Newsgroup: it.comp.sicurezza.windows
Titolo: Ma si può modificare la firma di un virus ?

Gli antivirus riconoscono i virus dalle firme che essi hanno.
Dove risiedono esattamente queste firme nei programmi ? Nell'header ?
Vorrei capire se queste firme possono essere modificate tramite programmini tipo Resource Hacker, ecc., oppure sono modificabili
solo dall'autore prima della compilazione e quindi danno un livello di autenticazione del programma/virus molto più elevata.
Grazie

Vorrei capire se queste firme possono essere modificate 
Sicuramente si può modificare la lunghezza delle righe nei messaggi
che posti.
Keith
--
I sit inside a bottle and pretend I was in a can
------


Contenta ? Adesso riesci a leggerlo ?


 Contenta ? Adesso riesci a leggerlo ?
Per nulla, dovrezti anche fare urgentemente un corso di quoting...
-- 
HappyCactus - Registered Linux User #209744
http://utenti.tripod.it/happycactus

 
Credo che sia lo stesso tizio (almeno per 3/4 dell'IP :)) che mi ha 
scritto via e-mail chiedendo delucidazioni sulla nostra discussione di 
qualche mese fa a proposito dei trojan in grado di bypassare ZA 
(oggetto, tra l'altro, di un altro suo post di oggi) e che, su altri 
ng, chiedeva come scrivere chiavi nel registry senza far apparire il 
messaggio di conferma di regedit.
Tra l'altro avevo gią perso mezz'ora per descrivere un ipotetico trojan 
in grado di autoinstallarsi sfruttando un paio di "feature" di IE e di 
bypassare ZA, quando mi č venuto il sospetto che non si trattasse di 
puro interesse "culturale"... qualcuno vuole il mio trattato sul trojan 
autoinstallante e bypassante? :)
P.S. ma la nota [1] su I Love You dove si č persa?
-- 
Valter Minute
min...@inwind.it
 (the reply address of this message is invalid)

 se il file e' legittimo o e' un virus.
Non e' moro, e' verde, ed e' "happy" anche lui :))
Immagino infatti che quell'[1] puntasse a 
http://www.cryogenteam.com/comics/images/56_jpg.jpg
o qualcosa di simile.
D o z e r  e gli identikit
-- 
Se ti ho fatto una domanda, grazie per la risposta
se ti ho dato una risposta, grazie per la domanda.

 P.S. ma la nota [1] su I Love You dove si č persa?
Ah!
[1] per chi non avesse la firma, la puo' trovare su 
http://fun.drno.de/pics/iloveyou.jpg
(peraltro gia' postata altrove, oggi! :) )


 D o z e r  e gli identikit
OOOOOOOOOOOps, ho cannato identita'. Roba sperimentale e vecchia.
D o z e r  che a volte ritornano.


programmini tipo Resource Hacker
Alcune, per alcuni virus, si'. Di solito si usa uno hex editor, pero'.
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 Per nulla, dovrezti anche fare urgentemente un corso di quoting...
Perchè ? dimmi dove sbaglio.

 autoinstallante e bypassante? :)
A me sembrano domande naturalissime su questo ng.
E' ovvio che chiunque, da quello che non ne capisce niente a quello che come
voi ci studia sopra, è interessatissimo a sapere se Zone Alarm è sicuro o no
e se è facile modificare le firme dei virus.
Non capisco perchè invece di scrivere le risposte mi accusate, come se
stessi chiedendo chissà cosa di illegale come fare un furto a una banca.
Questo ng a che serve ? A essere criticati quando si fa una domanda
legittimissima sulla sicurezza o a sapere come difendersi ?

 Perchè ? dimmi dove sbaglio.
No, ora va bene...


 legittimissima sulla sicurezza o a sapere come difendersi ?
No, dai... non fare cosi', nessuno vuole accusare! nel mio post c'era 
anche una faccina...
Il problema sostanziale e' questo: In questo ng bazzicano molte persone 
bene intenzionate e tante altre... che invece sono seguaci del dalai 
lam3r... E' ovvio che da parte nostra debba esserci molta attenzione 
nelle informazioni che si danno; magari la tua e' una intenzione buona, 
ma la domanda e' abbastanza ambigua, non ti pare?


 modifica a un virus per renderlo non riconoscibile
Il modo in cui vengono create e riconosciute le firme virale è parte del
progetto di ogni software antivirus.
Nessuno dei software che ho provato si limita a calcolare bovinamente una
chiave hash dei file per verificarne l'attendibilità.
In particolare procurati uno script (preferibilmente innocuo) che venga
riconosciuto come virus e prova a modificarne qualche riga;
vedrai che nonostante ciò verrà riconosciuto.
I virus più "intelligenti" modificano se stessi nel momento in cui si
duplicano; per esempio possono aggiungere opcode contestualmente inutili per
cambiare la loro dimensione e intere parti di codice (per esempio possono
aggiungere gli opcode relativi a istruzioni come "mov EAX,EAX" che non fa
nulla, o meglio non modifica il funzionamento del virus).
Oppure, sempre durante la copia, possono scambiare la posizione degli opcode
relative a due o più istruzioni che sono indipendenti...  e così via.
Fortunatamente nonostante ciò, molti antivirus, grazie anche alla ricerca
euristica, riescono a rilevare queste varianti.
Se cerchi su un qualsiasi motore di ricerca trovi tonnellate di informazioni
riguarda a queste cose; in particolare leggiti questo articolo
http://digilander.iol.it/Bhs/Docs/m3nt0rz1.txt
Saluti,
Luca Barbetta kck/skd

 
Domandare è lecito, rispondere è cortesia.
Forse chi si occupa di sicurezza tende a essere paranoico :)
Mi pare che le tue curiosità sono state soddisfatte:
- Zone Alarm non è sicuro
- E' possibile cambiare le signature dei virus
Altre domande?


 ma la domanda e' abbastanza ambigua, non ti pare?
Sì, ma da come pongo la domanda le mie intenzioni sono EVIDENTI.
Io non chiedo: mi spieghi passo passo come fare per cambiare la firma
a un virus in modo da non farlo riconoscere all'antivirus ?
Ma invece chiedo: le firme hanno un certo grado di autenticità o
qualunque "dalai lamer" può cambiarle con qualche programmino ? In tal
caso ovviamente non terrei l'antivirus neppure in autoscan !

 contesto...
?????
Ti incollo quello che ho scritto poco sopra:
------
Vorrei capire se queste firme *possono* essere modificate
--------
A me sembra di aver detto "possono", tu hai capito invece:
come faccio a modificare le firme ? Me lo spiegate passo passo ?

 No, ora va bene...
Era un numero impostato male in Outlook Express, invece di 76 c'era
132.


e' per quello che serve aggiornare l'av molto spesso, e poi e' meglio
una sicurezza parziale a nessuna sicurezza. tieni conto che, inoltre,
l'antivirus piu' importante e' /dev/brain :))
alek
-- 
********************************alekhine********************************
*******************I° Cavaliere di Latta dell'Abuse*******************
*************************membro del CICHEP*************************
*****************************aspirante VBI*****************************

 caso ovviamente non terrei l'antivirus neppure in autoscan !
Beh, insomma... anche fosse facile cambiarle, rimangoo quelli originali 
che verrebbero beccati... 
Comunque, per rispondere alla tua domanda, cambiarle non e' cosi' 
semplice, per due motivi:
1) per il concetto stesso di firma, che e' una stringa di dati che ti 
permette di riconoscere il virus per come e' fatto (cioe', non e' che le 
firme sono incluse nel virus, ma il virus avra' una certa struttura, le 
firme corrispondono a tale struttura, per cambiarle occorre cambiare il 
virus. E' come dire: un'auto e' riconoscibile perche' ha quattro ruote, 
un volante e non ha rimorchio, per cambiare la firma devi riprogettare 
l'auto!)
2) Ciascun antivirus ha firme differenti, che potrebbero valere anche per 
il virus modificato, come non. insomma, magari cambiando due bytes eviti 
un antivirus ma non l'altro (ti faccio comunque presente che molti virus, 
detti "polimorfici", cambiano la propria struttura, e cio' nonostante 
vengono rilevati [magistr].... beh, norton e panda a parte!)
Spero di essere stato esauriente


 cosě poco per rendere il virus irriconoscibile.
No, non e' poco. considera che le firme sono abbastanza generiche da 
tollerare qualche cambiamento, ed in piu' ogni byte della firma 
corrisponde ad una precisa istruzione del programma, il cambiamento della 
quale puo' rendere il virus non funzionante. In piu' occorre isolare il 
virus (averne le capacita') o trovare il sorgente, sapere come funziona 
(non e' per nulla facile), cosa si cambia... e capire soprattutto se il 
cambiamento rende il virus non rilevabile.
Non mi pare possa farlo chiunque.


 vengono rilevati [magistr].... beh, norton e panda a parte!)
Il Norton non č buono ? Qual č il migliore secondo te ?

Ciao
Mi spiace contradirti ma devo spezzare una lancia per il Norton Antivirus..
Io l'ho l'uso e sono contentissimo per ora mi ha bloccato parechi virus..
Anche il magistr.b
Il solo difetto che gli trovo e solo che e un po pesantuccio su un 300Mhz ma
seno io non lo cambio... Ciao
Rifo
Ti posso fare una domandina se vuoi non rispondermi.. Ma come mai che tu
conosci cosi bene i virus .. Che mestiere fai?
Ciao
HappyCactus <happycactus...@desert.nowhere> a écrit dans le message
: MPG.16f14ad23...@powernews.libero.it...



a me invece lo ha mancato clamorosamente.


Il Norton non è buono ? Qual è il migliore secondo te ?
io direi kaspersky, ma e' pesantuccio.........sul mio pII 300MHz ho
dovuto penare parecchio per farlo girare senza rendere il pc
lentissimo.........ho dovuto installare un gestore di ram e lavorare
parecchio sulle opzioni.


 tradizionali delle tribu di hacker nomadi delle steppe :)))))))))))).
Alla prossima pizzata sei mio ospite. 8-))))
Intanto lascia che ti offra una birra virtuale, cosi' per affogare gli
"altri" problemi. <vbeg>
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
cERCCHI VIRUSZZZ?    : 
http://viruz4lamers.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 a me invece lo ha mancato clamorosamente.
Ma avevi aggiornato le definizioni? Io usavo il Nav2001 e appena e arrivata
la mail me le subito blocatta
CIao
Rifo


 parecchio sulle opzioni.
<OT>
Se mi posso permettere... i gestori di RAM non servono ad un ca§§o! Danno 
la falsa illusione di deframmentare e gestire la RAM: o lo fanno durante il 
processo, quindi lo rallentano, oppure alla fine, quando non servono a 
nulla! Piuttosto bisognerebbe settare alla perfezione lo swap-file, in 
maniera del tutto personalizzata...
</OT>
-- 
                         ===> R A S H E F <===
     eMail: rashef [at] libero [dot] it «-» URL: Under Construction
My AV: /dev/brain «-» My URL: 
http://www.google.it
 «-» My Law: Netiquette
                There is no knowledge that is not power


si. almeno due volte a settimana.
alek
-- 
"....aggio viste e blucerchiati
ma o' Grifone e n'ata storia....!"
Max Alver su ISCG.

maniera del tutto personalizzata...
non so che dire, da quando ho messo su quel prg il pc ha
"accelerato"(e non e' una impressione, ma un dato misurabile). diciamo
che per una volta voglio fare il pragmatico, dato che questo gatto mi
ha catturato il topo, evito di chiedermi di che colore sia o come
abbia fatto :P.


nulla!
Con Windows 98, non e' del tutto vero. Forzare una GlobalCompact()
consente davvero di migliorare la gestione del sistema. Con XP non
lo so.
Leonardo

 conosci cosi bene i virus .. Che mestiere fai?
Potrei dirtelo.... ma poi dovrei ucciderti. ;)
LOL 


 consente davvero di migliorare la gestione del sistema.
Uhm... onestamente non so cosa dire...
I miei dati si basano essenzialmente su uno studio eseguito tramite test 
approfonditi... che non avendo eseguito io, non posso sottoscrivere ad 
oltranza!
Quei dati mi furono confermati da Pamela, che "imperversa" su 
it.comp.os.win.win9x! Approfondiro` la questione... thanx! :)


HappyCactus <happycactus...@desert.nowhere> a écrit dans le message
: MPG.16f69e3d1...@powernews.libero.it...

Ok allora meglio lasciare il mistero..
Ciao
Rifo


oltranza!
Diciamo che dipende, caso per caso. In certe condizioni, la gestione di
memoria di Windows 98 e' fortemente sub-ottima (tradotto: fa caa'). Se,
a quel punto, uno carica un eseguibile grosso, quello si esplode in una
miriade di pagine e paginette in memoria, e il sistema ha uno stress X.
Se prima del load si effettua una compattazione "semplice", il costo di
questa e' abbastanza ridotto, e la RAM disponibile rimane contigua; una
simile 'coalescenza' migliora il caricamento del programma, ed anche le
sue prestazioni.
A seconda di processore, dimensione RAM, tipo di eseguibile e velocita'
del disco, nonche' impostazioni di swap, e possibile riallineamento del
binario per approfittare meglio dell'unificazione cache/immagine che fa
Windows 98 con i programmi che gli piacciono, tutto 'sto burdčl ti puo'
fare comodo, o puo' essere acqua fresca.
Il sistema e' talmente non-deterministico che il mio suggerimento e' di
provare, e, se funziona, tenere l'ottimizzatore. Inoltre, conviene fare
una prima configurazione assolutamente "non aggressiva" e vedere. C'e',
infatti, in agguato, il problema dei 'diminishing returns'.
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 infatti, in agguato, il problema dei 'diminishing returns'.
Per configurazione "non aggressiva" cosa intendi? Intendi dire che bisogna 
lasciargli in gestione solo una piccola quantita` di RAM???
Ciao... :)


lasciargli in gestione solo una piccola quantita` di RAM???
No, per esempio, se e' possibile modificare la quantita' di memoria di
cui viene fatto il "reclaim", e' meglio partire da 2 Mb invece che dai
16 Mb :-) -- piu' si reclaima, piu' il sistema rischia di swappare, e,
a quel punto, i guadagni diminuiscono.


 a quel punto, i guadagni diminuiscono.
Ricevuto! :)


Perchè ? dimmi dove sbaglio.
Ciao,
nonostante la paura degli altri, rispondo alla tua domanda in
quanto non penso esserti d'aiuto per generare virus.
Quella che viene chiamata "firma" penso sia una porzione
di codice che identifica in maniera inequivocabile il virus, e
molto probabilmente e' un porzione di codice necessaria
alla replicazione dello stesso. 
Nell'eventualita' la firma non sia indispensabile per la
replicazione, mi sembra che x qualsiasi antivirus sia
d'obbligo riconoscere anche il codice di replicazione.
Quindi la modifica alla firma comporterebbe la variazione
di un codice vitale, che se non fatta nel giusto modo,
renderebbe il virus inutilizzabile
Ho "studiato" i virus x un po' di anni, e mi sono reso conto
che, a parte la bella sfida che possono rappresentare,
bisogna anche considerare la perdita di lavoro altrui che
possono causare.
Mi auguro che sia per passione personale, o consapevolezza
del come agiscono i virus, o per combatterli, non per crearne
di nuovi.
Nel caso continuasse la discussione, crossposto su it.sicurezza.virus,
mi sembra piu' adatto continuare solo la' la discussione.
Ciao,
Lorenzo.
----
e-mail: torresinTO(at)
GLIMI.tiscali.it
Se vuoi ricevere delle barzellette o "un buongiorno" scrivimi
con subject "subscribe barzellette" o "buongiorno"
Occhio al 'TOGLIMI' e all' (at) nell'indirizzo di ritorno
Per rispondermi cancellate TOGLIMI lasciate solo la @.