Newsgroup: it.comp.sicurezza.varie
Titolo: PUA:Win32/SpyrixKeylogger

L'altro giorno Windows Defender mi informa di avere trovato un keylogger,
PUA:Win32/SpyrixKeylogger nel file C:\WINDOWS\runkey.exe. In modo
abbastanza incomprensibile ha catalogato come "basso" il livello della
minaccia, quando ai miei occhi un keylogger è in assoluto la minaccia più
grave possibile.
 
Cercando online non ho trovato molte informazioni. Spyrix è effettivamente
un keylogger (e non solo), ma tipicamente i malware lo installano con nomi
e in percorsi differenti.
 
Sto molto attento ai software che installo, l'unico software "shady" che
avevo installato era uTorrent. E guarda caso due giorni dopo del detect di
PUA:Win32/SpyrixKeylogger, Windows Defender mi ha informato di un'altra
minaccia, App:Utorrent_BundleInstaller. Questa è una "firma" che
probabilmente hanno aggiunto di recente in Windows Defender, infatti la
minaccia è stata rilevata in una serie di updates che uTorrent salva ed
esegue automaticamente da C:\Users\xxx\AppData\Roaming\uTorrent\updates, e
probabilmente non si cura di cancellare in seguito. Probabilmente erano lì
da mesi o anni.
 
Cercando un po', risulta che effettivamente è già da un paio d'anni che
diversi antivirus classificano uTorrent come una minaccia, per via degli
adware/bloatware che installa sostanzialmente di nascosto (se si attivano
gli update automatici). Ma non posso credere che siano davvero arrivati a
installare keylogger. Non ho trovato nessun riferimento online su questo.
 
Comunque ne ho approfittato per fare una cosa che dovevo fare da anni,
ossia disinstallare uTorrent passando al più reputabile (in teoria...)
Transmission. Ho anche eseguito scansioni con un paio di altri antivirus
per verificare che non ci fossero rimasugli.
 
La mia è quindi metà una domanda e metà un avvertimento. L'avvertimento è
rivolto a tutti coloro che hanno installato uTorrent: è da sempre che mi dà
l'impressione di installare robe poco raccomandabili, ma per pigrizia ho
sempre chiuso un occhio. Non posso affermare con certezza che sia lui il
colpevole, ma la cosa è abbastanza grave da meritare un controllo.
 
La domanda è più che altro retorica: come è possibile che un software non
eseguito come amministratore sia in grado di lanciare un update che a sua
volta è in grado di copiare dei file in C:\WINDOWS? Speravo che
problematiche come queste ormai fossero state risolte da tempo anche in
Windows. Sono un povero illuso?
 
-- 
Fletto i muscoli e sono nel vuoto.

 Windows. Sono un povero illuso?
 
È già qualcosa che Windows Defender lo abbia individuato; c'è gente che è 
pagata per scovare e sfruttare falle di sicurezza, non è questione di 
essere degli illusi. Windows per ovvie ragioni è il sistema operativo più 
bersagliato.
 
-- 
Considerate la vostra semenza:
fatti non foste a viver come bruti,
ma per seguir virtute e canoscenza.

 anche in Windows. Sono un povero illuso?
[...]
 
Dipende, in fase di installazione/aggiornamento, uTorrent richiede
privilegi elevati ? Nel caso, basterebbe anche solo quello, oppure, ad
esempio, in fase di installazione potrebbe venir installato un servizio
che viene eseguito come "system" e, siccome "system" ha accesso alla
cartella windows...