Newsgroup: it.comp.sicurezza.windows
Titolo: Orbene...

Ho installato:
(Avira) Antivir...
Spybot Search & Destroy
Sophos Anti-Rootkit (mi sembra carino, ma basterà?
il Firewall del Windows Media Center
Cos'altro mi manca adesso per una protezione completa?
Notavo per esempio che Antivir non controlla le email...
Quindi, cosa potrei integrare per le email? (uso Outlook Express)
Poi mi pare di capire che per una maggiore sicurezza mi conviene
installare anche ADaware, insieme a Spybot...
Altro?
PS. capisco di non essere un granchè, informaticamente parlando,
e se mi rivolgo a questi gruppi di discussione è proprio per chiedere
aiuto a gente più esperta di me... Quindi, non capisco perchè mi
dobbiate attaccare con parolone come crosspostare, o troll, o
rotfl, qualcosa del genere, insomma, tutta roba incomprensibile
per me... Almeno spiegatemi cosa intendete dire...
Grazie sempre per la disponibilità a chi mi sta aiutando...

Quindi, cosa potrei integrare per le email? (uso Outlook Express)
Potresti, ad esempio, sostituire OE con qualcos'altro: Eudora,
Thunderbird...
Quanto ad Antivir, in realtà ti protegge lo stesso, anche se non
controlla le mail in ingresso o in uascita: se ricevi una mail
infetta, appena la apri il virus viene bloccato (Posto, ovviamente,
che Antivir sia aggiornato ed il virus compreso nelle firme: non
esistono antivirus sicuri al 100%). Col vantaggio di pesare molto meno
sulle risorse di sistema

 installare anche ADaware, insieme a Spybot...
Per la posta segui il suggerimento gia dato di installare Thundebird, 
per navigare Firefox o Opera. Adware e spybot ultimamente mi sembra che 
non beccano molto, meglio un Antispy come AvG oppure Spysweeper o A2 
Squared e se fossi in te invece del firwall di windows ripiegherei su 
zona alarm o jetico o kerio ( free)

 jetico o kerio ( free)
Io ti ringrazio per sti consigli, ma tutti mi dicono cose diverse...
Per esempio, perchè un altro firewall che non sia windows?
oppure altri antispy...?
Recensioni dicono che il migliore è spybot...
Ma a chi credere? Ho paura che prova questo, e prova quello, non faccio 
altro che incasinare di più il sistema...
Per esempio, mi ero convinto per Antivir, come antivirus, e me ne sono 
pentito perchè non scansiona le email... Allora leviamolo e rimettiamo 
MCafee... ma c'è chi dice che è meglio Kasper... e c'è chi consiglia 
Nod32... Booh... Mi sto solo confondendo le idee...

 Cos'altro mi manca adesso per una protezione completa?
La "protezione completa" non esiste :) ad ogni modo, volendo
aggiungere qualche altro "filtro" ti suggerirei ...
ClamMail - scansione delle email in arrivo
http://www.bransoft.com/clammail/en/clammail.html
Spamihilator - filtro antispam (anche la beta va benone!)
http://www.spamihilator.com/
RunAsAdmin - per usare la macchina come "utente normale"
http://sourceforge.net/projects/runasadmin
in ogni caso.. qualsiasi s/w NON ti proteggerà se non userai
il cervello :) ossia.. se uno apre qualsiasi allegato o clicca ok
su qualsiasi richiesta ... non ci saranno firewalls o antivirus o..
che tengano
ciao

 Booh... Mi sto solo confondendo le idee...
Nod32 come euristica e leggerezza è imbattibile ma a volte nella 
scansione non riconosce qualche trojan. Kapsersky ha un motore di 
scansione imbattibile e ha una capacità di riconoscimento molto 
elevata. Altri AV ottimi sono F-Secure ( motore di scansione Kaspersky) 
e Bitdfender.  F- SEcure 2006 è gratuito per 6 mesi.

 protezione che tenga, ricorda bene.
Mai detto che esiste software perfetto. Uso anchio Nod32 su una 
macchina da tre anni e ne sono soddisfatto altrimenti non avrei 
rinnovato la licenza per tre anni, anche se a volte non rinosce qualche 
trojan. Dire che ha una eccellente euristica e che non riconosce 
qualche trojan non mi sembra che sia disinformazione, è reatà pur 
apprezzando in pieno il prodotto. Cosi come apprezzo in pieno la 
qualità di altri prodotti ciati e so riconoscerne anche i difetti.
Poi concordo pienamente con te che bisogna usare il cervello e non 
cliccare alla cazzo, su questo non ci piove.

 sw in affiancamento?
Una volta 2 malware non riconosciuti da Kav, ma prontamente segnalati 
da BitDefender e F-Secure
Detto tutto questo voglio solo fare una piccola precisazione: non 
faccio il tifo per nessuno. Uso questi 4 antivirus su 4 macchine 
diverse, ritengo che siano tutti di ottimo livello con grandi pregi e 
difetti, ma rimango comunque della opinione ( condivisibile o meno )che 
il motore di scansione Kav sia superiore alla concorrenza. :oÞ
Ciao

 Ok.
Scusate, a proposito di esperienze personali... io da un paio di anni
buoni uso solo avast con attivata la protezione locale (l'antivirus
residente) e la protezione di rete (giusto per la famiglia dei sasser &
C). Navigo dietro ad un router. Niente altro.
Tutto il resto della rumenta (spybot, adaware, kerio, etc.)
semplicemente non li ho installati da molto tempo. E dire che non è
che giro e scarico poco, anzi.
Però sono stato infetto veramente poche volte, e quelle poche (forse
tre o quattro) è sempre bastato il process explorer per individuare
processi, cancellare i relativi eseguibili, e tornare a posto. Forse in
un caso ho dovuto mettere mano al registro per rimettere a posto
qualche chiave.
Quindi, siccome siete entrambi smaliziati... ma quante volte vi è
servito davvero avere tutto quel popo' di armamentario? Parliamo degli
ultimi due-tre anni e di Windows XP, lasciamo perdere i tempi di W98.
Grazie,
Panathos

Perchè nessuno parla del MCafee? 

Posso dire anche io la mia?! Aveva ragione un utente qui, quando diceva
che la soluzione migliore, sul versante antivirus, era quella di
installarne due, di cui uno residente e l'altro pronto per la scansione
on-demand. E' chiaro che una sicurezza del genere, anche se non
assoluta, serve a tutti ma in particolar modo a chi, come me 
ad.es
.,
col pc ci amministra qualche soldo risparmiato. Per quanto riguarda il
firewall, io non mi fiderei mai e poi mai ad avere sul mio pc i
prodotti di un solo produttore, mi riferisco al firewall di Windows,
per ovvie ragioni che qualcuno però potrebbe giudicare da 007 :-)
Io ora mi trovo abbastanza bene con Jetico, anche se è ancora un pò
ostico da configurare nonostante abbia fatto passi da gigante.
Per i browser consiglio FF2, con relative estensioni noscript e AdBlock
Plus
Come client di posta beh...io uso la posta web perciò il problema non
mi tocca ma andate su Mozilla Thunderbird magari con qualche add-ons
tipo il gpgp.
Inoltre, due cose fondamentali: MAI lavorare con privilegi di
amministratore. Anche se non ho mai ben capito in che modo un attacker
da remoto possa scalare i privilegi su una macchina, sembra ovvio che
se uno va in rete come user limitato *fa* in qualche modo ereditare
tali limitazioni anche a possibili intrusori.
Poi ci sono altri mille accorgimenti ma non me li ricordo tutti....

 ultimi due-tre anni e di Windows XP, lasciamo perdere i tempi di W98.
Non si è mai protetti abbastanza. Iniziano ad apparire minacce prima
impensabili. Trojan  che si nascondo in ads, rootkit, e contro queste
minacce un antivirus classico non basta più ( e infatti molti si
stanno armando di conseguenza).
Io dico la verità: non ho mai preso virus tranne quando ero io a
volerlo per test. Fatto sempre tante scansioni con più AV,
anti-rootkit, scansioni online, niente di niente. E non ho una laurea
in sicurezza informatica, anzi...

Io dico la verità: non ho mai preso virus tranne quando ero io a volerlo per 
test. Fatto sempre tante scansioni con più AV, anti-rootkit, scansioni 
online, niente di niente. E non ho una laurea in sicurezza informatica, 
anzi...
Ma come fai a tenere installati più antivirus... non si conflittualizzano 
tra loro? 

 tra loro?
No, non si *conflitualizzano* tra loro se solo uno dei due lo tieni
residente.

 ha scritto nel messaggio 
news:1165098218.6...@n67g2000cwd.googlegroups.com...


Perdona la mia ignoranza, cosa intendi per "residente"?
Dettagliatamente cosa dovrei fare?

 in sicurezza informatica, anzi...
Bene, allora non sono un caso raro. Io di virus ne vedevo qualcuno in
azienda ogni tanto, prima che il Capo decidesse di filtrare la
navigazione agli impiegati. Da allora non ho più ricevuto richieste
per motivi di virus, fortunatamente gli impiegati stanno attenti a non
aprire email sospette.
ciao,
Panathos

Come client di posta beh...io uso la posta web perciň il problema non
mi tocca ma andate su Mozilla Thunderbird magari con qualche add-ons
tipo il gpgp.
Ciao, non riesco a trovare l'add-ons che mi consigli tu, il gpgp per 
Thunderbird...
Mi potresti gentilmente dare il Link per il dowload?
Grazie mille...

Come client di posta beh...io uso la posta web perciň il problema non
mi tocca ma andate su Mozilla Thunderbird magari con qualche add-ons
tipo il gpgp.



L'hai gia' segnalato tu ad 
ab...@accademiacrusca.it
 ? ;-)
Comunque, anche solo uno residente puo' darti dei problemi, nel caso di
uso del secondo on demand.
E' una lotta in cui non conosci del tutto le forze in campo, e non puoi
sapere come potra' AV2 verificare davvero un file, se AV1 (cioe' quello
residente) ci ha gia' messo le sue zampine sopra, specialmente adesso,
con i rootkit: prendi un ads, appena AV2 cerca di leggerlo, AV1 prova
a scandirlo, e come puoi sapere che cio' che riuscira' a passare ad AV2
no sia gia' depurato dalla parte maligna, visto che il rootkit lo ha
nascosto ad AV1?
Per usare due AV servirebbe che nessuno dei due resti residente, con
tutti i problemi che cio' puo' comportare, ovviamente.
Io consiglio UN AV "tosto" residente, e un cd live con gli altri da
usare periodicamente.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 usare periodicamente.
Ti chiedo troppo se ti chiedo come si fa un cd live con gli
altri da usare periodicamente?
Non saprei da dove cominciare...


da bartpe e/o da ubcd4win
http://en.wikipedia.org/wiki/BartPE
http://www.bootcd.us/BartPE_Plugins_Repository.php
O da una distribuiozne live di linux con clamav a bordo, sysresccd, rip,
anche una puppy, una DSL, ...


 anche una puppy, una DSL, ...
Ah...
(?)

 Dettagliatamente cosa dovrei fare?
http://wiki.news.nic.it/QuotarBene
Gufo
-- 
  ,___,          Armageddon means never having to say you're sorry.
  (9v9)
  (_^((\		    .: May the owl be with you :.
-^-"-"-\\-^-                  
http://gufo.dontexist.org

 (?)
(!) :-)
Discorso serio:
Bartpe e' ottimo, per personalizzarlo con i plugin di antivirus e
altre cosettine utili per l'analisi e la disinfezione o il recupero
dati, bisogna partire da un XP funzionante, con cui costruirsi il
cd con le utility.
A volte, cio' non e' possibile (esempio: hai un windows 2000 installato,
e non un XP, oppure l'XP non parte piu', e' gia' infetto, etc.).
In questi casi puo' essere utile, anche per il recupero di macchine
windows, una distribuzione live di linux (quei nomi strani li' sopra
non sono altro che piu' o meno piccole distribuzioni linux) che puoi
lanciare da cd senza dover scrivere un bit sul disco fisso, e puoi
cosi' analizzare la situazione senza far lavorare ulteriormente il
virus, oppure hai un net-worm che potrebbe darti dei problemi anche
sul bartpe (sasser, blaster e simili bestie che entrano in DCOM, RPC,
...), insomma, cerchiamo di non essere razzisti: se lo strumento
utile e' windows, bene, se lo strumento utile e' diverso, ed e' utile
davvero, usiamolo.


 tutti i problemi che cio' puo' comportare, ovviamente.
Guarda la soluzione è semplicemente questa: fare la scansione totale
in modalità provvisoria, visto che in tale modalità nessuno dei due
è di norma eseguito all'avvio. Quindi: acquistare un antivirus tosto,
tipo il KAV 6, ed avere magari un antivirus free con il quale fare un
secondo passaggio, magari anche da cd live - mi viene in mente
UMBCD4WIN - come hai detto te.

 matematicamente sicuro?
Be', per navigare nelle aree "sconosciute" e potenzialmente pericolose
uso Maxthon, discretamente configurato per evitare il caricamento di
parecchia monnezza.
Inoltre ogni tanto mi spulcio i log di hijackthis, spesso tengo
d'occhio i processi col process explorer, controllo le porte aperte, e
-raramente- apro regmon e diskmon per vedere che tipo di attività ci
sia.
L'unica cosa che mi preoccupa un po' sono i rootkit, a causa del fatto
che non ne ho mai beccato uno. Quindi non posso sapere se non li ho
beccati perché non ne ho, oppure perché non ce ne sono...
ciao,
Panathos

 Mi pare evidente che non hai letto bene i miei precedenti pochi, sia
Infatti... è da un pezzo che vedo il tuo nick in giro sui gruppi
dedicati alla sicurezza, ma non sapevo che fossi un linuxaro. Pardon.
:-)
ciao,
Panathos

 Opera o qualsiasi altro browser, fidaty (tm).
Infatti da domani gli utenti autorizzati alla navigazione libera
dovranno usare firefox, pena evirazione pubblica in sala formazione.
ciao,
Panathos

 ragione, il rootkit č ancora lě.
cd live: ubcd4win e tutte le armi a disposizione contro la bestiaccia.
Quando il gioco si fa duro, i duri cominciano a giocare pesante.
IL primo esemplare che ho incontrato l'ho estirpato a mano, ma ci ho
messo nove ore filate con quattro sistemi operativi diversi.


 messo nove ore filate con quattro sistemi operativi diversi.
Elamadona... io credo di averne già impiegate sei, in due round.
Domani ci sarà il terzo, sempre che sia finita lì (prima di uscire un
altro impiegato mi ha riferito di cose strane che faceva il suo pc,
manco l'ho ascoltato...)
Cmq intanto sto usando firefox, mo' vado a rovistare se ci sono le
mouse gesture fra le estensioni...
ciao,
Panathos

dovranno usare firefox, pena evirazione pubblica in sala formazione.
LOL. Vedi cosa succede a frequentare gentaccia :-D
Leonardo
-- 
Geordie - he's a man, there's little doot about't,
He's done all he can, wha' can do withoot't?
Doon there cam a blade, linkin' like me lordie,
He wad drive a trade, a' the loom of Geordie.

 LOL. Vedi cosa succede a frequentare gentaccia :-D
Sgrunt, ho perso anche oggi. In più ho scoperto cose inquietanti,
lanciando gmer su diverse macchine, che devo approfondire.
E' una vera merda quel rootkit. Non c'è traccia di processi non noti
usando procexp, tcpview, regmon e pure diskmon (tutti assieme), eppure
il fetente impedisce di fare alcune cose, e riavvia la macchina se si
fa la mossa sbagliata (la CHIUSURA dello sportello del CD-ROM,
l'apertura di alcune finestre del pannello di controllo.. ed altre).
Chiedo: possibile che abbia uno degli eseguibili noti "silkropato"?
Mi sta venendo il dubbio: se ad un exe è stato "appeso" un altro exe
ed è stato modificato l'header... gli av non dovrebbero accorgersene e
segnalarlo, anche se non viene matchata una signature per loro
significativa?
Boh, cmq oggi credo ufficialmente ai fantasmi. E che possa diventare
presto tale anche chi ha scritto quella dannata porcheria.
ciao,
Panathos

 LOL. Vedi cosa succede a frequentare gentaccia :-D
Sgrunt, ho perso anche oggi. In più ho scoperto cose inquietanti,
lanciando gmer su diverse macchine, che devo approfondire.
E' una vera merda quel rootkit. Non c'è traccia di processi non noti
usando procexp, tcpview, regmon e pure diskmon (tutti assieme), eppure
il fetente impedisce di fare alcune cose, e riavvia la macchina se si
fa la mossa sbagliata (la CHIUSURA dello sportello del CD-ROM,
l'apertura di alcune finestre del pannello di controllo.. ed altre).
Chiedo: possibile che abbia uno degli eseguibili noti "silkropato"?
Mi sta venendo il dubbio: se ad un exe è stato "appeso" un altro exe
ed è stato modificato l'header... gli av non dovrebbero accorgersene e
segnalarlo, anche se non viene matchata una signature per loro
significativa?
Boh, cmq da oggi credo ufficialmente ai fantasmi. E che possa diventare


l'apertura di alcune finestre del pannello di controllo.. ed altre).
Potrebbe riuscirci tramite DLL (o code-) injection. Bisognerebbe che
con ProcExp tu guardassi cosa hanno aperto, quei processi noti. Cio'
ti consente di individuare BHO e DLL injection, code injection no.


 ti consente di individuare BHO e DLL injection, code injection no.
Grazie, ma dopo mezza nottata passata a ravanare su diversi pc, oggi ho
deciso di spalmare l'immagine e scavalcare quel problema.
Tanto cmq ho da divertirmi col pc del Capo, che ha un file con nome
casuale, nascosto in un alternate data stream di un file temporaneo;
incancellabile poiché bloccato da "qualcosa", che non ho ancora
identificato (non ci sono processi nascosti secondo gmer, non ce n'è
traccia nel process explorer, nessun riferimento nei file aperti porta
a quel canchero...)
Siccome devo anche andare avanti con le applicazioni che sto facendo,
se non risolvo a breve farò invocazione al Capo per la convocazione di
un fiorentino che rivedrei con molto piacere :-)
ciao,
Panathos

 a quel canchero...)
Provato con virit ?
Comunque il file potrebbe essere criptato l' NTFS lo consente.
Io uso ntfs solo quando è assolutamente indispensabile, cioè:
-gestire i permessi di accesso a livello di singolo file
-creare file molto grandi
-- 
http://www.samspade.org/

 a quel canchero...)
Montare il disco su un altro PC pulito e verificare da lì ?
Bye, G. 

 -creare file molto grandi
Io ho notato che nei pc in cui ho convertito il filesystem c'è stato
un miglioramento della velocità generale di Windows, nonché
finalmente la fine dell'incubo dello scandisk forzato dopo un crash.
Tra l'altro, in un paio di portatili ho anche notato che i crash sono
diminuiti, anche se è una statistica puramente spannometrica.
ciao,
Panathos

 rovescia.
Tieni aperta una finestra dos e lancia shutdown -a, dovrebbe bloccarsi,
e poi puoi continuare a lavorare. Ma sono d'accordo con quello che
ti hanno già detto: se un sistema è rootkittato :-) non è il caso di
usarlo come base per l'analisi di sè stesso.
Bye, G.

 rovescia.
Tieni aperta una finestra dos e lancia shutdown -a, dovrebbe bloccarsi,


 usarlo come base per l'analisi di sè stesso.
Be' però se avessi avuto un altro pc decente da dare all'impiegata,
quello lo avrei tenuto così per scancherarci. Tanto quei cosi sono
destinati a diffondersi, avrò ancora a che farci e il fatto che non
sia riuscito a venirne a capo significa che devo studiare.
Per caso qualcuno ha una immagine per vmware di un windows 2000/xp
rootkittata da mettere a disposizione? :-)
(scherzo, mi sa che potrebbe configurarsi come reato distribuire una
cosa del genere)
ciao,
Panathos

 cosa del genere)
Beh, mettine su una pulita e collegati senza aggiornamenti né firewall.
Se proprio è necessario, naviga un cinque minuti a pene di segugio,
dopodiché avrai tutti i rootkit che vuoi :-).
Bye, G. 

 dopodiché avrai tutti i rootkit che vuoi :-).
Quando avrò un po' di tempo lo farò sicuramente. Chissà che effetto
fa navigare su internet senza ad-blocks, cliccando su tutti i loghi
più grossi, colorati e fastidiosi che si incontrano, etc. etc....
ciao,
Panathos