Newsgroup: it.comp.os.win.xp
Titolo: Altra gravissima falla in TUTTI gli antivirus: un archivio con header appositamente modificato ad hoc, potrebbe sfuggire all'antivirus

http://www.securityfocus.com/bid/15046/info
Un archivio malformato cioè con header appositamente modificato ad
hoc, potrebbe sfuggire all'antivirus, con ovvie conseguenze sulla
sicurezza.
http://shadock.net/secubox/AVCraftedArchive.html
La lista degli antivirus vulnerabili a questa falla è lunghissima,
sono praticamente quasi tutti:
Kaspersky Antivirus
BitDefender Antivirus
NOD32 Antivirus
F-Prot Antivirus
Avast Antivirus
McAfee Antivirus
Sophos Antivirus
Symantec Antivirus
Dr.Web Antivirus
Avira Antivirus
Norman Virus Control Antivirus
Fortinet Antivirus
VBA32 Antivirus
Rising Antivirus
AntiVir Antivirus
eTrust-Iris Antivirus
ArcaVir Antivirus
eTrust-Vet Antivirus
UNA Antivirus
Ikarus AntiVirus
ClamAV Antivirus
Panda Antivirus
CAT Quick Heal
TheHacker
Trustix Antivirus
Grisoft AVG AntiVirus
Nel momento in cui scrivo NON è disponibile alcuna patch.
Saluti da P4

 sicurezza.
Non mi sembra una falla grave, semplicemente l'antivirus non scansiona
dentro l'archivio, ma nel preciso momento in cui uno estrae i file per
aprirli, ovviamente interviene.
Preciso perň che di tutti i file di prova sono riuscito ad aprire solo
http://shadock.net/secubox/demo/SecuBox_AVPoC4.arj
e l'antivirus č intervenuto solo tentando di aprire 
eicar.com
 (in un
archivio normale sarebbe intervenuto prima).
Gli altri archivi mi davano errore.
Bye Krmel

 aprirli, ovviamente interviene.
si ok, ma il problema è che uno poi si fida di quell'archivio dato che
l'antivirus che lo ha scansionato ha detto "nessun virus presente"; e
non puoi sapere poi che cosa l'utente ci può fare di quel file,
potrebbe pubblicarlo in qualche sito, inviarlo al suo amico del cuore
che è distratto e non ha un antivirus o potrebbe pure aprirlo lui
stesso in un momento sfigato in cui ha la protezione real-time
disattivata, mai dire mai.
Meglio prevenire che curare.
Saluti da P4

 
http://shadock.net/secubox/demo/SecuBox_AVPoC4.arj
WinRAR li apre e li estrae tutti e 5 senza problemi:
http://shadock.net/secubox/demo/SecuBox_AVPoC1.rar
http://shadock.net/secubox/demo/SecuBox_AVPoC2.rar
http://shadock.net/secubox/demo/SecuBox_AVPoC3.cab
http://shadock.net/secubox/demo/SecuBox_AVPoC4.arj
http://shadock.net/secubox/demo/SecuBox_AVPoC5.arj
Saluti da P4

 aprirli, ovviamente interviene.
Etrust EZ Antivirus facendo tasto dx -->Etrust AV sull'archivio rileva 
correttamente tutto senza dover estrarre. Ovvio che appena scaricato 
l'archivio non fa proprio nulla, ma si č sempre comportato cosi. Altrimenti 
la mia piccola collezione virii sarebbe cancellata da secoli.
Product version: 7.0.53 Engine Version: 11.9.1 Virus signature update: 9442
Non so onestamente piů di questo cosa debba fare un antivirus. Ovvio che se 
lo estraggo scatta al volo.
Testato su tutti i link.
Cristiano aka .:[CRT]:.
--
i mei 0,02 euro. 


http://shadock.net/secubox/demo/SecuBox_AVPoC5.arj
il kaspersky personal pro 5.0.390 quando cerco di decromprimerli con
winrar scatta e segnala il "virus"
ciao
--
W.A.R.®

 winrar scatta e segnala il "virus"
Non hai capito di quello di cui si stava parlando. Rileggi con
attenzione i messaggi.
Saluti da P4

attenzione i messaggi.
ho replicato la tuo secondo post... il tuo antivirus te li lascia
decomprimere , il mio no. Tutto qua.
--
W.A.R.®

>la tuo
ops.. AL tuo
--
W.A.R.®

La lista degli antivirus vulnerabili a questa falla è lunghissima,
sono praticamente quasi tutti:
QUINDI HE ANTI usare ? 

 decomprimere , il mio no. Tutto qua.
tu non puoi leggere un messaggio singolo, senza vedere il contesto a
cui si riferiva.
Ora ti rispiego la situazione:
- la falla consente ad un file archivio, con un header modificato, di
non essere scansionato da un antivirus.
- Krmel sostanzialmente alla fine della sua risposta dice che non
riesce nemmeno a decomprimere 4 dei 5 file file, e NON perchè
interviene l'antivirus ( infatti dice: "Preciso però che di tutti i
file di prova sono riuscito ad aprire solo
http://shadock.net/secubox/demo/SecuBox_AVPoC4.arj
 e l'antivirus è
intervenuto solo tentando di aprire 
eicar.com
 (in un archivio normale
sarebbe intervenuto prima). Gli altri archivi mi davano errore."
ma perchè alcuni programmi di zip considerano gli archivi con header
modificato in quel modo, come archivi con errori o danneggiati.
- Io rispondevo a Krmel dicendo che WinRar li decomprime senza
problemi, proprio per dire che anche se gli archivi sono con header
modificati si possono aprire comunque con winrar cioè risultano ancora
intatti e quindi potenzialmente pericolosi.
Quindi il tuo discorso che si agganciava al mio dicendo: "se decomprimo
gli archivi, l'antivirus me li rileva" è ininfluente, sia per quanto
riguarda la falla che riguarda la SCANSIONE DI ARCHIVI e non
l'estrazione, sia per quanto riguarda il mio discorso che voleva
sottolineare il fatto che gli archivi con header modificati sono ancora
intatti (infatti nell'articolo viene spiegato che devono essere
modificati senza però corromperli), poi anche il mio antivirus ,come
tutti gli antivirus con protezione real-time attiva, decomprimendoli li
rileva, ma è ininfluente.
Saluti da P4

 
.........................................................
Salve a P4 ed a tutti.
Tutto sommato la mia situazione sembra migliore di altre, almeno pare a 
me - uso AVK (AntiVirusKit) e 7-zip.
La scansione standard con "riconoscimento automatico dei file" non 
rileva nulla, mentre la scansione profonda con "tutti i file" riconosce 
solo SecuBox_AVPoC5.arj. Idem il monitor residente.
Il problema qui c'è.
L'estrazione dei file con 7-zip porta a "errore non specificato di 7zip" 
sul primo file e all'estrazione regolare degli altri e all'immediata 
identificazione dei virus, senza alcuna altro intervento da parte mia.
Quindi è sufficiente che io estragga subito i file archivio, come 
normalmente faccio, per essere tranquillo.
-- 
Ciao, Adriano
----------------------------------
Togli "rosso" per contatto privato

 Saluti da P4
Esiste esiste .....
inzia per L e finisce per nux ...

QUINDI HE ANTI usare ? 
www.quickheal.com
Chameleon
-- 
Togliere despammed e .invalid per rispondere in E-Mail.