Sommario. Virus. Il termine virus. Virus: definizione ? = Introduzione Tipi di virus Tecniche di difesa Virus famosi Hoax. Definizione e fenomenologia

Transcript

1 Virus Definizione e fenomenologia Introduzione Tipi di virus Tecniche di difesa Virus famosi Hoax Sommario Il termine virus Virus: definizione Hanno alcune caratteristiche in comune con i virus biologici Si trasmettono da un individuo ad un altro Hanno bisogno di altri organismi per sopravvivere? = Sono programmi Si replicano Non necessariamente recano danni Fred Cohen (Definizione Formale) E un programma che infetta altri programmi modificandoli per includere una copia evoluta di se stesso

2 Virus: storia Virus : struttura 1970: Creeper si diffonde attraverso ARPAnet 1986: Brain destinato ai PC IBM e compatibili, infettava il boot sector dei floppy disk 1990: Mark Washburn scrive i primi virus definiti polimorfi 1999: Melissa apre l era dei macrovirus 2004: Comparsa dei worm Blaster e Sasser Infection il modo in cui il virus si diffonde Payload ciò che il virus fa (se fa qualcosa) oltre a replicarsi Trigger la routine che decide quando attivare la fase di payload, se definita. Virus : ciclo di vita Virus : ciclo di vita Creazione Fase in cui il programmatore scrive il codice malizioso Epidemia Infezione Se il sistema non è ancora infettato il virus lo inizia ad infettare Propagazione Il virus propaga l'infezione, riproducendosi e infettando sia file nella stessa macchina che altri sistemi (tramite scambio di dischi, connessioni via modem o collegamenti in rete) Attivazione Al verificarsi delle condizioni previste il virus viene attivato

3 Virus : ciclo di vita Virus : tipologie Disattivazione Riconoscimento Viene individuata la stringa di riconoscimento del virus Estirpazione Il virus viene eliminato dal sistema mediante un antivirus Worm Occupa la memoria e si duplica Macro Sfrutta la possibilità di inserire una macro in un documento Bootsector Modifica la sequenza di boot del PC Polimorfi Muta la propria firma ogni volta che si replica Virus : tipologie Meccanismi di occultamento Cavalli di troia Programma che si maschera come qualcosa di benigno Stealth Un virus che usa tecniche per nascondersi Backdoor Permettono l utilizzo della macchina da remoto Password stealer Hanno lo scopo di recuperare login e password DoS Impediscono all utente di accedere ad alcuni servizi Stealth La capacità del virus di far apparire tutto normale al S.O. Polimorfismo Tecniche usate per cambiare la forma di un virus ad ogni sua infezione per provare a nascondersi alle scansioni software Social Engineering L'arte e la scienza di guidare l'interlocutore ad assecondare i propri desideri

4 Stealth Polimorfismo Risiede sempre in memoria Intercetta tutte le funzioni che effettuano un accesso al disco per nascondere i cambiamenti fatti su di esso Classificazione Elementary Intermediate Advanced Tunnelling Elude il monitoraggio delle system calls più pericolose Il codice del virus viene crittografato Serve per aggirare la ricerca di stringhe note da parte di antivirus Vari livelli di polimorfismo Oligomorfi (stessa routine) Strettamente polimorfi (routine random) Motori polimorfi Cripta il virus con chiavi random Genera più routine di decrittazione possibili Inserisci nella routine di crittazione istruzioni casuali (garbage) per confondere l antivirus Polimorfismo Motore polimorfico Social Engineering Genera il codice per la decrittazione Operazioni più usate ADD, SUB e XOR Impegnativa è la scritttura del codice che crea il decryptor Piccolo esempio: due modi di scrivere la stessa routine di decrittazione mov cx,bytes_da_decrittare mov di,codice_da_decrittare dloop: xor byte ptr [di],12h inc di loop dloop ((A xor B) xor B) = A) mov si,codice_da_decrittatre mov bx,bytes_da_decrittare dloop: dec bx xor byte ptr [si],12h inc si Garbage instruction or bx,bx jnz dloop L'arte e la scienza di guidare l'interlocutore ad assecondare i propri desideri Ampiamente usato da virus e da i worm Sfrutta alcuni fattori per influenzare la vittima Autorevolezza Gentilezza Persuasione

5 Virus : le statistiche Statistiche: ultimo anno Last 12 months 1 Win32/Mydoom.A@mm 2 HTML/IFrame_Exploit* 3 Win32/Sobig.aF@mm 4 Win32/Netsky.P@mm 5 Win32/Klez.H@mm 6 Win32/Mimail.A@mm 7 Win32/Zafi.B@mm 8 Win32/Netsky.D@mm 9 Win32/Netsky.B@mm 10 Win32/Sobig.E@mm Statistiche: crescita virus Virus : come difendersi I sintomi Blocchi del sistema improvvisi e inaspettati I file eseguibili aumentano la dimensione in byte Diminuiscono le risorse Il computer non si avvia I principali sistemi di attacco I dischetti Esecuzione di programmi infetti Apertura di file infetti Metodi di difesa Cosa fare in caso di contagio

6 Il W32/Sasser Piccola scheda tecnica: Esempio di "programma maligno" (malware ) Il W32/Sasser è un worm che sfrutta la vulnerabilità descritta nel Microsoft Security Bulletin MS e che si diffonde cercando i sistemi vulnerabili tra una serie di indirizzi IP sottoposti a scansione casuale. TIPO: worm. Questo worm è costituito da un file eseguibile a 32 bit. LUNGHEZZA DELL'INFEZIONE: 15,872 bytes. SISTEMI OPERATIVI MINACCIATI: Windows 2000, Windows XP. Il worm non si propaga via Con il passare del tempo sono stati sviluppate 4 categorie di Sasser A,B,C,D Ogni versione è specializzata nell infettare i restanti computer che la precedente aveva trascurato. Cosa fa Sasser Ancora. Manda in buffer overflow lo stack,sfrutta una falla del processo Lsass. Se trova un sistema non patchato allora: Copia se stesso come %Windir%avserve.exe Si aggiunge così questo valore nella chiave di registro: Hkey_Local_Machine\software\Microsoft\Windows\CurrentVersion\Run Utilizza l API AbortSystemShoutdown Scorre tutti gli indirizzi IP dell host Usando uno di questi IP,il worm genera un indirizzo IP casuale Tenta di connettersi ad indirizzi IP generati in modo casuale sulla porta TCP 445 Se stabilita una connessione,il worm invia a quell host uno shellcode Questo provoca l esecuzione di una shell remota sulla porta TCP 445 Utilizza la shell per costringere il computer a riconnettersi al server Sulla porta 5554 Il processo Lsass.exe si arresta. Avvia un server FTP sulla porta TCP 5554

7 Cosa succede. Cosa fare se si è stati affetti: Verrà visualizzata la seguente finestra che ci avvisa di salvare tutto il lavoro in quanto la macchina a causa di un errore verrà riavviata. Disconnettersi da Internet Fermare il ciclo di riavvio del computer Rimuovere la vulnerabilità Migliorare le prestazioni del sistema Attivare un firewall Riconnettersi ad internet Installare l aggiornamento richiesto Finalmente rimuovere il worm Sasser Per concludere: Generalizzando, gli effetti di Sasser sono quelli di aumentare il carico della Cpu (a causa dei suoi tentativi di propagazione, molto aggressivi) e di portare al riavvio della macchina mediante il crash del componente Lsass,ma non cancella la memoria del pc, MY DOOM Data di scoperta: lunedì 26 gennaio 2004 Sintomi d infezione: presenza del file avserve.exe nella directory di Windows Precauzioni: aggiornare i sistemi installando le patch regolarmente rilasciate, porre attenzione ad eventuali download, utilizzare sistemi di protezione aggiornati sia a livello di antivirus che a livello di firewall. Tipo: Worm\backdoor Trasmissione del virus: , Kazaa Rischio: Alto Dimensioni del file: 22 KByte Infine per rimuovere il virus scaricare il tool di rimozione messo a disposizione dalle case produttrici degli antivirus ed eseguirla. L'aggiornamento è disponibile sul sito web WindowsUpdate, nella sezione Aggiornamenti importanti e Service Pack. Rimozione: tool Symantec, tool Computer Associates Piattaforma colpita: Windows Danni: Consumo di banda per l'autoreplica, possibilità di controllo della macchina infetta dall'esterno, bombarda di un server obiettivo Riferimenti:

8 Metodi di propagazione (1) Esempio di Si propaga via ma non in modo indiscriminato Utilizza metodi di selezione destinatarie Metodi di propagazione (2) Scopo del virus Immette una copia di se nella cartella di file condivisi di Kazaa con nomi interessanti activation_crack icq2004-final nuke2004 office_crack rootkitxp strip-girl-2.0bdcom_patches winamp5 permettere ad utenti esterni di connettersi alla porta TCP 3127 del computer infetto Bombardare di un server obiettivo

9 Come funziona 1. Immette una copia di se col nome taskmon.exe nella cartella di sistema 2. la mette nello startup di windows 3. Crea una libreria shimgapi.ddl e la aggiunge al file explorer.exe shimgapi.ddl Questa libreria serve per le mansioni di backdoor e decide se: Mandare info sul sistema infettato Ricevere dati, mandarli in esecuzione, e poi cancellarli sintomi Una vittima illustre Apertura notepad con caratteri casuali presenza file shimgapi.dll e taskmon.exe Nel febbraio 2004 ha causato un Denial of Service al sito della SCO, azienda che reclama i diritti di proprietà intellettuale su alcuni dei codici usati nelle versioni commerciali di Linux

10 Alcune versioni successive fonti MyDoom.b : - obiettivo microsoft.com e sco.com - allungano i tempi dell'attacco DOS sino ai primi di marzo - non permette l'accesso ai siti dei maggiori produttori di antivirus - cambio file infettati MyDoom.f : - obiettivo microsoft.com e riaa.com definizione Un altro tipo di virus messaggi di posta elettronica scritti per un solo scopo: essere mandati volontariamente a tutte le persone che si conoscono

11 Perché preoccuparsi Di conseguenza Non creano danni ai computer ma infestano la rete essendo un gigantesco spreco di banda di trasmissione Appesantiscono i server di posta, rischiando di rendere i servizi lenti o addirittura di bloccarli Generazi one Numero di messaggi oltretutto Come riconoscerli Sono un ottimo modo per rastrellare (spesso anche nome e cognome) da riutilizzare per lo spamming Presenza della frase manda questo a tutti quelli che conosci Uso linguaggio sgrammaticato e dal suono tecnico Fonti estranee ai fatti, inventate o non specificate Uso di un tono apocalittico o patetico Prospettive di un facile guadagno

12 categorie fonti Avvisi di virus o trojan (Virus Irina) Leggende metropolitane (Internet Cleanup day) Give away hoaxes (Bill Gates Hoax) Richieste di aiuto Catene di Sant Antonio