Newsgroup: it.comp.os.linux.sys
Titolo: Storm Worm non individuato.

Il seguente nuovo worm 
http://news.yahoo.com/s/zd/20070119/tc_zd/199062
 
non mi e' stato individuato da clamav installato su un server mail, 
mentre 'e stato bloccato da symantec antivirus installato in diversi 
client windows.
Clamav ha toppato?
A questo punto non mi risulta piu' tanto affidabile.


Bello ma è un html .......


Cioe'?

 A questo punto non mi risulta piu' tanto affidabile.
Non si valuta cosi' un antivirus, su un solo evento. Soprattutto se non e'
chiaro quanto sia successo.
Fabio


Beh hai ragione ma i fatti sono che symantec ha riconosciuto e bloccato 
questo nuovo worm mentre clamav no.
La macchina su cui e' installato clamav e' collegata ad internet 24 su 24.
L'unica cosa che mi viene da pensare e' che il demone non abbia fatto in 
tempo ad aggiornarsi e qualche virus e' passato.

 chiaro quanto sia successo.
Non metto in dubbio che clam sia un ottimo antivirus (per vari motivi)
ma una cosa non mi ha mai convinto:
il numero di sign identificate da clam si aggira attorno 87292 (come da
homepage di clam), quello di f-prot (sempre gratuito per usi non
commerciali) a circa: 369652 (da sito f-prot)
E questo vale per tutti gli altri antivirus. Clam è di un ordine di
grandezza inferiore ad ogni altro antivirus presente sul
mercato.......Non mi convince molto...... 350.000 virus rispetto a
80.000 sono troppi come differenza.
Ripeto: resta sempre e comunque un ottimo antivirus (che io stesso uso
su tutti i server affiancato ad f-prot e avast)

 
E' una scelta progettuale di Clamav:
nei db delle firme non sono inclusi virus più "datati" ma si concentra
su una "wild list" che comprenda prima possibile le minacce di reale
diffusione.
-- 
Tobe Bofh

 tempo ad aggiornarsi e qualche virus e' passato.
Una delle politiche di base e` cmq quella di bloccare messaggi con
allegati direttamente eseguibili in ambiente dos/windows.
Noi usiamo clamav in abbinamento con amavis e nell'ultima ondata di
virus e varianti, tra "VIRUS" e "NOME INTERDETTO" sono stati fermati
oltre 250 messaggi.
Ciao,
gc :-)

 diffusione.
Be ma a loro che fastidio da tenere le firme vecchie?
Possono concentrarsi ugualmente sulle nuove senza badare alle
vecchie....
Quindi se un giorno dovessere arrivare un bombardamento di virus di 10
anni fa (cascade e simili) il clam manco se ne accorgerebbe........

 anni fa (cascade e simili) il clam manco se ne accorgerebbe........
Devi considerare che clamav è un progetto relativamente recente
(avrebbero dovuto riscrivere tutte le signature per tutti i vecchi
virus), e fare il match su delle firme è un'operazione che ha un certo
costo (il risultato è che è piu' rapido). Se poi conti che di virus
vecchi ne girano sempre meno (nessuno?) poichè un qualsiasi antivirus
sul client li sgamerebbe io assecondo l'idea del team di clamav.
Un'aspetto principale da tenere in considerazione è lo scopo per cui è
stato principalmente progettato: "The main purpose of this software is
the integration with mail servers (attachment scanning)"
Gufo
-- 
  ,___,          Armageddon means never having to say you're sorry.
  (9v9)
  (_^((\                    .: May the owl be with you :.
-^-"-"-\\-^-                  
http://gufo.dontexist.org
 

 the integration with mail servers (attachment scanning)"
In effetti hai ragione anche qui.
Ho visto sul tuo sito che usi slackware...
Come diavolacci fai gli update di sicurezza che vengono pubblicati sul
sito?
a manina uno per uno (come me purtroppo) o tramite slapt-get e simili?
L'ultima volta che ho usato uno di quei programmi mi ha massacrato due
server causa cambio di major version e relative librerie....

 server causa cambio di major version e relative librerie....
Io uso slackpkg, non è invasivo e mantiene sempre le applicazioni
aggiornate come si deve. Non prende iniziative strane, non gestisce
dipendenze nè altro...automatizza solo le fasi:
- Changelog aggiornato?
- Scarico gli aggiornamenti del pacchetto X per slackware versione Y
- Installo gli aggiornamenti
- Se ci sono file nuovi di configurazione lo segnala e chiede cosa fare
  (mantieni vecchio, installa il nuovo, lascia tutto com'è)
Te lo consiglio, è molto pratico e non rischi di trovarti il sistema
rotto. Inoltre è incluso di default e pienamente supportato.
ciao!


   (mantieni vecchio, installa il nuovo, lascia tutto com'è)
Io avevo impostato slapt-get per scaricare solo gli update della
slackware 10.2
Ed effettivamente slapt-get fa quello che dici tu: controlla il
changelog della slackware 10.2 online e tira giù gli update.
Allora ti faccio una domanda: la slackware 10.2 che si trova online è
più aggiornata rispetto alle iso 10.2 sempre online...Dovrebbe essere
aggiornata con le varie patch di sicurezza che man mano escono.... Ed
in teoria le librerie dovrebbero rimanere quelle....
Mi spiego:
al momento ho slackware 10.2 installata. Come prima operazione che
effettuo su un nuovo server è installare slapt-get, dire dove trovare
il repository ufficiale della slackware 10.2 (tolgo tutti quelli
aggiuntivi o opzionali) e aggiorno TUTTO.
Una volta accertato che il sistema funziona correttamente, procedo con
le configurazioni del caso.
Il problema però è fare gli update secondari, quelli che escono a
sistema già configurato. Tempo fa provai swaret, gli dissi di fare
l'update alla 10.2 (avevo pensato che forzandola alla stessa versione
installata non faccesse salto di major version o che non spaccasse le
librerie).....Scarico tutto, aggiorno, riavvio apache (per vari motivi)
ed ecco che php non trova più mysql che era stato aggiornato da 4.0 a
4.1 (versioni non precise)....
Pensavo che rimanendo sempre nella 10.2 le librerie fossero rimaste
sempre quelle (altrimenti che senso ha rimanre nella 10.2 quando le
librerie si spaccano uguale, tanto vale fare upgrade di tutto)....
Non vorrei ritrovarmi nella stessa situazione. Insomma, credevo che i
security advisor della 10.2 presenti sul sito ufficiale slackware
fossero stabili per la slackware 10.2...A quanto pare non è cosi....Si
rischia di demolire tutto.
Questo *UNICO* difetto che ho trovato su slackware che uso da anni (
più che difetto è una rottura di scatole) mi sta facendo pensare di
passare a debian solo per apt-get ed i bollettini di sicurezza.......
Sono stufo di dover aggiornare tutto il mondo a mano..... Quando su
debian tutto il mondo è già pronto, stabile, collaudato e testato sia
da persone che sicuramente da grossissimi provider.

 4.1 (versioni non precise)....
<...>
Hai descritto una delle "feature" che ho riscontrato in swaret/slapt-get.
Al posto di cercare tra le patch, che si trovano in
indirizzo.server/slackware-versione/patches i due software in questione
sono portati a fare macello se non vengono configurati come si deve (non
ne sono certo, perchè non mi sono mai impegnato a fondo nel tuning).
Usando slackpkg invece di questi problemi non ci sono, se gli dici di
seguire slackware-X (con X diverso da -current) non rischi di trovarti
problemi con le librerie e aggiornamenti strani, semplicemente vede se
ci sono nuove patch e le scarica, punto.
So che non sono nessuno, però fidati ;-)


 A questo punto non mi risulta piu' tanto affidabile.
Scusate ma cosa c'e` di piu` affidabile di bloccare gli allegati .exe?

 ci sono nuove patch e le scarica, punto.
Vado a studiarmi sto slackpck allora...
Però tu mi dici che le varie patch di sicurezza pubblicate sul sito
sono sempre in 10.2 oppure 11.0 (a seconda di quale slack ho sotto il
sedere), questo significa che le iso sono sempre meno aggiornate dei
files 'sfusi' nelle rispettive directory....basta sincronizzare i
pacchetti in quelle directory per ritrovarsi con una slack aggiornata e
pronta ad andre in guerra....
Era proprio quello che mi volevo sentire dire...Son proprio stufo di
aggiornare tutto a mano.
Comunque, per la cronaca, anche slapt-get se gli dici di aggiornare a
10.2 lui aggiorna SOLO a 10.2...da questo punto di vista è affidabile
perchè prende il changelog, scarica i pacchetti e fa upgradepkg per
ogni pacchetto nuovo....
Quello di cui non sono sicuro però è se l'altra volta ho scazzato io
con la config (non ci vuol niente che abbia detto a slapt-get di
passare da 10.1 a current, cioè 10.2) o se il nostro amico patrick
abbia buttato su un pacchetto 'mal fatto' (ne dubito fortemente) o se
addirittura slapt-get fa casino di suo......

 addirittura slapt-get fa casino di suo......
Anch'io gli darei le chiavi di casa mia ma l'ultimo aggiornamento di 
proftpd a me e' andato male. Io non monto (ne' compilo l'IPv6) e 
l'ultimo pacchetto di proftpd non funziona correttamente senza, afaik
Rizio

 l'ultimo pacchetto di proftpd non funziona correttamente senza, afaik
A ma allora esiste la possibilità che Patrick abbia massacrato il mio
server pecchettizzando un mysql non perfettamente compatibile con
la slackware attuale....
Mi sono ritrovato mysql aggiornato, ma php non riusciva più ad
accedere perchè era stato compilato con /usr/lib/libmysqlclient.so.12
ed invece il nuovo mysql ha messo su /usr/lib/libmysqlclient.so.14 (o
giù di li)....
Ma il nostro amico Pat, non potrebbe verificare che le dipendenze siano
risolte correttamente prima di pubblicare un pacchetto? Se
l'upgrade di un pacchetto comporta il cambio di libreria, si potrebbe
evitare......
Faccio una domanda da ignorante (lo ammetto):
io ho compilato manualmente il php sul server web perchè mi servivano
delle features non presenti su slackware.
php è stato compilato con la libreria di mysql per la slack 10.2
(prima della modifica del pacchetto).
Poi ho aggiornato il pacchetto mysql che ha cambiato libreria e php non
ha più funzionato.
Come diavolo evitare sto casino? se capita in un update notturno è un
problema.....
E quel .12 finale a cosa serve? è la versione? Basta fare un link
simbolico da .12 a .14 e dovrebbe ripartire (mi sembra di aver fatto
cosi ma non so
se è una tecnica corretta e funzionante o se ho avuto solo 'fortuna' )
oppure in questi casi bisogna o downgradare o ricompilare i programmi
che utilizzano la libreria mancante?

 tempo ad aggiornarsi e qualche virus e' passato.
Che e' un rischio da considerare con tutti gli antivirus. Soprattutto in
caso di prodotti symantec.
Fabio

 che utilizzano la libreria mancante?
Direi la seconda.
-- 
Ciao.
Alessandro 
"Ubuntu" - an African word, meaning "Slackware is too hard for me".


Ma il problema non sarebbe tanto ricompilare il programma (si è un
problema ma non più di tanto) bensì accorgersi di cosa si va a
spaccare
facendo un upgrade.
Solitamente gli upgrade di sicurezza correggono solo buchi di
sicurezza, non cambiano major version.
Si rischia di automatizzare gli update e ritrovarsi (magari dopo 2
mesi) con qualcosa di rotto senza possibilità di tornare indietro.
Fortuna voleva che avessi riavviato apache poco dopo l'update, ma se
apache fosse stato riavviato 2 mesi dopo sfido io a capire la magagna.

 Scusate ma cosa c'e` di piu` affidabile di bloccare gli allegati .exe?
Non usare piu' la posta? :-)
Ci sono delle situazioni in cui fare quello che dici tu non è fattibile.
Poi tanto se devono arrivare le magagne arrivano come file .com, .pif o
.quelcheè, oppure in uno zip.


 Ci sono delle situazioni in cui fare quello che dici tu non è fattibile.
]zac[
??? basta che chi lo invia cambi l'estensione in ex_ e metta una nota.
P.S. Approfitto per un commento, se mi ricordo bene alcuni test i migliori
degli antivirus rilevato al massimo l'80-90% del file infetti.
Ogni convinzione che una cosa sia sicura al 100% è piuttosto pericolosa, e
anche un tantinello infantile (nel senso di rifiuto di considerare il caos
che è in realtà la relaltà ( :) )).