenti.

Lo script downloader Pegel, così come le vulnerabilità da esso sfruttate (CVE-2010-0806, CVE-2010-3867, etc.), risultano tuttora molto diffusi, nonostante gli sforzi compiuti dalle società produttrici di antivirus, nonché da Adobe e Microsoft per effettuare con prontezza il rilascio delle patch necessarie. Nel mese di luglio è stata rilevata una quantità piuttosto consistente di programmi malware volti a sfruttare le vulnerabilità CVE-2010-0188 e CVE-2010-1885, da noi descritte di recente.

E' inoltre di estrema importanza sottolineare come, al momento attuale, si stia attivamente diffondendo in Rete un nuovo Internet worm, Stuxnet, il cui rootkit driver risulta addirittura provvisto di firme legali. Il worm sfrutta una vulnerabilità presente nei file LNK (i «collegamenti» - o «shortcuts» - di Microsoft Windows), per la quale non è stata ancora rilasciata la patch occorrente. Tale vulnerabilità permette l'esecuzione arbitraria di una dll a totale insaputa dell'utente, ogniqualvolta lo shortcut maligno viene, per così dire, «visitato» da un qualsiasi programma che «rifletta» l'icona dello shortcut.

E per concludere un elemento positivo: è da porre sicuramente in rilievo il fatto che la diffusione di Gumblar pare essersi interrotta. Ma...per quanto tempo ancora?

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

Kaspersky, una tecnologia impedirà la propagazione del malware

Sempre in tema di malware, da Kaspersky Lab arriva una buona notizia, la Società ha comunicato di aver brevettato una rivoluzionaria tecnologia, che permette di prevedere in modo attendibile le dimensioni potenziali delle epidemie di malware, impedendone la propagazione.

Oggi il malware ha la capacità di diffondersi a macchia d'olio, un'epidemia diffusa via Internet può infettare milioni di computer in un solo istante. Queste epidemie possono pregiudicare molte infrastrutture informatiche, portando al collasso le autostrade dell'informazione, creando vulnerabilità nei sistemi con relative perdite di dati e la diffusione di frodi informatiche su larga scala. Il rilevamento di malware su tutti i computer che sono stati infettati durante una epidemia ha poco o nessun effetto. Ciò che occorre è un metodo affidabile per valutare le dimensioni potenziali e l’evoluzione di una epidemia, un sistema di allarme preventivo, e questo è esattamente ciò che la nuova tecnologia sviluppata da Yury Namestnikov, Nikolay Denishchenko e Pavel Zelensky di Kaspersky Lab è in grado di fare. La tecnologia ha ottenuto il brevetto Nr. 7743419 del US Patent and Trademark Office il 22 giugno 2010.

La nuova tecnologia brevettata permette di analizzare le informazioni statistiche sulle minacce ricevute da una rete di monitoraggio globale. La rete analizza i download di malware, gli attacchi hacker e altre simili minacce di sicurezza, registrando i tempi in cui si verificano, la loro origine e la posizione geografica ecc.. Le epidemie emergenti possono quindi essere identificate dal numero di incidenti che si verificano nel corso di un determinato periodo o in un determinato luogo. Questo metodo rende facile individuare l'origine di un'epidemia e prevedere il suo probabile modello di propagazione.

Le misure di protezione possono essere sviluppate e implementate dai paesi interessati dall'epidemia, rallentando così considerevolmente il tasso di proliferazione, fornendo un’efficace limitazione dei danni. Il monitoraggio, la rilevazione e l’analisi dei dati viene effettuata in tempo reale, rendendo questa tecnologia brevettata particolarmente efficace contro le epidemie di malware che si diffondono rapidamente.

"Il nuovo sistema offre molti vantaggi rispetto a soluzioni analoghe. Questa tecnologia contiene un sotto-sistema capace di rintracciare la fonte della minaccia, un modulo che genera misure di protezione e un sotto-sistema che simula la diffusione dell’epidemia", sottolinea Nadia Kashchenko, Chief Intellectual Property Counsel di Kaspersky Lab.

Ad oggi Kaspersky Lab ha depositato più di 50 domande di brevetto negli Stati Uniti, Russia, Cina ed Europa: tecnologie di sicurezza ideate e sviluppate dai tecnici dei Laboratori Kaspersky.

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

Microsoft segnala l'infezione Alureon, e impedisce l'aggiornamento

Alureon è un malware che è venuto alla luce qualche mese dopo un aggiornamento di sicurezza Microsoft, ruba i dati e blocca il computer infetto fino all'inutilizzo.

A seguito della la patch MS 10-015 molti computer infetti si sono ritrovati con la fatidica schermata blu della morte (BLUE SCREEN OF DEATH), dove questo rootkit chiamato anche TDL3 o con il nome di TDSS o Tidserv, e Alureon, spia l’utente per rubare username, password e codici delle carte di credito e blocca il pc.

La patch, modificava in profondità il sistema operativo raggiungendo i kernel di Windows, in questo modo il  rootkit è venuto alla luce, che a causa di un errore di programmazione dello stesso causa il crash del sistema.

Con l'ultimo aggiornamento MS10-021 Microsoft ha integrato, un algoritmo che impedisce nel caso in cui il computer è infetto da un rootkit o un virus, l'installazione dell'aggiornamento per impedire di compromettere ulteriormente  la macchina.

L'algoritmo è stato integrato anche nei predenti aggiornamenti dove se verrà visualizzanto l'errore 0x8007F0F4 nei sistemi Windows XP, Windows Server 2000 e Windows Server 2003 o l'errore 0xFFFFFFFF sui sistemi Windows 7, Windows Vista e Windows Server 2008, significherà che il computer è infetto.

Per impedire queste infezioni è valido come sempre il suggerimento di installare e tenere aggiornati i programmi di sicurezza antimalware e se già infetti usare il tool di rimozione forniti come  (Kaspersky,  Microsoft strumento di rimozione malware, Live OneCare Safety Scanner, eSage Lab TDSS remover, ESET Win32/Olmarik Fixer.

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

Koobface un worm che ritorna

Più che tornare potremmo dire che non se né mai andato, Koobface è un malware che ha preso di mira il famoso Facebook, ma anche altri Social Network e siti.  

A metà anno del 2009, questo worm aveva già subito 575 varianti e solo un mese fa Kaspersky Lab denunciava il raddoppio dei suoi server di comando.

Ora il pericolo arriva da false e-mail in cui il messaggio induce il destinatario a visionare un filmato osé. Il link reindirizza verso un sito Web per visionare un ipotetico filmato chiamato "Video pubblicato da ... Hidden Camera ...". 

Un pop-up avvisa l'utente che per vedere il video è necessario scaricare  un codec.

di ESET

Ed è proprio a questo punto che se l'utente scarica il file e lo esegue,verrà infettato dall'eseguibile Koobface.

Anche qui valgono i soliti consigli :

* prestare attenzione ai link nei messaggi sospetti, anche se il mittente è conosciuto o un amico su Facebook;
* mantenere il browser aggiornato: Firefox 3.x, Internet Explorer 8, Google Chrome, Opera 10, ecc;
* aggiornare sempre il vostro sistema operativo soprattutto se usate Windows;
* aggiornare quotidianamente il vostro software antivirus.


Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

I malware di marzo 2010

Come è di consuetudine, Kaspersky Lab ha redatto la classifica dei malware più diffusi che ci hanno infastidito a marzo 2010.

Questi non sono da considerarsi dei meri elenchi di nomi poco comprensibili, ma un aiuto per capire come i criminali aggrediscono i computer degli utenti ed eventualmente impedire che la cosa capiti anche ai nostri computer.

Le analisi effettuate riportano, nella prima tabella qui sotto, la lista delle maggiori infezioni individuate sui computer degli utenti.

L'analisi di Kaspersky Lab evidenzia la comparsa improvvisa di ben tre versioni del trojan Autorun, si tratta di file autorun.inf-, grazie ai quali si diffondono attraverso le memorie di massa e i dispositivi mobili malware quali P2P-Worm.Win32.Palevo e Trojan-GameThief.Win32.Magania.

Vi è inoltre la comparsa di un nuovo membro della famiglia Packed.

"In questo caso sotto il nome di Packed.Win32.Krap.as (13º posto) si nascondono degli pseudo-antivirus. L'utilizzo da parte dei cybercriminali di wrapper appositamente progettati per file eseguibili è un trend molto evidente degli ultimi tempi. Nuovi metodi usati dai malware più popolari per impacchettare e nascondere le reali funzioni del file agli antivirus e ad altre soluzioni di protezione vengono sviluppati continuamente, ed è questo che genera un ricambio praticamente mensile tra le diverse varianti di Krap e programmi simili."

Nella seconda tabella, invece, troviamo i malware individuati sulle pagine del web e i tentativi di caricamento che avvengono sempre attraverso le pagine visionate sul web.

Anche qui si può visionare in che modo i criminali cercano di prendere possesso delle informazioni sui vostri computer, tramite molte vulnerabilità a volte anche dei browser che usiamo per navigare.

"Iniziamo da una vulnerabilità del tutto nuova CVE-2010-0806 di Internet Explorer, il cui exploit ha raggiunto una notevole diffusione dopo la descrizione forse un po' troppo dettagliata della vulnerabilità effettuata su . Oggi solo i cybercriminali più pigri non usano tali exploit nei propri attacchi: nella Top 20 troviamo due diverse varianti di questo exploit: Exploit.JS.CVE-2010-0806.I (2) e Exploit.JS.CVE-2010-0806.b (10).

La nuova ondata dell'epidemia di Gumblar procede a pieno regime. Oltre alla seconda versione del downloader, che risponde al nome di Gumblar.x e occupa il primo posto in classifica ne è apparsa una nuova identificata come HEUR:Trojan-Downloader.Script.Generic.

L'exploit Aurora.a, di cui abbiamo già parlato, a febbraio, continua ad essere attivamente utilizzato dai criminali informatici, fatto confermato dalla sua ascesa dal 9° al 5° posto.

L'interessante downloader Twetti.a (14° posto in classifica), di cui parlavamo a dicembre, è tornato di nuovo in classifica dopo un'assenza di due mesi. Come nel caso di Gumblar, i cybercriminali si sono presi una breve pausa e poi hanno tentato di infettare di nuovo, con questo malware, la gran parte delle risorse Web.

Anche Exploit.JS.Pdfka.bub (15° posto) è apparso in classifica per una ragione ben precisa: Questo file PDF dannoso è uno dei componenti degli attacchi drive-by, il cui punto di partenza è Twetti.a.

In classifica appaiono anche quattro nuovi rappresentanti della categoria dei modelli standard di pagine Web attraverso cui si diffondono pseudo-antivirus e blocker: Trojan.HTML.Fraud.aj, Trojan.JS.FakeUpdate.ab, Trojan.HTML.Fraud.aq e Trojan.JS.FakeUpdate.aa. "

Ed infine l'elenco dei paesi in cui si riscontra una maggiore quantità di tentativi di infezione via Web.

Gli attacchi che provengono dal Web, come dicevo poc'anzi, utilizzano vulnerabilità soggette ai software di maggiore diffusione. Come riporta il report di Kaspersky queste vulnerabilità solitamente sono sistemate dai produttori dei software, a volte celermente a volte meno, ma il problema della diffusione dei malware è solitamente da imputarsi alla mancata installazione delle patch e correzioni da parte degli utenti.

La maggior parte dei malware sfruttano proprio queste ingenuità o inesperieza degli utenti.

Quindi tenete ben aggiornati i vostri sistemi operativi e programmi che installate sul vostro computer, senza dimenticare i consueti programmi di sicurezza come antivirus, firewall e antimalware di qualunque casa, ma che vi siano.

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

Koobface raddoppia in sole 48 ore

È di questi giorni la notizia data da Kaspersky Lab sulla scoperta inerente al già conosciuto worm Koobface, quest'ultimo ha raddoppiato il numero dei suoi server di comando e controllo in sole 48 ore.

Koobface colpisce siti internet come Facebook o Twitter e riesce a usarli come proxy per i suoi server di comando e controllo.

Dalle indagini condotte dal team Kaspersky Lab è emerso che in sole 48 ore, il numero dei server infettati è cresciuto da 71 a 142.

Kaspersky Lab fornisce anche alcuni suggerimenti agli utenti per difendersi da questo tipo di minacce:

* State attenti ai link nei messaggi sospetti, anche se il mittente è uno dei vostri fidati amici su Facebook.
* Utilizzate un browser aggiornato: Firefox 3.x, Internet Explorer 8, Google Chrome, Opera 10, ecc
* Divulgate il meno possibile informazioni personali. Non date il vostro indirizzo di casa, numero di telefono o altre informazioni private.
* Mantenete il vostro software antivirus aggiornato per evitare che le nuove versioni di malware possano attaccare il computer.

Maggiori dettagli sul sito Kaspersky Lab.

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

Ripulire il pc con Kaspersky Virus Removal Tool

Ecco un prodotto che diventa davvero utile se dovete ripulire un computer di qualche amico o se volete effettuare un secondo controllo sul vostro computer.

Si tratta di Kaspersky Virus Removal Tool, un utility in grado di eliminare malware di ogni genere.

Se sorgono dubbi sull'efficacia del proprio antivirus, o solamente per scrupolo si volesse verificare la pulizia del proprio computer da virus e malware, le alternative sono la scansione on-line (solitamente lunghissima), oppure l'installazione di un secondo antivirus sul computer (soluzione vivamente sconsigliata a causa di probabili problemi di incompatibilità).

Con Kaspersky Virus Removal Tool, invece è possibile effettuare un controllo accurato e veloce, una volta terminato il suo lavoro, il prodotto ti propone la sua (opzionale) disinstallazione.

Il tool, gratuito, si installa in una cartella a scelta da cui viene eseguito, e come già detto non si può aggiornare, ma basta scaricare l'ultima versione, ne vengono rilasciate varie versioni durante la giornata, per essere certi di avere il prodotto ottimale .

Maggiori info sul sito kaspersky.com.

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

Schermata blu dopo update Microsoft, è colpa di un rootkit

Dopo l'ultimo aggiornamento Microsoft patch MS10-015, alcuni utenti in possesso del sistema operativo Windows Xp, ma potrebbe presentarsi anche con i sistemi Windows 2000, Windows Vista, Windows Server 2008 e Windows 7 32bit e Windows 7, hanno avuto dei problemi a causa di un crash del sistema che genera una schermata blu che impedisce il riavvio del sistema.

schermata blu dopo patch MS10-015

Dopo la segnalazione di alcune case di sistemi per la sicurezza come Symantec, è stata indentificata la causa che è da imputare ad un Rootkit maligno installato sul computer in oggetto.

Questo rootkit, già segnalato da Dr.Web e Prevx lo scorso novembre, e poco considerato dalle maggiori case di sicurezza,  si sta diffondendo silenziosamente.

Grazie all'ultimo aggiornamento Microsoft è venuto alla luce questo pericoloso malware che pare riesca ad insediarsi e infettare uno specifico driver di sistema e di filtrare l'I/O del disco fisso risultando impossibile per la maggior parte dei software di sicurezza leggere il disco al di sotto di questo meccanismo di filtraggio.

Ma la cosa ancor più sbalorditiva è che gli stessi autori del rootkit chiamato TDL3 o con il nome di TDSS o Tidserv, si sono immediatamente attivati per risolvere il problema dei crash.

Ovviamente non era nei loro progetti sviluppare malware che generasse il crash di sistema, perchè in questo modo è stato messo eccessivamente in luce .

Al momento la distribuzione automatica della patch in oggetto è stata sospesa, e Microsoft sta lavorando per risolvere il problema.

Comunque è possibile grazie a Kaspersky, che ha rilasciato uno strumento gratuito, la rimozione del malware evitando la schermata blu e permettendo la corretta installazione della patch e la risoluzione del problema.

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

I malware di gennaio 2010

Ecco una delle liste dei malware che ci hanno maggiormente infastidito nel primo mese di quest'anno.

La classifica, stilata ed elaborata dalla famosa casa di sicurezza Kaspersky Lab, ci porta a conoscenza dll'evolversi della situazione inerente ai malware e virus in circolazione sul web in modo da poter fronteggiare in modo più sicuro la nostra navigazione. Conoscendo, informandosi e soprattutto prevenendo.

Malware individuati nei computer degli utenti

Nella prima tabella troviamo i programmi dannosi e potenzialmente indesiderati che sono stati individuati sui computer degli utenti e neutralizzati al primo contatto.

I primi cinque programmi in classifica mantengono, come ormai da tre mesi, un notevole vantaggio sugli altri.

Tuttavia a Gennaio ci sono state ben 7 new entry, fatto piuttosto insolito. Subito dietro ai cinque leader sono apparsi due script downloader, che per la prima volta appaiono in questa classifica ma erano già presenti in quella dei malware diffusi via Internet.

Tra le novità troviamo ben tre varianti di Trojan.Win32.Autorun. Si tratta di file autorun.inf che si diffondono sulle memorie di massa e i dispositivi mobili tristemente famosi P2P-Worm.Win32.Palevo e Trojan-GameThief.Win32.Magania (per ulteriori informazioni su alcuni rappresentanti di questi malware: Palevo, Magania).

Il linguaggio degli script è AutoIt, del quale abbiamo già parlato in precedenza, è diventato molto popolare: nella Top 20 sono apparsi dal nulla due nuovi rappresentanti di malware sviluppati usando questo linguaggio, Packed.Win32.Krap.l e Worm.Win32.AutoIt.tc.

Malware diffusi via Internet

La seconda tabella descrive la situazione relativa a Internet. In questa classifica si trovano infatti malware individuati su Internet o i cui tentativi di download avvengono attraverso le pagine Web.

La seconda tabella, come in precedenza, è un florilegio di esempi delle opere dei cybercriminali.

Tra le novità troviamo Trojan.JS.Iframe.hw (4œ posto), TrojanDownloader.JS.Agent.ewo (6œ), e Trojan-Downloader.JS.Pegel.c (17œ) , tutti esempi di script downloader dello stesso tipo che ridirigono gli utenti ad altri script di malware che sfruttano le vulnerabilità di diversi prodotti software.

Trojan.JS.Fraud.s, che occupa il 15œ posto, è un altro esempio di modello di pagina Web standard attraverso il quale si diffondono gli pseudo-antivirus.

Le restanti novità sono esempi assortiti di script downloader con cui altri malware infettano i computer degli utenti.

Segnaliamo inoltre che la seconda epidemia di Gumblar si è placata abbastanza in fretta. Ci sarà una terza ondata? Solo il tempo lo dirà.

Nel complesso, il trend non cambia. I malware, come in precedenza, si diffondono attivamente grazie ai dispositivi mobili e alle memorie di massa, inoltre si scaricano e installano grazie agli script downloader e, in gran parte, sfruttano le vulnerabilità dei software più diffusi.

I paesi in cui si riscontra una maggiore quantità di tentativi di infezione via web sono:

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

I malware più pericolosi di novembre

Tutti i mesi vengono redatte le classifiche dei malware più pericolosi, secondo le rilevazioni di Kaspersky, a novembre le classifiche dei top 20 sono due:

La prima riguarda i malware che sono stati riscontrati sui Pc degli utenti;

dove è stato riscontrato un nuovo ingresso che si è subito aggiudicato la seconda posizione: Kido.iq. Malware molto simile a Kido.ir che a settembre era classificato al primo posto.

Altro malware che desta attenzione è il downloader multimediale GetCodec.s che ha risalito molto velocemente la classifica guadagnandosi 9 posizioni. Il riscontro ha portato in evidenza un raddoppio dei computer infetti. GetCodec.s si diffonde insieme al worm P2P-Worm.Win32.Nugg, anche qui vi è l'analogia con la precedente versione, GetCoded.r.

I cybercriminali cercano di diffondere il worm P2P-Worm.Win32.Nugg, utilizzando la rete di scambio file Gnutella.

Nella seconda classifica, invece, vengono segnalati i malware individuati nelle pagine web ed in tutti i tentativi di caricamento tramite le pagine Web.

Qui Kaspersky ci fa notare che Gumblar continua nella sua avanzata in tutto il mondo ed è leader dei malware via Internet, con un distacco notevole sugli altri e una quadruplicazione in termini di quantità di tentativi singoli di scaricamento.

Inoltre sono comparsi anche nella seconda classifica gli pseudo-antivirus.

Per poter visionare il report completo sarà sufficiente visitare la pagine di Kaspersky: Classifica malware - novembre 2009.

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

La classifica dei peggiori malware di Ottobre

La classifica di Kaspersky Lab, per il mese di ottobre 2009 dove sono state apportate delle modifiche sul metodo di analisi. Questa nuova classifica viene redatta utilizzando i dati relativi a tutti i prodotti che dispongono del supporto di KSN.

Il primo elenco riporta i programmi pericolosi ed indesiderati che sono stati individuati sui computer degli utenti e neutralizzati al primo contatto.

La seconda tabella, invece, riporta i malware individuati nelle pagine Web nonché tutti quelli i cui tentativi di caricamento avvengono sempre attraverso le pagine Web.

Per vedere il report completo basterà visitare la pagina apposito del sito Kaspersky.

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

Un nuovo virus infetta le applicazioni create in Delphi

Lo comunica Kaspersky, dove i ricercatori hanno rilevato un nuovo virus Virus.Win32.Induc.a, che si diffonde attraverso CodeGear di Delphi, un ambiente di sviluppo per applicazioni Desktop e Enterprise.

Virus.Win32.Induc.a, infetta tutte le applicazioni create con CodeGear di Delphi.

Il virus, non è comunque ritenuto come una vera e propria minaccia, ma un nuovo metodo di diffusione, infatti il virus è privo di “payload”, l’istruzione che permette a virus e worm di compiere azioni dannose sui computer infetti.

Al momento, il virus sembra un test di nuove routine di infezione, ma è probabile che in futuro venga modificato dai cybercriminali per compiere attacchi veri e propri.

“Virus.Win32.Induc.a. ha grandi opportunità di sviluppo, al momento è però difficile dire con certezza se, e quando, qualcuno lo modificherà per renderlo in grado di compiere azioni dannose” è il commento di David Emm, Senior Regional Researcher di Kaspersky Lab UK.

Virus.Win32.Induc.a sfrutta la possibilità di Delphi di creare file eseguibili in 2 passaggi. Il codice sorgente viene inizialmente compilato per creare dei file .dcu (Delphi compiled unit) intermedi, che vengono poi collegati per creare file Windows eseguibili. Il nuovo virus si attiva non appena viene lanciata un’applicazione infetta. A questo punto il virus controlla se sul computer è installata una delle versioni di Delphi (4.0, 5.0, 6.0 or 7.0). Se il software viene rilevato, Virus.Win32.Induc.a compila il file Delphi Sysconst.pas, producendo una versione modificata del file compilato Sysconst.dcu.

Praticamente tutti i progetti creati in Delphi, includono la linea “use SysConst”; l’infezione di anche un solo modulo dell’ambiente di sviluppo, produce quindi l’infezione di tutte le applicazioni in fase di sviluppo. In altre parole, il file modificato SysConst.dcu causa l’inserimento del virus in tutte le applicazioni create nell’ambiente di sviluppo infetto.

Ovviamente questo virus è già rilevato dai migliori antivirus, Bitdefender.it, Avira e molti altri.

Altre info le trovate sul sito Microsoft.

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

I top malware di luglio segnalati da Kaspersky

Ecco la classifica relativa alla diffusione del malware nel mese di luglio 2009. Ricordiamo che tali classifiche vengono stilate mensilmente, sulla base dei dati acquisiti tramite Kaspersky Security Network (KSN).

La prima Top20 contiene programmi malware, adware, programmi potenzialmente pericolosi e indesiderati che sono stati identificati e neutralizzati utilizzando lo scanner “on-access”. Le statistiche “on-access” permettono di analizzare i programmi malware più recenti, nel momento stesso in cui vengono rilevati sui computer degli utenti, o quando vengono scaricati dalla Rete.

Nel mese di luglio sono avvenuti pochi cambiamenti nella prima classifica, Kido e Sality occupano ancora le posizioni di testa con un notevole scarto. In termini assoluti però, le cifre dei programmi nocivi più popolari sono leggermente diminuite. Probabilmente, ciò è dovuto al fatto che nel pieno dell’estate gli utenti trascorrono meno tempo al computer e, di conseguenza, diminuisce la quantità di malware che li colpisce.

A differenza della prima, la seconda classifica è molto più interessante. Presenta i dati elaborati dal componente web anti-virus e mostra il panorama delle minacce online.

La seconda Top20, risponde in pratica a due domande: “Quale malware infetta più degli altri le pagine web?” e “Qual è il codice maligno più scaricato dalle pagine infette? (con la consapevolezza dell’utente o senza).

Scorrendo la tabella, notiamo subito tre rappresentanti degli script exploit DirektShow. Sulla vulnerabilità di Internet Explorer sfruttata da questo script, abbiamo fornito delle informazioni dettagliate all’interno del nostro blog (scritto in lingua inglese). Considerando che la maggior parte dei navigatori utilizza Internet Explorer, non sorprende che lo sfruttamento di tale vulnerabilità sia divenuto un metodo molto popolare tra i criminali informatici. Ultimamente abbiamo riscontrato la tendenza a suddividere gli script in più parti: è così per DirektShow, la cui pagina principale contiene un link ad un altro script, dal quale viene scaricato uno shellcode con relativo carico “maligno”.

All’ottavo posto Trojan-Downloader.JS.ShellCode.i è lo shellcode più diffuso, impiegato negli attacchi che sfruttano le vulnerabilità di IE. Questo metodo non presenta difficoltà, anche se non si rivela molto conveniente per chi lo impiega: lo script con shellcode può essere sostituito in qualsiasi momento, senza che il link alla pagina principale cambi. Tale struttura complica, se non rende addirittura impossibile, l’analisi e l’ulteriore rilevamento di tali malware.

È noto che per semplificare la distribuzione del malware (nello specifico di ransomware nella forma di applicazioni anti-virus non autorizzate), si usa spesso un modello standard. Trojan-Downloader.HTML.FraudLoad.a è un esempio di questo approccio, si tratta proprio di uno di questi modelli standard. Questo tipo di malware sta diventando sempre più popolare nel mondo del cybercrime, il risultato di questa tendenza è osservabile nell’enorme numero di siti web che annunciano all’utente lo stato di infezione e pericolo del computer, chiedendo di scaricare programmi che spesso pongono una sera minaccia alla sicurezza dell’utente.

Alla ventesima posizione, troviamo Trojan-Downloader.JS.Iframe.bew, proprio uno degli script usati per scaricare malware da questi siti.

La seconda classifica, offre una panoramica delle minacce più recenti delle tendenze sul loro sviluppo. In primo luogo, i criminali informatici si stanno concentrando sulla ricerca di nuove vulnerabilità tra i software più diffusi, allo scopo di sfruttarle per ottenere l’infezione dei computer tramite uno o più programmi “maligni”.

Inoltre, i cybercriminali tentano di nascondere la propria attività in modo da passare inosservati. Tutto ciò complica la vita anche all’utente più esperto che, navigando in Internet senza gli aggiornamenti del sistema operativo (le patch) o con un anti-virus non aggiornato, potrebbe trovarsi a navigare in “acque infestate”.

Paesi in cui si osserva una maggior quantità di tentativi di infezione via web:

Sul sito si può trovare il report ufficiale.

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

575 nuove varianti di Koobface

Si torna a parlare di Koobface, nel mese di Giugno Kaspersky Lab ha rilevato la cifra impressionante di ben più di 575 nuove varianti di Koobface.

Secondo gli esperti la causa è da imputare all’avvicinarsi del periodo estivo, ritenuto più prolifico per gli hacker.

In soli 30 giorni, si è passati da 324 varianti rilevate alla fine di maggio, a quasi 1000 in giugno.

Il worm colpisce i social network Facebook e MySpace diffondendosi tra i profili degli utenti grazie ai falsi commenti e i messaggi inviati che contengono un link ad una falsa pagina di YouTube, in cui si richiede all’utente di scaricare “una versione aggiornata di Flash Player””.

Anziché scaricare un vero aggiornamento di Flash Player, viene scaricato il worm, che invia lo stesso messaggio infetto a tutti i contatti dell’utente. Oggi però Koobface si è evoluto, e può infettare anche gli utenti di Hi5, Bebo, Tagged, Netlog e, più di recente, Twitter.

Kaspersky Lab, suggerisce un uso più sicuro dei social network, facendo molta attenzione prima di aprire un link, anche se il messaggio in cui è contenuto arriva da una persona conosciuta; di utilizzare Internet Explorer 7 in modalità protetta, o Firefox con l’add-on NoScript e di ridurre al minimo le informazioni personali diffuse attraverso il social network.

In particolare, non comunicare mai il proprio l’indirizzo, il numero di telefono o altre informazioni sensibili, ma soprattutto di mantenere sempre aggiornato l’antivirus utilizzato, in modo da prevenire infezioni causate dalle nuove varianti dei malware e aggiungo io di scaricare tempestivamente le patch rilasciate dal sistema operativo in uso del proprio computer.

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

La classifica dei malware di giugno di Kaspersky

Kaspersky Lab ci informa con la consueta classifica relativa alla diffusione del malware per il mese di giugno.

La prima tabella si riferisce ai programmi nocivi, adware e programmi potenzialmente pericolosi rilevati e resi inoffensivi al primo trattamento anti-virus da subito, nel quadro dell'azione svolta dal componente di programma “scanner on-access”. L'impiego della metodologia di statistica “on-access” consente di condurre un'immediata analisi dei programmi malware più recenti, dei più pericolosi e dei più diffusi. Tali programmi vengono di fatto bloccati ed inibiti nel momento stesso in cui tentano di avviarsi, o durante il loro download dalla rete sui computer degli ignari utenti.

 

I cambiamenti introdotti nella metodologia di analisi delle minacce, non hanno influito sulla leadership della classifica: Net-Worm.Win32.Kido.ih mantiene saldamente la prima posizione. Inoltre, in questa Top-20 compaiono anche due varianti di tale worm, ovverosia Kido.jq e Kido.ix. Evidentemente, la copiosa presenza di Kido nella classifica sopra riportata, è legata al fatto che i «rappresentanti» di tale famiglia di worm sono soliti diffondersi anche tramite supporti mobili, precedentemente utilizzati su unità sprovviste di un'adeguata protezione anti-virus.

Per gli stessi motivi, compaiono in classifica anche AutoRun.dui e AutoRun.rxx, della famiglia di worm Autorun. Troviamo poi, all'interno di questa Top-20, un Trojan Script di particolare interesse, peraltro attivamente utilizzato dai criminali informatici: Trojan-Downloader.JS.LuckySploit.q (ne parleremo più avanti).

Al ventesimo posto si colloca l'adware Shopper.v, uno dei più famosi programmi nel suo genere (la società che lo ha elaborato, Zango - in precedenza Hotbar - è stata chiusa alcuni mesi fa). Tale applicazione installa toolbar di vario tipo, molto difficili da disinstallare, sia nei browser che nei client di posta: saranno in tal modo mostrati in continuazione all'utente dei banner pubblicitari.

La seconda classifica è stata stilata sulla base dei dati acquisiti grazie alle attività condotte dall'anti-virus web: rispecchia la situazione attualmente presente in ambito Internet. Questa Top-20 è composta dal malware rilevato sulle pagine web, così come da quei software nocivi che cercano subdolamente di infiltrarsi nei computer degli utenti tramite il download dalle pagine Internet. In altre parole, questa seconda classifica fornisce illuminanti risposte a due diverse domande: «Quali sono i programmi nocivi che infettano con maggiore frequenza le pagine web?» e «Qual è il malware più frequentemente scaricato - in maniera consapevole od inconsapevole - dalle pagine Internet nocive ed infette?».

La prima posizione è occupata di diritto dal Trojan Downloader Gumblar.a. L'azione che esso conduce rappresenta un eccellente esempio di drive-by-download. Gumblar.a è uno script codificato di piccole dimensioni: quando viene eseguito, reindirizza l'utente al sito infetto dal quale, a sua volta, viene scaricato ed installato il file nocivo eseguibile.

Quest'ultimo, dopo essere stato installato nel sistema, esercita evidenti effetti sul traffico web dell'utente, modificando ad esempio i risultati delle ricerche eseguite tramite Google; allo stesso modo, ricerca nel computer dell'utente le password relative ai server FTP, per poi successivamente procedere all'infezione di questi ultimi. Si assiste così alla formazione di una botnet costituita da server infettati, grazie alla quale i malintenzionati potranno agevolmente caricare sui computer degli utenti qualsivoglia tipo di programma nocivo.

La quantità di server infetti è davvero enorme: la diffusione del contagio si è finora prodotta proprio tramite quei computer sprovvisti di adeguata protezione anti-virus. Un ulteriore significativo esempio di download drive-by è rappresentato dal Trojan Downloader LuckySploit.q, che si colloca al terzo posto della classifica sopra riportata e fa altresì parte, come abbiamo visto, della prima Top-20. Si tratta di uno script magistralmente offuscato, il quale inizialmente raccoglie tutte le informazioni relative alla configurazione del browser dell'utente, per poi inviarle al sito nocivo, cifrandole tramite chiave RSA diretta. Nel server, tali informazioni vengono poi decifrate mediante chiave RSA inversa e, a seconda della configurazione del browser precedentemente individuata, viene restituito all'utente un intero bouquet di script, i quali sfrutteranno le vulnerabilità presenti nel computer e provvederanno al caricamento in esso di ulteriori programmi malware.

Oltretutto, una combinazione così articolata e mutevole rende di particolarmente difficile un’analisi su campioni dello script iniziale, preposto a raccogliere le informazioni relative al browser: nel caso poi in cui il server che decifra tali informazioni risulti inaccessibile, non sarà possibile nemmeno la ricezione dei dati riguardanti gli script che saranno, nella circostanza, subdolamente inviati all'utente.

Vi è poi tutta una serie di malware che sfruttano proprio le vulnerabilità presenti nei programmi elaborati da alcune delle maggiori software house. La presenza in classifica degli exploit Trojan-Clicker.SWF.Small.b, Exploit.JS.Pdfka.gu, Exploit.JS.Pdfka.lr ed Exploit.SWF.Agent.az è allo stesso tempo indice sia della popolarità che della vulnerabilità dei prodotti Adobe Flash Player e Adobe Reader. Vengono altresì sfruttate vulnerabilità di vario genere insite nelle soluzioni software elaborate da Microsoft: Trojan-Downloader.JS.Major.c, ad esempio, nella sua azione cerca di avvalersi immediatamente di alcune vulnerabilità presenti in varie componenti sia del sistema operativo che delle applicazioni di Microsoft Office.

Tirando le somme, si può senz'altro asserire che in questi ultimi tempi si osserva distintamente la tendenza, da parte dei cybercriminali, ad utilizzare in maniera sempre più marcata le varie tipologie del subdolo ma astuto metodo di download drive-by, per infettare i computer degli utenti: è proprio questo, oramai, l'orientamento imperante nel Web. In ragione di quanto sopra esposto, risulta pertanto sempre più indispensabile, per gli utenti, effettuare tempestivamente l'installazione degli aggiornamenti riguardanti sia il sistema operativo che i programmi da essi utilizzati; è in egual modo strettamente necessario, ovviamente, procedere sempre agli aggiornamenti del proprio programma anti-virus.

D'ora in poi, la nostra rassegna mensile sul malware includerà un ulteriore elemento innovativo, ovverosia la classifica relativa ai paesi in cui è stato riscontrato il maggior numero di tentativi di infezione tramite web:

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

I consigli di Kaspersky Lab per proteggersi dal phishing

Kaspersky Lab, ha già avuto modo di aiutare gli utenti dagli attacchi di phishing su Facebook fornendo indicazioni utili su come proteggersi dalle minacce del cybercrimine.

Stessa cosa è stata fatta da Panda Security.

Kaspersky Lab ha recentemente registrato un massiccio aumento degli attacchi di phishing sulla pagina di login di Facebook. I cybercriminali stanno usando sistemi di messaggeria interna ai siti per inviare brevi messaggi direttamente ai visitatori di un sito web appositamente progettato per clonare la pagina login di Facebook.

Ecco cosa consiglia Kaspersky Lab

• Per i siti come Facebook creare un segnalibro per la pagina di login, o digitare l'URL direttamente nella barra degli indirizzi del browser
• Non cliccare sui link presenti nelle e-mail
• Inserire dati personali solo su un sito sicuro
• Controllare il proprio conto bancario regolarmente e riferire qualsiasi sospetto alla propria banca
• Cercare nell’email possibili segnali di phishing:
• o Se non è indirizzata a te personalmente
• o Se non si è l'unico destinatario
• o Se ci sono errori di ortografia, di grammatica o di sintassi o altri errori nell’uso del linguaggio
• Installare il software di protezione Internet e mantenere l’antivirus aggiornato
• Installare le patch dei sistemi di sicurezza
• Diffidare di e-mail o chat inaspettate
• Fare attenzione ai login con i diritti di Amministratore
• Fare copie di back up dei propri dati

La stessa Kaspersky avverte di tenere alta la guardia, perchè il caso Facebook  non è un episodio a sé ma che vengono individuate oltre 17.000 nuove minacce internet ogni giorno".

Se volete restare aggiornati al mio blog, abbonatevi a questo feed.

Leggi le altre notizie di Infotecnonews.

I malware di gennaio, virus trojan ed exploit

Facciamo un po’ di conti con il nuovo anno e i malware. Kaspersky  ha pubblicato la classifica dei malware di gennaio 2009.

In totale, a gennaio sono stati rilevati 46.014 programmi maligni, pubblicitari o potenzialmente dannosi. E direi che non sono pochi. Abbiamo l'abitudine a pensare che nei periodi festivi vi siano più rischi di infettarsi il computer, pensando che vi siano più programmi nocivi in circolazione, invece pare che solo a gennaio, siano stati registrati ben 7.800 nuovi malware in più rispetto a Dicembre 2008 (38.190).

Ed ora passiamo alla lista dei programmi maligni, pubblicitari e potenzialmente dannosi pubblicata da Kaspersky:

1    Virus.Win32.Sality.aa
2    Packed.Win32.Krap.b
3    Worm.Win32.AutoRun.dui
4    Trojan-Downloader.Win32.VB.eql
5    Trojan.Win32.Autoit.ci
6    Trojan-Downloader.WMA.GetCodec.c
7    Packed.Win32.Black.a
8    Virus.Win32.Alman.b
9    Trojan.Win32.Obfuscated.gen
10  Trojan-Downloader.WMA.GetCodec.r
11  New Exploit.JS.Agent.aak
12  Worm.Win32.Mabezat.b
13  Worm.Win32.AutoIt.ar
14  Email-Worm.Win32.Brontok.q
15  Virus.Win32.Sality.z
16  Net-Worm.Win32.Kido.ih
17  Trojan-Downloader.WMA.Wimad.n
18  Virus.Win32.VB.bu
19  Trojan.Win32.Agent.abt
20  Worm.Win32.AutoRun.vnq

La seconda classifica. invece, dà un panorama sui più diffusi programmi maligni rilevati sui computer degli utenti che utilizzano il loro programma di sicurezza. Dove è stato osservato un incremento del numero di programmi in grado infettare i file.

Ecco la lista:

1    Virus.Win32.Sality.aa
2    Worm.Win32.Mabezat.b
3    Net-Worm.Win32.Nimda
4    Virus.Win32.Xorer.du
5    Virus.Win32.Alman.b
6    Virus.Win32.Sality.z
7    Virus.Win32.Parite.b
8    Virus.Win32.Virut.q
9    Trojan-Downloader.HTML.Agent.ml
10   Virus.Win32.Virut.n
11   Email-Worm.Win32.Runouce.b
12   Worm.Win32.Otwycal.g
13   P2P-Worm.Win32.Bacteraloh.h
14   Virus.Win32.Hidrag.a
15   Virus.Win32.Small.l
16   Virus.Win32.Parite.a
17   Worm.Win32.Fujack.bd
18   P2P-Worm.Win32.Deecee.a
19   Trojan.Win32.Obfuscated.gen
20   Virus.Win32.Sality.y


Come sempre valgono le solite raccomandazioni: Aggironate tutti i programmi di sicurezza, installate antivirus, firewall e antispyware.

Se volete restare aggiornati al mio blog, abbonatevi a questo feed o a questo.

L’articolo di Kaspersky Lab “Evoluzione dei Rootkit”

Kaspersky Lab, leader mondiale nell’elaborazione di sistemi di protezione per i computer dalle minacce rappresentate da Internet, pubblica il terzo articolo di Alisa Shevchenko dedicato all’evoluzione dei virus e delle soluzioni anti-virus.

L’autore definisce i rootkit come “programmi che eludono o aggirano i meccanismi standard del sistema utilizzando tecniche di invisibilità (con tecnologie “stealth”) per nascondere oggetti di sistema quali file, processi etc.”, ed effettua una panoramica sull’evoluzione dei rootkit dal loro primo apparire sino al giorno d’oggi.

L’articolo è indirizzato ai lettori che abbiano una certa conoscenza tecnica e che desiderino conoscere il “background storico” di un tema attualmente molto discusso negli ambienti IT. Shevchenko si concentra sui rootkit per Windows: essendo questo il sistema operativo più diffuso al mondo, i rootkit che lo colpiscono sono quelli più comunemente usati dai virus writer.

Nonostante il termine “rootkit” abbia origine nell’universo UNIX, i contemporanei rootkit per Windows nascono, di fatto, dai virus invisibili di DOS, apparsi per la prima volta negli anni ‘90. Questi erano scritti per nascondere se stessi dalla vista dell’utente e dai programmi anti-virus: solamente più tardi queste tecniche cominciarono ad essere usate dai rootkit di Windows per celare altro malware.

I rootkit per Windows hanno fatto la loro prima apparizione circa 10 anni dopo i virus stealth di DOS: partendo dalla loro origine, l’autrice descrive la prima implementazione di questi programmi e la loro funzionalità. Una volta chiaro come le tecnologie rootkit potevano venire sviluppate, si cominciò ad incorporarle in una gran varietà di programmi maligni. Comunque, inizialmente il numero di rootkit maligni era piuttosto limitato, così come lo erano le modalità con cui essi venivano applicati, tanto da poterli suddividere in sole 3 categorie:

• Trojan che sfruttavano strumenti pronti all’uso e librerie per nascondersi nel sistema
• Rootkit maligni preconfezionati che potevano venire modificati dall’utente
• Rootkit personalizzati sviluppati con lo scopo di condurre attacchi mirati

Entro il 2005, l’uso di tecnologie rootkit era ormai ampiamente diffuso: i media dedicavano all’argomento molta attenzione, trovando che queste tecnologie non fossero utilizzate esclusivamente nel malware ma anche in prodotti commerciali. Ne è un esempio lo scandalo Sony DRM, risalente al 2006.

Sia l’industria anti-virus che parecchi ricercatori indipendenti cominciarono a correre ai ripari e a produrre un gran numero di tecnologie, prodotti e strumenti per combattere i rootkit. Alcuni di questi gratuiti, altri commerciali, alcuni rivolti alle minacce presenti già nello stadio proof-of-concept come i rootkit che usano la virtualizzazione dell’hardware.

L’articolo di Alisa Shevchenko, naturalmente, tocca anche quelle che sono le ultime tendenze in materia: i bootkit (rootkit che si avviano durante il boot), il fantomatico rootkit Rustock.c, di cui si è ampiamente parlato in Internet verso la fine del 2006, e i rootkit per SO non-Windows quali OS X (Macintosh) e per i sistemi operativi mobili. L’autrice conclude affermando che “i rootkit…non provocano più allarme…, il concetto di eludere il sistema è ovviamente ancora valido, e ci sembra molto probabile assistere all’avvento di nuove minacce che implementeranno tecnologie stealth”.

L’articolo è disponibile integralmente nella sala di lettura del nostro sito.

Nuovi worm che attaccano MySpace e Facebook

Kaspersky Lab, leader nello sviluppo di soluzioni di sicurezza nel campo dell'IT, ha identificato due varianti di un nuovo worm, Networm.Win32.Koobface.a. e Networm.Win32.Koobface.b, che attaccano rispettivamente MySpace e Facebook. Con il loro "carico maligno", i worm trasformano i computer delle vittime in PC zombie che andranno a formare delle botnet.

Anche se questi worm al momento attuale stanno infettando solo gli utenti di MySpace e Facebook, gli analisti di Kaspersky Lab vogliono mettere in guardia gli utenti, ricordando che i worm sono concepiti per caricare altri moduli maligni via Internet, i quali portano con sè le funzionalità più diverse. È molto probabile che i PC-vittima non verranno usati solo per diffondere link pericolosi tramite i social network, ma anche per realizzare altri scopi maligni propri delle botnet.

Net-Worm.Win32.Koobface.a si diffonde quando un utente accede al proprio account di MySpace, creando una serie di commenti ai profili degli amici. Net-Worm.Win32.Koobface.b, il cui bersaglio sono gli utenti di Facebook, crea dei messaggi spam e li invia,tramite il sito stesso di Facebook, agli amici dell'utente infettato. I messaggi e i commenti includono testi quali "Paris Hilton Tosses Dwarf On The Street", "Examiners Caught Downloading Grades From The Internet", "Hello, You must see it!!! LOL. My friend catched you on hidden cam", "Is it really celebrity? Funny Moments and many others".

I messaggi e i testi su MySpace e Facebook contengono dei link a youtube.[skip].pl. Se l'utente clicca sul link, verrà reindirizzato a http//youtube.[skip].ru, un sito che apparentemente contiene un videoclip. Se l'utente cerca di guardarlo, appare un messaggio che comunica la necessità di scaricare l'ultima versione di Flash Player per poter vedere il filmato. Ovviamente, invece dell'ultima versione di Flash Player, sul computer della vittima verrà scaricato un file chiamato codesetup.exe, che è anche un worm di rete. Il risultato è che gli utenti che hanno inavvertitamente deciso di seguire il link e arrivare al sito infetto, avranno il worm di MySpace scaricato sui propri PC, e vice versa.

“Sfortunatamente gli utenti si fidano ancora troppo dei messaggi lasciati dagli "amici" sui siti dei network sociali. Così, la probabilità che un utente clicchi su un link del tipo descritto è molto alta”, dichiara Alexander Gostev, Senior Virus Analyst a Kaspersky Lab. “All'inizio del 2008 avevamo previsto che saremmo stati testimoni di un notevole incremento nell'utilizzo di MySpace, Facebook e simili da parte dei criminali informatici: ora ne abbiamo la conferma. Sono sicuro che questo altro non è che il primo passo, e che gli autori di virus continueranno a colpire queste risorse con maggiore intensità”.

Kaspersky Internet Security 2009 ha isolato queste minacce in maniera proattiva, e le loro firme sono state inserite nei database già il 31 luglio (2008).

Kaspersky Lab pubblica l’articolo “La frode nello spam”

Kaspersky Lab, leader mondiale nell’elaborazione di sistemi di protezione per i computer dalle minacce rappresentate da Internet (malware, spam, phishing, attacchi hacker), pubblica l’articolo di Natalja Zablockaja “La frode nello spam”, dedicato ai messaggi spam che hanno lo scopo di rubare i dati confidenziali e carpire il denaro degli utenti poco accorti.

Lo spam attira truffatori e criminali informatici di vario tipo, essendo caratteristica propria della tecnologia spam quella di poter ingannare gli utenti senza lasciare traccia della propria attività.

Una tipologia di truffa estremamente pericolosa ed effettuata tramite lo spam è offerta dal phishing: con massicci invii di phishing i malintenzionati cercano di ottenere i dati personali degli utenti (login e password in primis, preferibilmente di conti bancari online) per poi procedere all’ottenimento di facili ed illegittimi guadagni ai danni dei malcapitati.

Di norma, bersaglio degli attacchi di phishing sono i clienti di sistemi di Internet banking occidentali anche se, con il forte sviluppo del banking online anche nel Runet (l’Internet di lingua russa), gli attacchi dei phisher cominciano a interessare sempre di più anche gli utenti russi.

Le lettere di phishing imitano molto bene i comunicati inviati da banche, società finanziarie e dai sistemi di pagamento, in cui si invita il destinatario, con vari pretesti, a confermare i propri dati personali. Tali lettere contengono dei link che conducono a pagine “taroccate” in cui l’utente deve inserire i propri dati i quali, naturalmente, saranno subito a completa disposizione dei truffatori. Per fare in modo che la vittima non si accorga del raggiro, la pagina web falsa riproduce quella originale della società da parte della quale arriva la comunicazione.

Oltre al phishing, i truffatori di Internet sfruttano una moltitudine di altri trucchi che consentono, grazie allo spam, di attrarre gli utenti nella trappola per poi derubarli. Nell’articolo vengono prese in esame le varianti più popolari di lettere truffaldine diffuse tramite spam: le lettere “nigeriane”, le false notifiche di vincita alla lotteria, allettanti proposte di partecipazione a “truffe sicure” nei casino online…

A chi ama i guadagni facili, gli spammer propongono possibilità di lucro senza chiedere nessun impegno ai “fortunati allocchi”.

L’autore fa notare come le frodi tramite spam stiano diventando sempre più pericolose: i truffatori affinano in continuazione le proprie abilità e si dedicano sempre più spesso a veri e propri attacchi. E se per non incappare nella rete tesa da chi propone metodi sicuri, semplici e veloci di arricchimento, agli utenti dovrebbe essere sufficiente solo il buonsenso, per le frodi più raffinate questo può non bastare. Per quanto riguarda il phishing allora, la lotta a questa specie di truffa non può avere dei risultati se non si hanno a disposizione degli strumenti di protezione.

Nonostante l’apparente ovvietà delle raccomandazioni fatte dagli esperti della sicurezza IT, non si ignorino le parole di chi vi dice di non credere alle buone intenzioni degli spammer e di usare un software che assicuri protezione da spam, phishing e malware: seguire queste semplici norme può far evitare grossi dispiaceri!

La versione integrale dell’articolo è disponibile nella sala di lettura al seguente indirizzo: www.kaspersky.com/it/reading_room.

Se volete restare aggiornati agli articoli di questo blog, usate il seguente feed: http://feeds.feedburner.com/Infotecnonews