Newsgroup: it.comp.sicurezza.windows
Titolo: Accorgersi di un trojan

Ciao
Come si fa ad accorgersi che si ha un trojan nascostonel proprio pc?
ci sono dei prog appositamente studiati per farlo?
ps: ho installato norton personal firewall

 ps: ho installato norton personal firewall 
E l'antivirus, voglio sperare!:-)
ciao
dany

>> 
www.x-privat.org
 <<<   Restyling di 
www.x-planet.org
 in corso..
thorin: Credo ci siano in giro dei programmini appositi per crackare
sia documenti sia .xls che .doc, prova a cercare un po' con Google.

 piu' comodo e alla portata di niubbo per tracciare un trojan.
io non lo darei cosě scontato. Personalemtne ho visto persone riscire a
prendere un virus pur avendo installato il NORTON, con la scusanete 
che: "Ma devo lasciarlo sempre inserito? Perchč il mio cuggino mi ha
detto che se non sono connessa a internet posso toglierlo..."
Capisci? Nulla č scontato, ihmo.
-- 


 ho detto piu' comodo, Castoro, non *infallibile*
mhm


 
Sono completamente d'accordo a metà con il mister.
E' vero che un personal firewall (pf) permette di rilevare programmi 
(intesi come processi) che cercano di aprire connessioni o porte in 
attesa e quindi l'utente sarà avvisato nel momento in cui il trojan 
proverà a "chiamare casa" (viene qui scartato il caso dell'utente che 
ignora il messaggio di warning, visto che cade nel campo della 
selezione naturale e dell'evoluzione della specie e sarebbe OT in un 
ng di sicurezza).
E' anche vero che ci sono dei programmi (browser, posta elettronica, 
news...) che sono normalmente abilitati a compiere queste operazioni.
Premesso che di mestiere scrivo tutt'altro genere di software e che 
le informazioni contenute in questo messaggio sono alla portata di 
chiunque abbia tempo e voglia di registrarsi su MSDN, sono abbastanza 
convinto del fatto che un trojan abbastanza "infurbito" potrebbe 
farsi un baffo dei vari personal firewall effettuando le sue 
richieste dall'interno di uno dei processi che sono considerati 
"sicuri" dal pf.
Ci sono almeno due metodi che un eseguibile può sfruttare per 
utilizzare questa tecnica su tutti i client windows.
Il primo metodo è quello degli hook di sistema.
Windows permette di registrare delle funzioni che vengono 
"agganciate" (da cui il nome hook) a diverse funzioni del sistema 
(processing dei messaggi, gestione dell'input da tastiera etc...) e 
(se sono in una DLL) vengono richiamate dall'interno dei diversi 
processi. Un programma "malintenzionato" potrebbe installare un hook 
di questo tipo e collegarsi a uno o più programmi in modo da poter 
utilizzare in modo "mascherato" le connessioni TCP/IP.
Il secondo metodo è quello delle "estensioni" di Internet Explorer 
(non sò se altri browser/programmi di posta o news hanno simili 
funzionalità).
Si tratta di oggetti COM che vengono caricati da IE e, normalmente, 
girano "in-process" all'interno del browser. Un esempio tipico è la 
barra di google.
Per attivare un'estensione basta scrivere qualche chiave nel registry 
(la registrazione del componente COM e la chiave che segnala a IE 
l'estensione da caricare). Fino alla versione 5 (non ho indagato 
sulle nuove) non ci sono controlli sull'affidabilità delle DLL 
caricate.
Un volta caricato dentro IE la DLL può fare i suoi "porci comodi" 
facendo credere al pf che sia IE ad attivare le connessioni.
E' possibile limitare le possibilità di azione di questi trojan 
configurando diritti di accesso e policy (ovviamente non su win 9X o 
XP home).
Entrambi i metodi obbligano "l'ospite" ad attivare le connessioni 
utilizzando le porte standard dei programmi "infettati" e, nel caso 
di IE, impediscono l'apertura di connessioni entranti (ma non credo 
sia un grosso problema fare in modo che il trojan apra una 
connessione "verso casa" usando la porta 80, magari dopo aver letto 
l'indirizzo da chiamare su una pagina web oppure si limiti a spedire 
le informazioni interessanti a un indirizzo e-mail, magari 
"ricalcolato" a intervalli di tempo). 
Programmi che accettano connessioni entranti (messaging, file 
sharing...) sono probabilmente prede ancora più "gustose" (visto che 
il trojan potrebbe mettersi in attesa). 
Un trojan particolarmente furbo potrebbe poi "mascherare" le sue 
attività utilizzando il protocollo del client infettato (ad esempio 
generando richieste di POST HTTP nel caso di explorer) rendendo 
difficile la sua identificazione anche per pf sofisticati (non credo 
ne esistano, al momento).
Un terzo metodo (valido solo per i server con IIS) potrebbe 
consistere nella registrazione di un filtro ISAPI.
Questi "filtri" (delle DLL) possono processare tutte le request 
ricevute dal server (o da un sito/virtual directory) ed eventualmente 
generare una reply senza che la richiesta originale arrivi al server.
Un filtro/trojan potrebbe attivarsi solo su richieste particolari 
(con un header specifico, ad esempio una particolare versione del 
browser...) e lasciar passare tutte le altre richieste.
L'unico segnale della sua attività sono le entries nei log di IIS 
(che però potrebbero essere alterate, visto che il filtro isapi gira 
dentro il processo di IIS).
Per il pf è molto semplice risalire al processo che ha effettuato la 
richiesta di connessione, ma diventa parecchio complicato stabilire 
il modulo (EXE o DLL) da cui è stata generata la chiamata (dovrebbe 
"arrampicarsi" sullo stack, senza poter essere sicuro che questo non 
sia stato costruito ad arte). Più semplice sarebbe fare in modo che i 
programmi che supportano i plug-in supportino un meccanismo di 
"certificazione" degli stessi che permetta di segnalare nuovi plugin 
(magari con abilitazioni differenziate, tipo "sandbox") e verificare 
che i plugin installati non siano stati sostituiti con versioni 
"corrotte".
Huston (o più in alto a sinistra), mi sentite?
-- 
Valter Minute
vmi...@inwind.it
 (the reply address of this message is invalid)

 l'estensione da caricare).
Dov'eri l'altro giorno che si parlava di un trojan (forse siffatto) che
scaricava un dialer ognivolta che si passava per google? ;)
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

 
Ultimamente ho un po' "ponteggiato" (e conto di ricominciare giovedì).
Non capisco il collegamento con google. 
Hai qualche link?



E thread relativo.
l'OP asserisce che un trojan andava scaricare e creare un certo dialer
dandogli il nome corrispondente alla stringa inserita nella search box
di google.
il che puo' voler dire tutto e nulla. nel senso che non l'OP alla fine
non mi ha inviato il file per analizzarlo, e non e' stata effettuata
un'analisi seria.
Ma il meccanismo che tu prima hai elencato in effetti si incastrerebbe
molto bene con questo comportamento...


 search box di google.
Da quello che dice sono coinvolti un paio di eseguibili con un dialer 
vero e proprio e un programmino che rimane sempre attivo e reinstalla 
il dialer all'occorrenza.
Probabilmente il "trucchetto" di monitorare gli eventi di IE e 
prendere le stringhe da quelle inserite per la ricerca (con lo stesso 
sistema che utilizzano Go!zilla, getright e altri download manager, 
credo) serve solo per deviare le attenzioni di chi indaga 
sull'origine del dialer verso altri siti o essere sicuri che l'utente 
e on-line (ma ci sono diversi metodi molto più semplici).
Il meccanismo che passa per il plug-in di IE non ha bisogno di un 
processo esterno. 
Volendo potrebbe "depositare" la DLL e scrivere le chiavi di registro 
passando per uno dei buchi della JVM, utilizzando un activeX, 
l'esecuzione a babbo di mediaplayer (che lancia qualsiasi cosa gli 
venga passata, senza badare troppo al reale contenuto) etc.
Un "parassita" del genere potrebbe sfruttare IE per tutta la sua 
attività in rete (comprese eventuali configurazioni del proxy e 
relativa security) facendo passare la sua attività sotto forma di 
innocenti POST http. Ovviamente il rischio è quello di dover mettere 
in bella vista un server a cui i PC "controllati" dovranno 
collegarsi, ma questo rischio non è inferiore a quello che corrono 
gli installatori di dialer e può valere la candela se si tratta di 
piazzare il trojan a fini di lucro...


 
Non discuto l'utilità di un pf in questo caso. Sottolineavo una 
possibile intrusione che, a differenza di quelle caratteristiche dei 
trojan più diffusi, può passare inosservata.


 sia stato costruito ad arte). 
Alcuni pf (es. sygate) verificano anche le dll e non si lasciano fregare
(anche se il controllo delle dll e' disabilitato per default). Per quel 
che riguarda lo... spoofing della dll, non saprei.
Da una ricerca fatta circa sei mesi fa direi che nessun pf e' immune
a tutti i metodi per bypassarne l'egress filtering, nella confgurazione
di default, e solo uno con una configurazione mirata. Nonostante cio'
queste tecniche non sono mai state utilizzate per la scrittura di 
malware di larga diffusione, e non certo per le difficolta' di ordine
tecnico. Il pericolo, invece, penso possa essere effettivo nel campo 
degli attacchi mirati, in cui l'attaccante puo' creare un trojano
ad-hoc sfruttando una o piu' delle tecniche citate (piu' alcune altre 
meno note) scegliendole in funzione delle caratteristiche del target.
Fabio
[1] anche se quando lo stavo testando ha usato trillian, che avevo in
    esecuzione, invece di ie. Purtroppo l'autore non ha rilasciato i 
    sorgenti e non e' chiaro come funzioni l'aggeggio (a me, per lo 
    meno).

 certo per le difficolta' di ordine tecnico. 
E' quello che dicevo io. Per il lamer e gli script-kiddies funzionano 
benissimo i trojan già in circolazione!
[...]
