Newsgroup: it.comp.sicurezza.varie
Titolo: il ragazzo che ha bloccato il virus (con 10 dollari)

Ricordatevelo la prossima volta che i "magnàgger" delle "azzìende"
spendono migliaia e migliaia di euro in sicurezza, magari per fare
anche marchette a qualche fornitore... X-D
 
 
http://www.lastampa.it/2017/05/13/tecnologia/news/lattacco-hacker-globale-stato-fermato-da-un-ragazzo-di-anni-con-un-dominio-da-dollari-fOS5cmnZImzp0csCk9agbI/pagina.html
 
 
 
 



vero; ed è anche vero che al momento esistono diverse versioni del
virus che usano domini diversi; d'altro canto, c'è da dire che si
sarebbero potuti risparmiare anche i 10$, bastava utilizzare "hosts" o
un DNS locale o addirittura i DNS degli ISP :)
 
 
 

 un DNS locale o addirittura i DNS degli ISP :)
 
Ho aperto il link in inglese quindi se ho capito bene questo malware è 
una sorta di cryptolocker giusto?
 
Se questo malware non riceve una determinata risposta da un server 
remoto non sblocca i dati e dopo "x" giorni li elimina giusto?
 
Di fatto almeno per la versione 1 è bastato modificare il file di 
configurazione facendolo puntare verso un altro server che ovviamente 
poteva anche essere un server locale come da te descritto!
 
Ma quel che mi chiedo è la risposta alla query che faceva il malware 
verso il server remoto qual'era? Si trattava di un "semplice" si/no?
 
Ma possibile che non si riesca a rintracciare chi abbia registrato il 
server con cui il malware dialogava per lo sblocco?
 
Saluti!
GabrieleMax
 


 
Non era ancora stato registrato il dominio in questione.
 
Adesso la nuova versione ovviamente funzionerà in modo diverso...

remoto non sblocca i dati e dopo "x" giorni li elimina giusto?
 
No. Il malware - questa versione - aveva una "backdoor", probabilmente usata
in fase di testing. Il malware verificava se un certo dominio esisteva. Cosa
che l'autore poteva facilmente simulare con il file hosts.
 
Se il dominio **esisteva**, solo allora il malware NON scattava.
 
E ovviamente non ha senso identificare tutti coloro che NON hanno registrato
quel particolare dominio.
 
IMHO è probabile che l'autore quel dominio non intendesse registrarlo mai.
 
Il ricercatore ha dumpato le query DNS del malware, ha visto che una di esse
andava a un dominio inesistente, avrà pensato "Ma se esistesse?", avrà messo
quel dominio nel file hosts o su un server locale e osservato che il malware
si autodistruggeva. A quel punto avrà detto "Cazzo!" e ha registrato il nome
per la propria ditta.
 
tcpdump, riflessi e voglia di fare.
 
Come diceva Pasteur, "il caso favorisce la mente preparata" :-D
 
Leonardo
-- 
 
A terrible beauty is born.
                                     - W. B. Yeats, Easter 1916

 Leonardo
 
Saluti!
GabrieleMax
 

 Adesso la nuova versione ovviamente funzionerà in modo diverso...
 
Beh... diciamo che un buon sistemista dovrebbe essere in grado di 
evitare il bis o quantomeno che gli possa accadere anche per la prima 
volta! :)
 
Saluti!
GabrieleMax

 perfetto! :)
 
No, la "zappa sui piedi" ammesso e non concesso che si possa
semplificare la cosa così tanto, è relativa al fatto che un malware di
quel genere, di norma, si diffonde in modo lento e senza troppo rumore,
dato che lo scopo è quello di raccattare soldi sotto forma di bitcoins;
una esplosione malware così eclatante è controproducente, ed è proprio
per questo motivo che NON credo si tratti dei soliti delinquenti, anzi,
ho l'impressione che questa ondata di malware con effetti eclatanti sia
stata architettata per qualche altro scopo
 
Al solito, la domanda da porsi e sulla quale ragionare è "cui prodest" ?
 
Il resto sono chiacchiere da giornalisti (e da bar sport) che lasciano
il tempo che trovano e nelle quali preferisco non immischiarmi.
 

genialata! :D
 
In realtà è (era?) abbastanza diffusa come "tradizione". Quando ancora la
Berta non aveva preso a filare, scrissi io un TSR che rispondeva a *tutte
le chiamate note* dei virus dell'epoca (la Ralf Brown Interrupt List!).
 
Il virus partiva, chiamava "Ehi... me! Ci sei?", e si sentiva rispondere,
"Certo! Questo PC è già infetto!". "Ah, allora io posso anche terminarmi"
"Ecco, bravo. Suicidati, e salutam'a ssoreta" [1].
 
Leonardo
 
[1] questo no, non lo diceva. Ero meno volgare, a quei tempi.


 Al solito, la domanda da porsi e sulla quale ragionare è "cui prodest" ?
 
butto là: il lancio di una versione "S" di un noto OS?   >:|
 
-- 
Sans