Newsgroup: it.faq
Titolo: FAQ del gruppo it.comp.sicurezza.virus [BOZZA]

.
Questo e` il testo:
E' risaputo quanto sia importante la sicurezza in ambito informatico,
quindi prendendo spunto dai vari gruppi alt.security, sci.crypt, ...
proponente ritiene oppurtuno creare dei gruppi ``italiani'' simili, di
discussione sull'argomento.
Piu` precisamente it.comp.sicurezza.virus sara` un gruppo in cui si
parlera' dei virus, antivirus in generale per le varie architetture.
---------------------------------------
2) Dove posso trovare questa FAQ?
Innanzitutto nei gruppi it.comp.sicurezza.virus, it.faq e it.comp.aiuto,
dove viene postata periodicamente.
In alternativa potete prenderla con il vostro browser preferito presso:
http://www.polito.it/~bertola/faq/icsv-faq.txt
oppure tramite ftp presso:
ftp://ftp.polito.it/pub/people/bertola/faq/icsv-faq.zip
---------------------------------------
3) Dove posso trovare i piu` noti antivirus?
In molti posti, ma per essere sicuri che quello che prendete sia proprio
un antivirus e non qualcosa hackerato da un virus writer, la cosa migliore
e` prenderli direttamente dal sito ftp del produttore, oppure da un mirror
da lui autorizzato e menzionato nella documentazione.
Alcuni di questi siti sono:
F-Prot: 
ftp://complex.is/
AVP: 
ftp://ftp.io.com/pub/usr/pmonti/avp
Scan McAfee: 
ftp://ftp.mcafee.com/
[altri? tbav, itav? Aspetto gli url. Per ftp, non per il web]
---------------------------------------
) Perche` la gente scrive e diffonde i virus?
Non ci sono teorie definitive sull'argomento, ma quella che ritengo piu`
accettabile sostiene che la causa principale e` la mancanza cronica di
rapporti con membri dell'altro sesso, fatto che causa nei virus writer una
grande frustrazione, che possono ridurre soltanto cercando di appestare la
gente con la loro roba.
[Naturalmente si possono trovare spiegazioni piu` profonde basate su
analisi psicologiche dell'argomento, ma ho preferito non riportarle perche`
richiederebbero troppo spazio e difficilmente metterebbero tutti d'accordo.]
---------------------------------------
) La legge italiana e i virus
La legge italiana stabilisce che e` reato /distribuire/ un virus a terzi,
mentre e` perfettamente legale /scrivere/ un virus, e poi tenerselo per se`,
quindi attenzione a non confondere le due cose.
Ci sono pero` due interpretazioni contrastanti della legge, la prima che
giudica reato *tutti* i trasferimenti di virus tra persone, e la seconda
(che personalmente giudico piu` attendibile, ma e` solo la mia opinione,
visto che per ora non ci sono sentenze che possano costituire un precedente)
che sostiene che perche` ci sia il reato deve esserci l'intenzione di
commettere un dolo, quindi esclude l'invio di virus dagli utenti ai
ricercatori.
Il testo completo della legge si puo` trovare presso
http://www.cityline.it/personal/fogazzid/laws/23_93.htm
---------------------------------------
) Il posting di virus in i.c.s.v.
Questo e` un gruppo dedicato alla lotta ai virus, quindi se qualcuno vuole
rendere partecipe il mondo della sua ultima creazione virale e` meglio se
lo fa da un'altra parte, visto che alcune persone potrebbero sentirsi
fortemente offese da un comportamento simile e rispondere in maniera anche
molto scortese, nonostante che mancando l'intenzione di commettere un danno
non e` detto che sia stato compiuto un reato (vedi sopra).
Se invece qualcuno vuole impestare la rete con la sua ultima creazione,
allora questo decisamente *non* e` il posto adatto per farlo, poiche`
essendo un reato molte persone si arrabbierebbero e cercherebbero di
scoprire l'indirizzo del qualcuno, minimo per fargli revocare l'accesso
da chi gli fornisce la connessione, massimo per denunciarlo alle autorita`
competenti.
---------------------------------------
) Il posting di binari in i.c.s.v.
Questo gruppo non e` dedicato allo scambio di programmi eseguibili, ma
esiste un gruppo it.binari [di prossima apertura] che ha questo scopo.
Se invece credete di potere postare un programma pensando che chi non e`
interessato possa non scaricare l'articolo, visto che il vostro news reader
permette di farlo, allora e` meglio se iniziate a studiare un po` come
funziona internet, a partire dalla FAQ dei gruppi news-it.
---------------------------------------
) Qual'e` il migliore antivirus?
Nessuno. Ogni antivirus ha i suoi pregi e difetti, e la cosa migliore e`
usarne piu` di uno insieme. In alcuni casi la scelta di un antivirus
rispetto a un altro e` un fatto religioso, in altri casi (per esempio
MSAV) ci sono prodotti che fanno talmente schifo che nessuna persona
competente puo` consigliarne l'uso.
---------------------------------------
) Credo di avere scoperto un virus che non e` riconosciuto da nessun
   antivirus, cosa faccio?
La cosa migliore e` mandare un campione del virus (un file infetto oppure
l'MBR o il boot sector infetti) agli autori degli antivirus che si usano
(le istruzioni per farlo sono contenute nella documentazione) e/o a un
ricercatore di propria fiducia.
Loro sapranno sicuramente identificare il virus e fare in modo sia
riconosciuto dalla successiva release dell'antivirus.
Inviare un file infetto al gruppo non e` considerato un buon modo per
cercare aiuto.
---------------------------------------
) Sono stato infettato da un virus, aiuto!
Se scoprite di avere un virus sulla vostra macchina e non riuscite a
toglierlo con il software che avete, allora e` il caso di chiedere aiuto
nel gruppo. Ricordate sempre di specificare nell'articolo:
- nome del virus
- antivirus usato (diversi programmi possono dare al virus diversi nomi)
- eventuali effetti manifestati
- tentativi fatti per rimuoverlo
- sistema operativo usato
---------------------------------------
) L'antivirus mi ha detto che il mio computer e` infetto, devo formattare
  l'hard disk?
*NO*. Formattare l'hard disk e` un provvedimento quasi sempre esagerato,
e in alcuni casi (infezione dell'mbr) anche inutile. Se si scopre di avere
un virus che nessun antivirus puo` disinfettare, la cosa migliore e`
cancellare i files infetti e reinstallare i programmi danneggiati dai
dischi originali.
E` inoltre utile ricordare che il comando format non cancella l'MBR, quindi
un virus puo` comunque sopravvivere alla formattazione.
---------------------------------------
) Come posso formattare a basso livello il mio hard disk?
Semplice: non si puo`, a meno di non avere un controller speciale e un
programma specifico per il proprio disco.
Quando si usa un programma per formattare a basso livello un disco IDE,
questo risponde come se la formattazione avvenisse, ma in realta` non
fa niente di diverso da una formattazione normale.
E comunque e` un'operazione che non e` mai desiderabile, sia per i motivi
spiegati al punto precedente, sia perche` e` una misura che non fornisce
nessuna protezione in piu` rispetto alla formattazione del disco e alla
reinizializzazione dell'mbr fatta con il comando FDISK /mbr.
---------------------------------------
) Cosa sono i virus stealth?
Sono virus che in grado di nascondersi (piu` o meno bene) agli utenti
e agli antivirus, per esempio disinfettando temporaneamente i files che
vengono controllati dagli antivirus. Per questo e` sempre una buona
abitudine fare scansioni periodiche dell'hard disk dopo avere caricato il
dos da un disco di boot sicuramente pulito e protetto da scrittura,
altrimenti alcuni virus potrebbero sfuggire al controllo.
---------------------------------------
) Dove posso trovare informazioni dettagliate sui virus?
Intanto in AVP e nelle versioni registrate di tbav e f-prot (la versione
gratuita di questo non ha le descrizioni aggiornate), e poi:
IBM: gopher://
index.almaden.ibm.com:70/1virus/menus/virdesc.70
F-Prot Virus Encyclopedia: 
http://www.datafellows.fi/vir-desc.htm
AVP Virus Encyclopedia: 
http://www.metro.ch/avpve/
Dr. Solomon's IBM/PC Virus Encyclopedia: 
http://www.drsolomon.com/vircen/enc/
McAfee: Mcafee Virus Descriptions: 
http://www.mcafee.com/support/techdocs
---------------------------------------
) A cosa serve eseguire il comando "FDISK /mbr"?
Questo comando riscrive il codice contenuto nell'mbr (il primo settore
dell'hard disk di boot), quello che solitamente carica il sistema operativo
in memoria con il loader standard del dos. Il comando e` presente a partire
dal dos 5 e non e` documentato nei manuali.
In molti casi puo` essere usato per eliminare un virus, ma se usato per
combattere alcune infezioni puo` essere letale per i propri dati: certi
virus crittografano la tavola delle partizioni (sempre contenuta nel
primo settore del disco) e la decriptano al volo quando un programma
cerca di leggere il settore, se si cancella il virus si cancella anche il
codice per decriptarla e ci si ritrova con un hard disk inservibile, a
meno di essere capaci a ricostruirla.
Inoltre puo` causare problemi nel caso che siano stati installati boot
manager come lilo oppure particolari software di protezione del disco dagli
accessi non consentiti.
---------------------------------------
) Windows 95 si blocca molto spesso, ma gli antivirus dicono che sono
  pulito, cosa posso fare?
Se un controllo con piu` antivirus non ha trovato nulla di sospetto allora
probabilmente non c'e` nulla di cui preoccuparsi, visto che bloccarsi quando
uno meno se lo aspetta e` il comportamento normale di windows 95.
Mi riferiscono che e` possibile ripristinare i file danneggiati a partire
dai dischi di installazione, ma se avete un problema di questo genere
allora questo decisamente non e` il gruppo adatto, andate in it.comp.win95
---------------------------------------
) Ho letto che mi puo` arrivare un virus tramite email, e` vero?
No, no e poi ancora no. Ogni tanto viene postato in usenet un messaggio che
mette in guardia da particolari virus che si trasmetterebbero attraverso la
lettura di messaggi di email infetti. Questi virus non esistono e non possono
esistere, visto che e` impossibile che un virus si trasmetta in questo modo.
Ovviamente e` sempre possibile che un messaggio contenga uuencodato o
codificato con mime un documento di WinWord contenente un macro virus.
Stesso discorso per le news, non e` possibile essere infettati semplicemente
leggendo un newsgroup, a meno che il vostro newsreader non decodifichi ed
esegua automaticamente i programmi codificati con mime che incontra.
Se il vostro software procede cosi`, allora /meritate/ di essere infettati,
per il semplice motivo di usare un programma che fa una cosa cosi` stupida.
(Quindi mai fidarsi dei programmi che trovate in giro.)
---------------------------------------
) Cosa sono i macro virus?
Sono virus scritti con i comandi macro di un'applicazione (per esempio
Win Word o Excel) e contenuti in documenti che non sono di per se`
files eseguibili. A volte un macro virus puo` immettere nel sistema e
attivare un normale virus.
---------------------------------------
) E` possibile infettarsi con un "dir"?
In *NESSUN* modo un virus puo` /installarsi/ in memoria semplicemente
eseguendo dir, e tantomeno infettare altri programmi.
Invece succede che se si fa il dir di un disco, il suo bootsector viene
letto dal dos e messo in un buffer all'interno della sua area dati (ma
*NON* viene eseguito, in nessun caso), e se quindi nel disco c'e` un virus
di boot il suo codice sara` trovato in memoria (ma non certo sull'hard disk)
da un antivirus eseguito subito dopo, ma questo non significa che il pc e`
stato infettato.
---------------------------------------
-- 
ciao,
Marco

