Newsgroup: it.faq
Titolo: FAQ del gruppo it.comp.sicurezza.virus

. Questo e` il testo:
E' risaputo quanto sia importante la sicurezza in ambito informatico,
quindi prendendo spunto dai vari gruppi alt.security, sci.crypt, ...
proponente ritiene oppurtuno creare dei gruppi ``italiani'' simili, di
discussione sull'argomento.
Piu` precisamente it.comp.sicurezza.virus sara` un gruppo in cui si
parlera' dei virus, antivirus in generale per le varie architetture.
- ---------------------------------------
2) Dove posso trovare questa FAQ?
Innanzitutto nei gruppi it.comp.sicurezza.virus, it.faq e it.comp.aiuto,
dove viene postata periodicamente, e poi nella mia home ftp directory
presso 
ftp://ftp.linux.it/pub/ILS/People/md/icsv-faq.txt
, che e` un sito
molto bello che tutti dovrebbero visitare :-).
In alternativa potete prenderla con il vostro browser preferito presso:
http://www.polito.it/~bertola/faq/icsv-faq.txt
oppure tramite ftp presso:
ftp://ftp.polito.it/pub/people/bertola/faq/icsv-faq.zip
Ogni articolo contenente la FAQ e` firmato con la mia chiave pubblica
di PGP, che potete ricevere mandandomi un messaggio con nel Subject
il testo esatto "send file md-pub.pgp" e il corpo vuoto, oppure facendo
finger all'indirizzo 
m...@kirk.linux.it
. Potete trovare l'ultima versione
di pgp presso 
http://www.ifi.uio.no/pgp/
, 
ftp://ftp.ifi.uio.no/pub/pgp/
 o
nel mirror italiano 
ftp://ftp.dsi.unimi.it/pub/security/crypt/PGP/
.
- ---------------------------------------
3) Dove posso trovare i piu` noti antivirus?
In molti posti, ma per essere sicuri che quello che prendete sia proprio
un antivirus e non qualcosa hackerato da un virus writer, la cosa migliore
e` prenderli direttamente dal sito ftp del produttore, oppure da un mirror
da lui autorizzato e menzionato nella documentazione.
Alcuni di questi siti sono:
F-Prot: 
ftp://ftp.europe.datafellows.com/com/fprot/free/
AVP: 
ftp://ftp.volftp.vol.it/pub2/avp/
TBAV: 
ftp://ftp.thunderbyte.com/pub/thunder/
Dr.Solomon's AVTK: 
ftp://ftp.drsolomon.com/
ITAV: 
ftp://ftp.systems.it/software/itav/
Norton Antivirus: 
ftp://ftp.symantec.com/
Scan McAfee: 
ftp://ftp.mcafee.com/pub/antivirus/english/
Sweep: 
ftp://ftp.sophos.com/
Pc-Cillin: 
ftp://ftp.trendmicro.com/
Virit Lite: 
ftp://idea.sec.dsi.unimi.it/pub/security/docs/tgsoft/
Vsum: 
ftp://ftp.vsum.com/
- ---------------------------------------
) Perche` la gente scrive e diffonde i virus?
Non ci sono teorie definitive sull'argomento, ma quella che ritengo piu`
accettabile sostiene che la causa principale e` la mancanza cronica di
rapporti con membri dell'altro sesso, fatto che causa nei virus writer una
grande frustrazione, che possono ridurre soltanto cercando di impestare la
gente con la loro roba.
[Naturalmente si possono trovare spiegazioni piu` profonde basate su
analisi psicologiche dell'argomento, ma ho preferito non riportarle perche`
richiederebbero troppo spazio e difficilmente metterebbero tutti d'accordo.
Quindi se non approvate quanto e` scritto sopra chiedete la creazione di un
gruppo it.scienza.psicologia e discutetene a volonta`, ma per favore non
in questo gruppo.]
- ---------------------------------------
) La legge italiana e i virus
La legge italiana stabilisce che e` reato /distribuire/ un virus a terzi,
mentre e` perfettamente legale /scrivere/ un virus, e poi tenerselo per se`,
quindi attenzione a non confondere le due cose.
Ci sono pero` due interpretazioni contrastanti della legge, la prima che
giudica reato *tutti* i trasferimenti di virus tra persone, e la seconda
(che personalmente giudico piu` attendibile, ma e` solo la mia opinione,
visto che per ora non ci sono sentenze che possano costituire un precedente)
che sostiene che perche` ci sia il reato deve esserci l'intenzione di
commettere un dolo, quindi esclude l'invio di virus dagli utenti ai
ricercatori.
Il testo completo della legge si puo` trovare presso
http://www.ikx.org/~fogazzid/virus/viruses/law.htm
- ---------------------------------------
) Il posting di virus in i.c.s.v.
Questo e` un gruppo dedicato alla lotta ai virus, quindi se qualcuno vuole
rendere partecipe il mondo della sua ultima creazione virale e` meglio se
lo fa da un'altra parte, visto che alcune persone potrebbero sentirsi
fortemente offese da un comportamento simile e rispondere in maniera anche
molto scortese, nonostante che mancando l'intenzione di commettere un danno
non e` detto che sia stato compiuto un reato (vedi sopra).
Se invece qualcuno vuole impestare la rete con la sua ultima creazione,
allora questo decisamente *non* e` il posto adatto per farlo, poiche`
essendo un reato molte persone si arrabbierebbero e cercherebbero di
scoprire l'indirizzo del qualcuno, minimo per fargli revocare l'accesso
da chi gli fornisce la connessione, massimo per denunciarlo alle autorita`
competenti.
Non e` neppure una buona idea postare nel gruppo dei file che si
sospettano essere infetti, sempre per i motivi di cui sopra.
- ---------------------------------------
) Il posting di binari in i.c.s.v.
Questo gruppo non e` dedicato allo scambio di programmi eseguibili, per
questo esiste un gruppo it.binari.files che ha questo scopo.
Se invece credete di potere postare un programma pensando che chi non e`
interessato possa non scaricare l'articolo, visto che il vostro news reader
permette di farlo, allora e` meglio se iniziate a studiare un po` come
funziona usenet, a partire dalla FAQ dei gruppi news-it, che trovate in
it.faq.
- ---------------------------------------
) Qual'e` il migliore antivirus?
Non e` possibile trovare una risposta unica e condivisibile da tutti a
questa domanda, visto che nel valutare un antivirus possono entrare in
gioco molti parametri che possono avere un peso diverso per ogni utente.
Secondo me ogni antivirus ha i suoi pregi e difetti, e la cosa migliore
e` usarne piu` di uno insieme. In alcuni casi la scelta di un antivirus
rispetto a un altro e` un fatto religioso, in altri casi (per esempio
MSAV) ci sono prodotti che fanno talmente schifo che nessuna persona
competente puo` consigliarne l'uso in buona fede.
Un buon punto di partenza per valutare un antivirus e` leggere attentamente
un test comparativo preparato da un ricercatore di cui avete fiducia e
di cui condividete i metodi. Un pessimo punto di partenza invece e`
criticarne la difficolta` d'uso o limitarsi a software funzionante solo
sotto windows 95.
[A questo punto mi servono gli url, sara` particolarmente apprezzato
quello dei test del VTC.]
- ---------------------------------------
) Credo di avere scoperto un virus che non e` riconosciuto da nessun
   antivirus, cosa faccio?
La cosa migliore e` mandare un campione del virus (un file infetto oppure
l'MBR o il boot sector infetti) agli autori degli antivirus che si usano
(le istruzioni per farlo sono contenute nella documentazione) e/o a un
ricercatore di propria fiducia. E` meglio conservare il floppy infetto
se servissero ulteriori dati.
Loro sapranno sicuramente identificare il virus e fare in modo sia
riconosciuto dalla successiva release dell'antivirus.
Inviare un file infetto al gruppo non e` considerato un buon modo per
cercare aiuto.
Potete estrarre il boot sector del floppy in a: dando al programma debug
questi comandi:
l100 0 0 1
nc:\nomefile.bin
rcx
200
w
q
- ---------------------------------------
) Sono stato infettato da un virus, aiuto!
Se scoprite di avere un virus sulla vostra macchina e non riuscite a
toglierlo con il software che avete, allora e` il caso di chiedere aiuto
nel gruppo. Ricordate sempre di specificare nell'articolo:
- - nome del virus
- - antivirus usato (diversi programmi possono dare al virus nomi diversi)
- - eventuali effetti manifestati
- - tentativi fatti per rimuoverlo
- - sistema operativo usato
- ---------------------------------------
) L'antivirus mi ha detto che il mio computer e` infetto, devo formattare
  l'hard disk?
*NO*. Formattare l'hard disk e` un provvedimento quasi sempre esagerato,
e in alcuni casi (infezione dell'mbr) anche inutile. Se si scopre di avere
un virus che nessun antivirus puo` disinfettare, la cosa migliore e`
cancellare i files infetti e reinstallare i programmi danneggiati dai
dischi originali.
E` inoltre utile ricordare che il comando format non cancella l'MBR, quindi
un virus puo` comunque sopravvivere alla formattazione.
) Un virus puo` danneggiare l'hardware?
- ---------------------------------------
No. O comunque praticamente mai nel real world. Un virus potrebbe (ma
per ora non esiste nessun virus simile) cancellare il bios della scheda
madre dalla EEPROM (una memoria riscrivibile elettricamente via software),
ma in questo caso e` sempre possibile ripristinarlo con un disco di boot
apposito, che e` buona norma avere pronto. Alcune schede madri non
permettono la possibilita` di fare questo ripristino di emergenza, e sono
un ottimo esempio di prodotto che non dovrebbe essere mai comperato.
- ---------------------------------------
) Come posso formattare a basso livello il mio hard disk?
Semplice: non si puo`, a meno di non avere un controller speciale e un
programma specifico per il proprio disco.
Quando si usa un programma per formattare a basso livello un disco IDE,
questo risponde come se la formattazione avvenisse, ma in realta` non
fa niente di diverso da una formattazione normale.
E comunque e` un'operazione che non e` mai desiderabile, sia per i motivi
spiegati al punto precedente, sia perche` e` una misura che non fornisce
nessuna protezione in piu` rispetto alla formattazione del disco e alla
reinizializzazione dell'mbr fatta con il comando FDISK /mbr.
- ---------------------------------------
) Cosa sono i virus stealth?
Sono virus che in grado di nascondersi (piu` o meno bene) agli utenti
e agli antivirus, per esempio disinfettando temporaneamente i files che
vengono controllati dagli antivirus. Per questo e` sempre una buona
abitudine fare scansioni periodiche dell'hard disk dopo avere caricato il
dos da un disco di boot sicuramente pulito e protetto da scrittura,
altrimenti alcuni virus potrebbero sfuggire al controllo.
- ---------------------------------------
) Dove posso trovare informazioni dettagliate sui virus?
Intanto in AVP e nelle versioni registrate di tbav e f-prot (la versione
gratuita di questo non ha le descrizioni aggiornate), e poi:
IBM: gopher://
index.almaden.ibm.com:70/1virus/menus/virdesc.70
F-Prot Virus Encyclopedia: 
http://www.datafellows.fi/vir-desc.htm
AVP Virus Encyclopedia: 
http://www.metro.ch/avpve/
Dr. Solomon's IBM/PC Virus Encyclopedia: 
http://www.drsolomon.com/vircen/enc/
McAfee: Mcafee Virus Descriptions: 
http://www.mcafee.com/support/techdocs/
- ---------------------------------------
) Dove posso scaricare dei virus?
La risposta standard e` "Se devi chiederlo allora non ne hai veramente
bisogno". A questa domanda dovrai rispondere da solo, e se non riesci a
trovare dei virus sulla rete probabilmente potresti solo correre il rischio
di infettare il tuo computer e quello di altre persone per errore.
- ---------------------------------------
) A cosa serve eseguire il comando "FDISK /mbr"?
Questo comando riscrive il codice contenuto nell'mbr (il primo settore
dell'hard disk di boot), quello che solitamente carica il sistema operativo
in memoria con il loader standard del dos. Il comando e` presente a partire
dal dos 5 e non e` documentato nei manuali.
In molti casi puo` essere usato per eliminare un virus, ma se usato per
combattere alcune infezioni puo` essere letale per i propri dati: certi
virus crittografano la tavola delle partizioni (sempre contenuta nel
primo settore del disco) e la decriptano al volo quando un programma
cerca di leggere il settore, se si cancella il virus si cancella anche il
codice per decriptarla e ci si ritrova con un hard disk inservibile, a
meno di essere capaci a ricostruirla.
Inoltre puo` causare problemi nel caso che siano stati installati boot
manager come lilo oppure particolari software di protezione del disco dagli
accessi non consentiti.
Notate che questo comando *non* cancella le informazioni di partizionamento
(che stanno nella tavola delle partizioni, che costituisce l'ultima parte
del primo settore dell'hard disk) o i dati contenuti nel disco, ma riscrive
solo il codice che carica il dos (l'MBR, che e` situato prima della tavola
delle partizioni) con quello standard.
- ---------------------------------------
) Windows 95 si blocca molto spesso, ma gli antivirus dicono che sono
  pulito, cosa posso fare?
Se un controllo con piu` antivirus non ha trovato nulla di sospetto allora
probabilmente non c'e` nulla di cui preoccuparsi, visto che bloccarsi quando
uno meno se lo aspetta e` il comportamento normale di windows 95 (o almeno
molti la pensano cosi`, YMMV).
Mi riferiscono che e` possibile ripristinare i file danneggiati a partire
dai dischi di installazione, ma se avete un problema di questo genere
allora questo decisamente non e` il gruppo adatto, andate in it.comp.win95.
- ---------------------------------------
) Ho letto che mi puo` arrivare un virus tramite email, e` vero?
No, no e poi ancora no. Ogni tanto viene postato in usenet un messaggio che
mette in guardia da particolari virus che si trasmetterebbero attraverso la
lettura di messaggi di email infetti. Questi virus non esistono e non possono
esistere, visto che e` impossibile che un virus si trasmetta in questo modo.
Ovviamente e` sempre possibile che un messaggio contenga uuencodato o
codificato con mime un documento di WinWord contenente un macro virus.
Stesso discorso per le news, non e` possibile essere infettati semplicemente
leggendo un newsgroup, a meno che il vostro newsreader non decodifichi ed
esegua automaticamente i programmi codificati con mime che incontra.
Se il vostro software procede cosi`, allora /meritate/ di essere infettati,
per il semplice motivo di usare un programma che fa una cosa cosi` stupida.
(Quindi mai fidarsi dei programmi che trovate in giro, sopratutto dalle
parti di alt.binaries.warez.* ...)
- ---------------------------------------
) Good Times!
Ogni tanto esce qualcuno che spedisce un messaggio che avverte di un
possibile virus chiamato Good Times che si trasmetterebbe vi email.
Bene, questo virus non esiste, e se cercate bene troverete anche una
faq che spiega perche` e` un falso. Molte volte viene distribuito
insieme anche un avviso di un virus chiamato PKZIP300.ZIP, che invece
e` un vero trojan, visto che per ora l'ultimo PkZip uscito e` il 2.41g.
Per saperne di piu` visitate 
http://ciac.llnl.gov/ciac/bulletins/h-05.shtml
- ---------------------------------------
) Cosa sono i macro virus?
Sono virus scritti con i comandi macro di un'applicazione (per esempio
Win Word o Excel) e contenuti in documenti che non sono di per se`
files eseguibili. A volte un macro virus puo` immettere nel sistema e
attivare un normale virus.
- ---------------------------------------
) Un virus puo` nascondersi dentro un gif o un jpeg?
Si, si puo` mettere un virus dentro al file di un'immagine come si puo`
metterlo dentro a qualsiasi file di dati, pero` non sara` mai eseguito,
visto che le immagini sono dati da visualizzare e non codice che deve
essere eseguito dalla CPU.
- ---------------------------------------
) E dentro a un file di testo?
Dentro un file ascii potrebbe nascondersi una bomba ANSI (una sequenza
di controllo che rimappa alcuni tasti della tastiera in modo che compiano
operazioni dannose, tipo formattare l'hard disk) che si attiverebbe
mentre viene visualizzato sullo schermo.
Il miglior modo per tutelarsi e` usare al posto dell'ANSI.SYS distribuito
con il DOS un driver che non permetta la ridefinizione dei tasti (se ne
trovano sui siti FTP dedicati ai programmi dos e sulle BBS).
- ---------------------------------------
) E` possibile infettarsi con un "dir"?
In *NESSUN* modo un virus puo` /installarsi/ in memoria semplicemente
eseguendo dir, e tantomeno infettare altri programmi.
Invece succede che se si fa il dir di un disco, il suo bootsector viene
letto dal dos e messo in un buffer all'interno della sua area dati (ma
*NON* viene eseguito, in nessun caso), e se quindi nel disco c'e` un virus
di boot il suo codice sara` trovato in memoria (ma non certo sull'hard disk)
da un antivirus eseguito subito dopo, ma questo non significa che il pc e`
stato infettato.
Se pero` il computer e` gia` infetto, facendo dir su un disco sano si
potrebbe infettare anche questo.
- ---------------------------------------
) Perche` gli argomenti non sono numerati?
Perche` non ho voglia di aggiornare i numeri ogni volta che aggiungo un
argomento. Forse in breve tempo (6-8 mesi) iniziero` a scrivere la faq
con linuxdoc/sgml, e l'aspetto grafico potrebbe migliorare. Se qualcuno
vuole iniziare il lavoro per me e` benvenuto.
- ---------------------------------------
-----BEGIN PGP SIGNATURE-----
Version: 2.6.3i
Charset: noconv
iQCVAwUBM4SrxQtzqXg8Yg0tAQE2GAP+K/dwjNH4ZtCq/J4INO1pTJeQOJaDmONv
Gy2qQQJnHZWAoNu4OVfY3h6Tq4YASXcpmxUhYJuDHfFJoDyDTMxyL1N7ARHyb4xA
0t4HWbSkYles+spw3OU4EOlTvsLa+HLU8MfjJnaqQ6fLvt4p7qqpv3zroPTndJSR
gU51oMinUJM=
=zdZQ
-----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE-----

                          it.comp.sicurezza.virus
                          =======================


=================================================================
Indice:

=================================================================







F-Prot: 
ftp://complex.is/
AVP: 
ftp://ftp.volftp.vol.it/pub2/avp
TBAV: 
ftp://ftp.thunderbyte.com/
Dr.Solomon's AVTK: 
ftp://ftp.drsolomon.com/
ITAV: 
ftp://ftp.systems.it/software/itav/
Norton Antivirus: 
ftp://ftp.symantec.com/
Scan McAfee: 
ftp://ftp.mcafee.com/
Sweep: 
ftp://ftp.sophos.com/
Pc-Cillin: 
ftp://ftp.trendmicro.com
[altri? Aspetto gli url. Per ftp, non per il web]























- ---------------------------------------
) Perche` gli argomenti non sono numerati?
Perche` non ho voglia di aggiornare i numeri ogni volta che aggiungo un
argomento. Forse in breve tempo (6-8 mesi) iniziero` a scrivere la faq
con linuxdoc/sgml, e l'aspetto grafico potrebbe migliorare. Se qualcuno
vuole iniziare il lavoro per me e` benvenuto.
- ---------------------------------------
-----BEGIN PGP SIGNATURE-----
Version: 2.6.3i
Charset: latin1
iQCVAgUBM1TWhgtzqXg8Yg0tAQFYKgP6A+QVQ+/ZKOLSV5SO6B5mxAbOBINUhgx4
e5uYrTOlQzincvbYfD/2U0Z/5xJHgK+bTcFUInfUsweOu/OAawqVqBHEleg91eI/
W/TwzJz4sCrGFjlicw2NyUFAAOoVLMqVfr1ao2oDgdROVHZkALlKhgeS4EVohv4c
NY2hWR26EUc=
=H7hr
-----END PGP SIGNATURE-----