Newsgroup: it.comp.sicurezza.varie
Titolo: antivirus su OSX

buongiorno a tutti
sto per passare da PC a MAC. se ne leggono di tutti i colori riguardo 
alla presunta invulnerabilità dei MAC o, al contrario, sulla necessità 
che vengano protette da un antivirus anche le macchine della mela.
fermo restando che l'antivirus migliore sta nel buon senso di chi c'è 
di fronte al monitor per qualsiasi sistema, esiste un'indicazione 
comunemente accettata e imparziale sull'argomento?
grazie
antonio
 
 

Antonio wrote on 01/12/14 14:20:

Partiamo dal presupposto che per installare qualsiasi programma, estensione o 
altro su OS X ti verrà chiesta la pw di amministratore.
Se prendi i programmi da App Store o da fonti note, che io sappia non ci sono 
problemi. Inoltre se il programmatore non è certificato, appare un avviso e non 
ti fa aprire neanche il programma (devi usare CTRL-apri) a meno di cambiare una 
preferenza nel sistema.
Se li scarichi dal mulo, è invece possibile il rischio di beccare qualche 
schifezza, anche se in misura irrisoria rispetto a Windows.
Sinceramente, se proprio uno volesse usare qualche sw commerciale senza 
pagarlo, converrebbe scaricarlo dal sito ufficiale e poi cercarsi una chiave di 
attivazione...
 
Detto questo, l'AV per Macintosh può essere comunque utile per non diffondere 
inconsapevolmente virus ricevuti da terzi infetti e pararsi il didietro da 
script malevoli via web che funzionano multipiattaforma (tipo buchi di Flash o 
PDF).
C'è ClamXav gratuito che però IMHO serve a poco/niente, altrimenti di serio c'è 
Norman per Mac (ce l'ho e lo consiglio anche). È leggerissimo (circa 13 MB in 
background), veloce, interfaccia ultra semplice (forse anche troppo, ma credo 
che per il 99% degli utenti vada bene così). Si può provare per 30 giorni, se 
ti interessa scrivimi pure.
 
ciao
Gabriele
 
 


ti ringrazio. intanto inizio senza, presumo che per tutto il periodo in 
cui dovrò capire come funziona il nuovo ambiente dovrei essere meno a 
rischio non installando nulla di particolare. l'intenzione (e la 
necessità imprescindibile) è quella di avere una VM di Windows che 
girerà sotto Parallels, per quella ho sì una licenza di McAfee che mi 
avanza e la userò.
ma per OS X  di certo non andrò ad impelagarmi sul Mulo o simili, non 
l'ho mai fatto neanche per Win.
quanto a Flash: ho sempre saputo che non è supportato dai sistemi della 
Mela, almeno non su iOS di iPhone. sui desktop invece sì ?
 
 


 
Flash è sempre esistito su Macintosh e si aggiorna dal pannello di controllo.
 
Ti consiglio il NG it.comp.macintosh :)
 
Gabriele
 

 Gabriele
 
ecco grazie! ho cercato nel server delle news "apple" "iMac" ecc. ma 
uscivano millemila risultati!
 
 

 l'aggiornamento avra' il trojan
non sono ricontrollati tutte le volte? Avevo una app che una volta 
aggiornata presentava un grosso problema: lo sviluppatore mi disse che era 
in revisione alla apple e ci sarebbero voluti comunque alcuni giorni per il 
controllo
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 dallo store.... o no?
 
mmm... premesso che parlavo di iphone (ma ora non dovrebbe essere troppo 
diverso). Il programma non dovrebbe scaricare aggiornamenti ma solo acquisti 
in app, quindi no codice o altro.


 la gente ha il virus, pur essendo l'app originale pulita.
 
non solo, se il codice è scritto bene, il virus invece di mettersi
subito a far danni, si mette a dormire e rimpiazza il controllo degli
aggiornamenti che, a quel punto, diventa un "canale di comando per il
virus" ... et voilà
 
 
 

 l'aggiornamento avra' il trojan
 
Ammesso che funzioni, il giorno successivo alla scoperta ti leverebbero 
l'app dallo store e ti sospenderebbero l'account. Inoltre, a quel che 
sapevo, "Apple can remotely remove applications from your iPhone".
 
A quel punto, tutto il lavoro del viruswriter sarebbe sprecato, per non 
parlare della facile identificabilità e delle conseguenze giuridiche per 
il developer registrato sull'Appstore che si darebb la zappa sui piedi.
Non vedo perché un malintenzionato dovrebbe esporsi in questo modo e 
sbattersi di lavoro inutile, quando ha già a disposizione la via più 
semplice, quelle delle app craccate e dei mercatini clandestini.
Vedi per es. il caso WireLurker diffuso via mercato 3rd party cinese:
...
http://researchcenter.paloaltonetworks.com/2014/11/wirelurker-new-era-os-x-ios-malware/
 
...
WireLurker was used to trojanize 467 OS X applications on the Maiyadi 
App Store, a third-party Mac application store in China. In the past six 
months, these 467 infected applications were downloaded over 356,104 
times and may have impacted hundreds of thousands of users.
How It Works
WireLurker monitors any iOS device connected via USB with an infected OS 
X computer and installs downloaded third-party applications or 
automatically generated malicious applications onto the device, 
regardless of whether it is jailbroken. This is the reason we call it 
“wire lurker”. Researchers have demonstrated similar methods to attack 
non-jailbroken devices before; however, this malware combines a number 
of techniques to successfully realize a new brand of threat to all iOS 
devices.
WireLurker exhibits complex code structure, multiple component versions, 
file hiding, code obfuscation and customized encryption to thwart 
anti-reversing. In this whitepaper, we explain how WireLurker is 
delivered, the details of its malware progression, and specifics on its 
operation.
We further describe WireLurker’s potential impact, as well as methods to 
prevent, detect, contain and remediate the threat. We also detail Palo 
Alto Networks Enterprise Security Platform protections in place to 
counter associated risk.
WireLurker is capable of stealing a variety of information from the 
mobile devices it infects and regularly requests updates from the 
attackers command and control server. This malware is under active 
development and its creator’s ultimate goal is not yet clear.
...
 

 una piccolissima parte, quella del controllo iniziale. Ma
 
ma anche no; in molti casi, basta far girare il codice in una "sandbox"
controllando tutto quello che fa e poi decidendo se il comportamento
del codice è corretto o meno; una cosa simile a quella che fanno tools
come, ad esempio "anubis"
 
https://anubis.iseclab.org/
 
 
se lo vuoi provare, trova un file che contenga spyware o altro,
caricalo all'url di cui sopra e fai partire l'analisi, al termine
otterrai un report dettagliato di tutte le attività del programma
 

 otterrai un report dettagliato di tutte le attività del programma
 
 
Figo! Poi lo provo. Però mi chiedo: se un software contiene una bomba a 
tempo che si attiverà solo allo scoccare del mezzogiorno del 29 
febbraio, se il software è in esecuzione in quel momento, Anubis se ne 
accorge?
 
 

 non quello che fara' tra 6 mesi
 
esatto, infatti se hai letto il thread io parlavo proprio di una simile
ipotesi... o forse non hai letto il thread :) ?
 

non quello che fara' tra 6 mesi
 
O quello che fa solo una volta ogni mille lanci.
 
D'altra parte, in Android e' possibile individuare la presenza di codice non
eseguito, e anche distinguere fra codice disassemblabile e codice criptato -
e, in questo secondo caso, rifiutare l'applicazione perche' e' venerdi' :-)
 
Leonardo
 
-- 
 
Enough, enough!  But, stranger, ere we part,
Glancing farewell to each nefarious bier,
This warning would I beg you take to heart:
There is an end to e'en the worst career!