Newsgroup: it.comp.macintosh
Titolo: [news] primo virus trojan per mac

http://www.intego.com/news/pr40.html
Ciao!
-- 
Taca' Lit
I cazzi cambiano, ma i culi sono sempre gli stessi.

 
http://www.intego.com/news/pr40.html
Mi pare strano: se doppio-clicco un file che il sistema considera un
mp3, il sistema dovrebbe dire ad iTunes di suonare quel file, e non
provare ad eseguirlo...
-- 
Ve lo meritate Gil Amelio!

 piacerebbe anche a me vederlo, mi lascia un attimo... freddino.
come sopra...
se lo si trova... ci si arma anche di disassembler :)
-- 
Debugging is twice as hard as writing the code in the first place.
Therefore, if you write the code as cleverly as possible, you are,
by definition, not smart enough to debug it.
    - Brian W. Kernighan

 apre iTunes. Solo guardando le info ci si accorge che č un'applicazione.
Se hai solo l'estensione e non hai type e creator definiti, l'icona di
iTunes gliela mette il sistema e se doppioclicchi si apre iTunes.
Se invece type e creator sono quelli di un applescript viene
riconosciuto per quello che č. Comunque lě piů che di un programma o
script vero e proprio parlava di codice inserito all'interno del tag
ID3. Possibile che si possa far eseguire codice in questo modo?


 apre iTunes. Solo guardando le info ci si accorge che è un'applicazione.
In effetti è proprio così. Strano che nessuno ci abbia pensato fino ad 
ora...
-- 
Jollino - per rispondere togli il freno a mano
"Tears of blood and sadness formed the wonderful silent lake
Swans and birds in water games will call Airin's name...
her name!"

 C'era questo tra i commenti su slashdot:
L'ho scaricato. Il file ha come type APPL e come creator vMP3 e viene
riconosciuto come un'applicazione. Se lo si doppioclicca appare una
finestra d'avviso che dice "yes, this is an application!" (la parte di
codice) e si sente una risata da pazzo (la parte mp3 vera e propria). Se
invece si cancellano type e creator viene visto come un mp3, viene
aperto da iTunes e si sente solo la risata da pazzo, ma della finestra
d'avviso non c'è traccia. Quindi può funzionare solo se viene
riconosciuto come applicazione e non quando è iTunes che legge il file.


 riconosciuto come applicazione e non quando è iTunes che legge il file
Cioe' funziona ogni volta che lanci quel file dal Finder... se fosse
realmente un virus sarebbe sufficiente farlo una sola volta :)

 realmente un virus sarebbe sufficiente farlo una sola volta :)
Sì, volevo dire che deve essere riconosciuto come applicazione per
funzionare. Se apri il file da iTunes o se togli il type e
doppioclicchi, il codice non viene eseguito.


 C'era questo tra i commenti su slashdot:
Da notare che questo è di 2 settimane fa, mentre l'avviso è di oggi. Che
sia proprio questa la fonte d'ispirazione?


 No, credo gliela abbia assegnata a mano. 
No, a quanto pare l'icona e' dovuta al creatore (vMP3) e non
all'estensione. Ho provato, da Terminale, a creare un file ed assegnagli
tipo e creatore:
touch test
SetFile -t "APPL" -c "vMP3" 
E mi son ritrovato con un file con l'icona dei normali file MP3, mentre
usando solo estensione e tipo il file ha l'incona da applicazione.

 sia proprio questa la fonte d'ispirazione?
Stavo notando la stessa cosa.... ma magari come è già successo nel
mondo Windows sono prorpio quelli della Itego a mettere in giro pentole
e coperchi :)
-- 
"Imagination is more important than knowledge"
Albert Einstein 
1879-1955 

 l'estensione dopo averlo scaricato.
afaik ci sono molti posti che distribuiscono mp3 'compressi' in un solo 
file, di solito rar ma anche zip (che con panther conservano anche i 
resource fork se li fai da sistema con "crea archivio"). come 
compressione č inutile, ma scarichi un solo file per averne 10-15.
una cosa del genere puň essere exploitabile.


 all'estensione.
Ho cancellato la resource fork del file appena decompresso: type e
creator restano, ma l'icona diventa quella di un'applicazione generica.
Da notare che una volta persa la RF non fa più nulla.


 ID3. Possibile che si possa far eseguire codice in questo modo?
in caso di un baco del programma, in linea teorica si. 
Ma tanto vale mettere il codice eseguibile direttamente nell'mp3 ad un
dato offset...
Tempo fa avevo sentito di una cosa del genere per winamp e/o wmp (su
win)... ma non ho mai appurato se fosse o meno una bufala.



|._/|_|\__/\__/\__/ | * An out of control ego will sometimes get in the
       /_/ /_/      |   way of your success.                  (Todd H.)

 Primo? e Graphic Accelerator cos'era?
Appunto, cos'era? :-)


 Appunto, cos'era? :-)
    Una rarità? ;-)
-- 
    Nicola "nez" D'Agostino
  <!-- 
nezge...@geocities.com
 --remove/togli "getitout" -->

 Appunto, cos'era? :-)
Un virus che si chiamava cosi', appunto. Pensavi di installare un
aggiornamento per la scheda grafica e invece ti installavi un sacco di
rogne.


 rogne.
Grassie!


 rogne.
Ma come si diffondeva?


 Ma come si diffondeva?
Cosi'. Cioe', uno se lo scaricava e voila'.
Al lancio del sistema l'estensione partiva, si installava in memoria e
infettava qualunque applicazione venisse lanciata. Era fatto malissimo:
avrebbe dovuto occupare una risorsa non utilizzata e invece andava quasi
sempre a piazzarsi al posto del menu, per cui lo beccavi subito .-D
Pero' sradicarlo non era facilissimo: nel migliore dei casi bastava
spazzare la risorsa infettata, altrimenti dovevi reinstallare tutto
(naturalmente dovevi anche cancellare l'estensione, che pero' veniva
ricreata al lancio di un programma infetto).
Cerca "GAX", era il nome ufficiale.


 Cosi'. Cioe', uno se lo scaricava e voila'.
E' questo il punto che mi incuriosiva: cioč c'erano dei siti dove c'era
scritto: "scaricati questo bell'aggiornamento della scheda video"?


 scritto: "scaricati questo bell'aggiornamento della scheda video"?
praticamente si: sindrome da ultima versione... e poi se "passavi" un
programma infetto ad un altro lo infettavi. Pensa, ho un CD "Progetto
Recupero" con bella scatola che sembra un librio, ecc. che contiene un
virus! Credo che col 9, se non addiritura coll'8, al sistema gli facesse
un baffo.
-- 
"Two of the most famous products of Berkeley are LSD and Unix. 
I don't think that is a coincidence."

 praticamente si
Beh, ma in questo modo i responsabili erano facilmente identificabili...


 Beh, ma in questo modo i responsabili erano facilmente identificabili...
Bah, io il nome di chi l'aveva pubblicato ce l'avevo, pero' il link
stava su non so piu' che forum tipo MacQualcosa, e prima che si
scoprisse che era un virus ormai un sacco di gente si era appestata.
Calcola che un virus per Mac e' l'ultima cosa che ti aspetteresti. In
piu' c'erano un sacco di casini (o almeno, io li avevo) coi driver ATI,
e un aggiornamento al software grafico era la cosa piu' desiderabile e
piu' probabile. Ah, e non c'era Software Update, gli aggiornamenti te li
andavi a cercare a manina. Dunque chiunque in quel momento avesse avuto
problemi con la scheda grafica e avesse cercato informazioni in rete,
sarebbe prima o poi cascato li'.


 Primo? e Graphic Accelerator cos'era?
Ci fu anche un virus che si diffuse sotto le sembianze di RamDoubler o
qualcosa del genere. Ricordate?
-- 
per scrivermi togli .es