Codice malizioso Codice malizioso Alfredo De Santis Dipartimentodi Informatica ed Applicazioni Università di Salerno Dopo una violazione del sistema, un intruso potrebbe installare del codice per sottrarre dati riservati muovere attacchi verso altre macchine Tale codice può anche sostituire comandi di sistema Sostituzione di sendmail con una nuova versione che memorizza in un file i messaggi inviati dall utente Sostituzione di ls con una nuova versione che non visualizza il file creato dal sendmail fasullo 1 Codice malizioso Il termine Virus Altro metodo per l installazione o esecuzione di software malizioso su una macchina indurre un utente/amministratore a scaricarlo dalla rete ed eseguirlo (anche inconsapevolmente) Un applicazione tipica di questo approccio sono i Virus Programmi che penetrano in un programma ospite modificandolo, per riprodursi e danneggiare dati e/o programmi 2 David Gerrold, 1972 Nel libro When HarlieWas One viene descritto un programma chiamato virus creato da uno scienziato pazzo Il computer infettato provava a contattare un altro computer via telefono Entrava in quel sistema e lo infettava con una sua copia Si infiltrava nel software di sistema e lo rallentava fino a renderlo inutilizzabile Antivirus Vaccine creato dall inventore a scopo di lucro Fred Cohen Il primo a definire in modo formale il concetto di virus "... a program that can infectother programs by modifing them to include a possibly evolved copy of itself " 3 Ciclo di vita di un virus Creazione Fase in cui lo sviluppatore progetta, programma e diffonde il virus Incubazione Il virus controlla che il file o il sistema da infettare sia libero da infezioni Infezione Se l'infezione non è attiva sullo stesso sistema, allora il virus infetta il file e di conseguenza il sistema Ciclo di vita di un virus Attivazione Al verificarsi delle condizioni previste il virus viene attivato Propagazione Il virus propaga l'infezione, riproducendosi e infettando sia file nella stessa macchina che altri sistemi (tramite scambio di dischi, connessioni via modem o collegamenti in rete) Riconoscimento Viene individuata la stringa di riconoscimento del virus Estirpazione Il virus viene eliminato dal sistema mediante un antivirus 4 5
Virus: Classificazione Virus: Classificazione o Innocui o Dannosi o Non alterano le operazioni del computer o Il risultato della loro propagazione comporta solo una diminuzione dello spazio libero sul disco o Non dannosi o La loro influenza si manifesta solo con una diminuzione dello spazio libero sul disco, col mostrare grafici, suoni o altri effetti multimediali o Possono causare problemi alle normali operazioni del computer o Cancellazione di alcune parti dei file o Molto dannosi o Provocano danni difficilmente recuperabili o Distruzione dei programmi o Cancellazione di informazioni vitali per il sistema o Formattazione di porzioni del disco 6 7 Virus e simili Cavallo di Troia Cavallo di Troia Programma apparentemente legale che contiene istruzioni che realizzano funzioni non richieste dell utente (anche dannose) Worm Programma che si ricopia su reti di computer sfruttando bug del sistema operativo Non necessita di un programma portatore Virus Porzioni di codice autoreplicante Boot virus, macrovirus, etc Kevin Mitnich, 1986 Progettò un cavallo di Troia che infettò Nove università Quindici compagnie della Silicon Valley Nove siti Arpanet Tre laboratori governativi Etc Il virus sostituiva il programma di accesso alla rete con una sua copia modificata Restituiva al suo autore login e password dell'utente che si stava identificando in quell'istante 8 9 Worm Boot Virus Votati principalmente alla diffusione Danneggiamento o sottrazione di dati Rallentano fino a bloccare il computer ospite Possono intasare una rete locale con le loro spore Alcuni esempi Il worm di Morris (novembre 1988) Code Red (luglio 2001), Nimda (settembre 2001) SQL Slammer (gennaio 2003), SoBig (agosto 2003), MsBlaster (agosto 2003) Sasser (aprile 2004), Gaobot (aprile 2004) Infettano il Boot Sector di un floppy o il Master Boot Record degli hard disk MBR copiato su un altro settore del disco Virus copiato nell MBR Se più grande del settore sono usati altri settori marcati BAD Boot da disco infetto Viene letto il Boot Sector (contente il virus), copiato in memoria ed eseguito Virus setta i vettori di interrupt Carica il vero Boot sector e gli trasferisce il controllo 10 11
Macrovirus Melissa Virus scritti come macro di applicazioni utente Macro: insieme di istruzioni usate per automatizzare compiti Possono essere eseguiti all atto dell apertura di un documento Individuato nel marzo del 1999 In tre giorni, 100000 computer infettati Un sito ricevette 32000 copie di Melissa via emailin soli 45 minuti Esempi: Melissa e I Love You Scritti in VBS Si trasmettono via E-Mail Accedono e modificano il file registro di Windows Nato per: Replicarsi sotto Office97 Infettare i documenti Word 97 e successive versioni Spedire sue copie attraverso messaggi di posta elettronica usando Microsoft Outlook 12 13 Melissa: diffusione Come funziona Melissa Arriva come allegato di una email Oggetto: "Important message from (mittente)...". Body: Here is that document you asked for don t show anyone else list.doc, documento Word, che contiene il macrovirus Melissa L'allegato, una volta aperto, svolge due azioni: Diffusione Spedisce il documento infetto ai primi 50 indirizzi nella rubrica Infezione Disabilita la finestra di avvertimento per lo stato delle macro e la protezione macro di Word Si mostra quando il valore della data corrisponde al valore dell'ora 14 15 Come funziona Melissa I Love You Supponiamo che l'infezione sia avvenuta alle ore 8:08 a.m. Se l'8 agosto successivo si scrive un documento Word Il mese di Maggio del 2000 è stato segnato dalla comparsa del virus "I Love You In pochi giorni, oltre 50 milioni di computer infettati Danni provocati: oltre 10 milioni di dollari 16 17
I Love You: diffusione Come funziona I Love You Arriva tramite una e-mail contenente un file con estensione VBS come allegato (il virus) Si propaga tramite e-mail, inviando messaggi infetti da computer dove è stato precedentemente eseguito Il messaggio originale è il seguente: The Subject: ILOVEYOU Message test: kindly check the attached LOVELETTER coming from me. Attached file name: LOVE-LETTER-FOR- YOU.TXT.vbs Usa Microsoft Outlook per spedire se stesso a tutti gli indirizzi contenuti nella rubrica Quando viene eseguito Si spedisce via email Si installa nel sistema Sviluppa azioni distruttive Scarica ed installa un cavallo di troia 18 19 Come funziona I Love You I Love You modifica l'url della pagina iniziale del browser Il nuovo URL punta ad un sito Web contenente il cavallo di troia WIN-BUGSFIX.EXE Al prossimo riavvio del browser, il virus scarica il cavallo di troia Al prossimo riavvio di Windows, il cavallo di troia prende il controllo del sistema Si ricopia nella directory system di Windows con il nome di WINFAT32.EXE Rimette come pagina iniziale una pagina bianca (about:blank) Come funziona I Love You Il virus cerca nelle sottodirectory di tutti i drive i file con estensione: VBS, VBE, JS, JSE, CSS, WSH, SCT e HTA Crea un nuovo file con nome originale ed estensione VBS cancellando quello precedente JPG e JPEG Esegue le stesse operazioni precedenti ma aggiunge l'estensione VBS al nome completo di ciascun file MP3 Nasconde i file originali e crea nuovi file contenenti il suo codice ma con estensione VBS aggiunto al nome completo di tutti i file 20 21 Difendersi dai macrovirus Nelle applicazioni Office, controllare che sia selezionata la voce Macro virus protection Difendersi dai macrovirus Aprendo un documento contenente macro possiamo scegliere se attivare o disattivare le macro incluse 22 23
Difendersi dai macrovirus Difendersi dai virus Se non si è certi dello scopo o della funzione di tali macro, si consiglia di disattivarle sempre In questo modo si impedirà l'esecuzione dei virus macro rendendoli innocui Il virus viene attivato solo se si apre il documento allegato e si sceglie di attivare le macro la protezione da virus macro è disattivata Utilizzare/installare software solo se di provenienza fidata Microsoft e Sun hanno proposto alcuni sistemi per la certificazione (mediante firma digitale) dell affidabilità di ActiveX ed Applet Molti Anti Virus possono verificare la presenza di file infetti anche quando questi sono giunti sul sistema come allegati di posta elettronica 24 25 Self-Reproducing Executable File (SREF) Self-Reproducing Program (SRP) Eseguibili Auto-replicanti la cui esecuzione produce in output una copia esatta del file eseguibile stesso. Programma Auto-replicante che produce in output una copia esatta del suo codice sorgente compilazione(file Sorgente) = Eseguibile esecuzione(eseguibile) = Eseguibile compilazione(file Sorgente) = Eseguibile esecuzione (Eseguibile) = File Sorgente 26 27 Metodi di risoluzione Metodo Leggi/Scrivi Self-Reproducing Executable File (SREF) leggi/scrivi Legge i dati contenuti nel file sorgente e li riproduce in output: Self-Reproducing Program (SRP) leggi/scrivi ricostruzione intrinseca while (non hai letto tutti i dati dal file sorgente/eseguibile) { } leggi i dati dal file sorgente/eseguibile; scrivi in output i dati letti; 28 29
Vincolo del Metodo Leggi/Scrivi per SRP Ricostruzione intrinseca Disporre a run-time del file sorgente da copiare La ricostruzione del file sorgente è intrinseca al codice sorgente stesso Si utilizzano delle stringhe costanti opportunamente formattate 30 31 Esempio del Metodo in Linguaggio C Printf Utilizzeremo le seguenti potenzialità della funzione printf fornita dal linguaggio C Fornisce output opportunamente formattato Permette di stampare un elenco di parametri di lunghezza arbitraria Permette di controllare la stampa attraverso semplici specifiche di conversione (o formati) Esempio: %c formato per stampare il valore di un espressione come un carattere printf(stringa di controllo, lista dei parametri); La stringa di controllo contiene una specifica di conversione per ogni parametro Alcune specifiche di conversione: %d (conversione ad intero) %c (conversione a carattere) %s (conversione a stringa) Esempio: printf( Esempio %d%c della funzione %s., 1, a, printf ); Output: Esempio 1 a della funzione printf. 32 33 Esempio del Metodo in Linguaggio C char*f="char*f=%c%s%c;main(){printf(f,34,f,34);}"; main ( ) { printf( f, 34, f, 34 ); codice ASCII 34 } printf("char*f=%c%s%c;main(){printf(f,34,f,34);}", 34, f, 34 ); Esecuzione della printf ed output: char*f= char*f=%c%s%c;main(){printf(f,34,f,34);} ;main(){printf(f,34,f,34);} 34