Newsgroup: it.comp.os.dibattiti
Titolo: Chiedo scusa agli utenti: per Angelo Paolitto

>tranquillo.
Non è tanto quello il problema. Tanto vero che se installi un rpm
con i privilegi di root, questo può inserire un suo componente
malware nei file di inizializzazione di linux ed hai aggirato
allegramente qualsiasi protezione legata ai permessi.
Il vero problema è che sotto Windows non c'è nessun meccanismo
di registrazione del codice. In altre parole, se questo è un pezzo
di eseguibile, si può dire al sistema operativo di eseguirlo al
volo, senza essere obbligati ad alcun controllo preventivo.
Allora, io metto un bel VIRUS.EXE tra gli allegati di un file di
posta elettronica, e sfruttando un bug il file eseguibile viene
lanciato. Le cose sarebbero totalmente diverse, se prima di
potere lanciare un eseguibile, si fosse costretti dal sistema
operativo ad installarlo con una procedura che esegue un
controllo preventivo del codice, bloccando il processo
nell'ipotesi in cui tale codice fosse riconosciuto dannoso.
A quel punto non servirebbe a nulla scrivere codice malevolo
ed allegarlo alla posta elettronica, perchè il codice dovrebbe
essere passato allo scanner antivirus prima di essere eseguito.
Ma se viene passato allo scanner, viene riconosciuto come
malevolo e quindi viene bloccato.
Saluti
Vegeta

 nel programma e-mail, non c'entra la multiutenza in sè.
No a dire il vero la colpa e' del coglione che ha aperto l'allegato :)
Secondo me comunque la cosa non cambia.
Se sono loggato con un account NON amministrativo, e ricevo un
allegato che una volta eseguito mi richiede la password di
amministratore mi insospettisco e magari qualche dubbio mi viene pure, non
credi ?
Se invece mi arriva un allegato, lo apro e questo si esegue senza
batter ciglio che devo pensare ?
Prima di concludere una brevissimo racconto a mio avviso molto indicativo.
Alcune settimane fa ho condotto un esprimento assolutamente personale. 
Ho carrozzato una macchinetta con XP SP2.
Terminata l'installazione decido che la prima cosa da fare e' prelevare un
antivirus in versione demo completamente funzionante per 30 giorni. Non ho
il setup quindi devo eseguire il primo collegamento ad INTERNET e
prelevarlo dal sito Web ufficiale. Decido sempre per valorizzare la
mia prova di lasciare i servizi di default aperti. Il tempo per il
collegamento sarà molto breve.
A connessione instaurata ho cronometrato i tempi:
- 5 secondi per collegarmi al sito Web del produttore dell'ANTIVIRUS
e altri 10 per localizzare il link che porta alla pagina di download.
- 50 secondi circa per scaricare il file di setup.
Al termine ho immediatamente disconesso la macchina da INTERNET.
La conclusione e' che IN QUESTO LIMITATO MINUTO di connessione
ho collezionato tutti i peggiori malware che circolano in rete da
Win32/AAA - Worm Cercasi disperatamente :)
fino ad arrivare a
Win32/ZZZ - Worm sconosciuto variante di Win32/ sei un povero sfigato :)
Meno male che avevo già l'SP2 installato.
Risparmio il tempo speso per rimuovere una variante di Win32/Adware. che
ho dovuto eliminare manualmente in modalità provvisoria.
 
Concludo con una domanda: possibile che la sicurezza sia caduta cosi in
basso ?
Salutoni
Giuseppe

 malevolo e quindi viene bloccato.
:-)
C:\>iao Angelo
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG


The difference between stupidity and genius is that genius has its 
limits. (A. Einstein)

 che non funziona. Stop.
Non hai capito.
Partiamo da un presupposto: chi scrive un malware tende a
farlo diffondere il più possibile. Non si scrive un malware
per l'utente Mario Rossi (in genere). Si scrive il malware
XBlast per un insieme di utenti e più ci cascheranno meglio
è.
Ma ciò significa anche che è possibile tenere un database
internazionale che contenga le signature di tutto il codice
malevolo conosciuto (che poi è quello che fanno tutti
i maggiori produttori di antivirus).
Allora, supponiamo di essere in un'altra dimensione e che
Windows funzioni in modo diverso.
Tutto il codice che viene mandato in esecuzione sul pc
windows deve prima essere stato registrato, e l'operazione
di registrazione nel sistema implica sempre un controllo
preventivo di uno scanner antivirus. E' chiaro che le cose
cambiano. Sì, ok, tu forse puoi trovare una falla dentro
Outlook che ti consente di mandare quel codice Virus.exe
in esecuzione. Ma il sistema si rifiuta di mandartelo in
esecuzione perchè non è stato ancora installato. E se anche l'utente
davanti al pc cliccasse OK ed avviasse il processo di
installazione di virus.exe, il software antivirus bloccherebbe
il processo di installazione ed impedirebbe che il sistema
fosse danneggiato.
A quel punto, il problema si sposta sulla possibilità di tenere
aggiornato il database antivirus, ma una volta che un malware
come il blaster è stato scoperto, ed una volta che è stato
registrato in tale database, il blaster ha finito di diffondersi.
Invece, tornando nella nostra dimensione, Windows non ha
alcuna protezione di questo genere. Basta trovare un bug
e per mezzo di questo si lancia allegramente del codice sulla
macchina della vittima, non importa se il codice è
segnalato sospetto o meno, ci pensino i privilegi utente a
bloccare eventuali azioni nocive.
E' chiaro che in questa situazione, se il sistema è usato come
root, l'unica difesa è mettere un firewall a bloccare i servizi
buggati (e quindi vulnerabili), ed usare mail clients che si
spera non abbiano vulnerabilità.
Saluti
Vegeta

 Non hai capito.
Sei tu che sproloqui riguardo  a S.O. che riconosce automaticamente il
malware. Oggi come oggi esistono un po' di tecniche per evitare codice
dannoso per il sistema. Fino ad ora i virus non sono stati bloccati.
Per  quanto  riguarda la  fantomatica  registrazione  del codice  dopo
scanning preventivo... Se si trova un bug che consente di sfruttare un
buffer  overflow di  un programma,  non  si ha  bisogno di  installare
niente.  Il  programma  che  "fa  danno"  e'  gia'  stato  installato,
"scannato" e riconosciuto come software "benevolo".
Forse si  potrebbe evitare  che vada in  esecuzione codice in  aree di
memoria  destinate  ai dati  (quindi  aree  scrivibili),  ma qui  deve
intervenire il processore, non credo che il S.O. possa fare molto.


 intervenire il processore, non credo che il S.O. possa fare molto.
Si puo' sfruttando un "trucco" realtivo alla psw sugli x86,
benche' essi non supportino esplicitamente la "non-executable
user stack area", ma mi sa che tale patch non e' facilmente
portabile su altre piattaforme.
bye G.L.