virus – Pagina 6 – Attivissimo.me

Conficker batte anche Windows 7, se l’utente aiuta

2010-03-03
di Paolo Attivissimo
sicurezza, social engineering, virus, Windows 7, Windows Vista

Windows 7 vulnerabile a Conficker: è ora di pensionare l’Autoplay?

F-Secure segnala che il trucchetto d’ingegneria sociale usato da Conficker funziona anche con Windows 7.

Se si inserisce una penna USB infetta in una macchina Windows 7, compare la finestra di Autoplay, che chiede all’utente cosa fare. La finestra contiene un’opzione-trappola: è la prima nella figura qui accanto, che sembra essere un invito ad aprire una cartella (dunque un gesto che riteniamo innocuo) ma in realtà esegue Conficker.

In Windows Vista l’opzione-trappola può saltare all’occhio maggiormente, perché la dicitura “Open folder to view files” è sempre in inglese (è hardcoded nella riga Action dell’autorun.inf scritto da Conficker) a prescindere dalla lingua del sistema operativo ospite. Presumo che chi sta collaudando Windows 7 abbia invece scelto la versione inglese, nella quale la trappola si mimetizza molto bene. Quanti, infatti, noteranno che sopra l’icona autentica di Windows c’è scritto “Install or run program”?

The Register suggerisce che visto che Windows 7 è ancora in beta, ci sia ancora tempo per modificare il modo in cui funziona l’Autoplay e renderlo un grimaldello meno efficace, o per eliminarlo del tutto. Credo che saremmo in tanti a rinunciare volentieri alla relativa comodità di questo automatismo in cambio di una maggiore sicurezza.

Intanto arrivano segnalazioni di danni causati da Conficker e soprattutto dalla scelleratezza dei manager responsabili per l’aggiornamento dei computer. Sempre secondo The Register, la rete informatica degli ospedali di Sheffield, nel Regno Unito, ha oltre 800 PC infetti, grazie anche al fatto che era stata presa la decisione di disattivare gli aggiornamenti di sicurezza su tutti e 8000 i PC della rete dopo che nella settimana di Natale i PC di una sala operatoria si erano riavviati nel bel mezzo di un intervento chirurgico. Brr.

Come se non bastasse, un’epidemia di Conficker sembra essere la causa dei guai ai sistemi informatici della Marina Militare britannica. Sì, perché le navi da guerra e i sommergibili di Sua Maestà usano NavyStar/N*, un sistema basato su PC Windows standard. Siamo in buone mani: chi ha bisogno di missili e soldati, quando grazie all’incoscienza dei governanti basta un virus informatico per seminare la confusione nelle forze armate del nemico? Evidentemente nessun ministro della difesa guarda Battlestar Galactica.

Aggiornamento: istruzioni Microsoft sbagliate (2009/01/21)

Il CERT avvisa che le istruzioni di Microsoft per disabilitare l’Autoplay/Autorun sono sbagliate:

According to Microsoft, setting the NoDriveTypeAutorun registry value to 0xFF “disables Autoplay on all types of drives.” Even with this value set, Windows may execute arbitrary code when the user clicks the icon for the device in Windows Explorer.

Le istruzioni corrette secondo il CERT sono indicate nell’avviso. Grazie a Luigi per la segnalazione. In sintesi: copiate e incollate le tre righe seguenti nel Blocco Note di Windows e salvatele con il nome autorun.reg.

REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@=”@SYS:DoesNotExist”

In Esplora Risorse, fate doppio clic su questo file. Poi riavviate Windows.

Aggiornamento (2009/01/22): Microsoft ha corretto le istruzioni

Microsoft ha pubblicato le istruzioni corrette e aggiornate in inglese; la versione italiana è per ora una traduzione automatica non molto comprensibile.

Conficker, taglia da 250˙000 dollari

Microsoft mette una taglia da 250˙000 dollari sugli autori di Conficker

Il worm Conficker/Downadup ha infettato circa dieci milioni di computer, secondo le stime più recenti, e il peggio deve ancora venire, stando a quanto emerge dalla sua analisi. I computer infetti sono infatti un esercito silenzioso di zombi in attesa di ordini dal loro padrone virale.

Il diffondersi di Conficker ha indotto Microsoft a rispolverare l’Anti-Virus Reward Program, creato nel 2003 nell’ambito della lotta ai virus/worm Sobig e Blaster. In un caso, quello del worm Sasser, la taglia indusse al tradimento i soci di Sven Jaschan, condannato come autore del programma ostile. La speranza è che la nuova taglia di 250.000 dollari faccia altrettanto con gli autori di Conficker. L’annuncio di Microsoft è qui.

La minaccia di Conficker è ormai riconosciuta da tempo da tutti i principali antivirus, ma c’è sempre una bella percentuale di irresponsabili utenti di Windows che non usa, usa male o non aggiorna l’antivirus e scambia chiavette USB con estrema promiscuità: per esempio, la rete informatica giudiziaria di Houston, nel Texas, è stata bloccata per giorni, rendendo necessario sospendere gli arresti per reati minori, il pagamento delle cauzioni e tornare a carta e penna per l’amministrazione. I paesi più colpiti da Conficker sono, secondo Panda Security, Spagna, Stati Uniti, Taiwan e Brasile. Ma c’è di meglio in questa gara di salto in basso: da Londra arriva la notizia della paralisi della rete informatica di tre ospedali della capitale britannica infettati da Mydoom, che risale a cinque anni fa.

Gli altri sistemi operativi sono immuni all’infezione di Conficker, ma possono risentire dei suoi effetti collaterali: un elevato traffico sulla rete locale che rallenta i sistemi.

L’ICANN e i gestori dei DNS stanno collaborando per disabilitare i dominii usati di volta in volta da Conficker per ricevere ordini dai suoi padroni (ne usa 250 differenti ogni giorno), e OpenDNS ha attivato un sistema di tracciamento e bloccaggio su misura per questo worm, a disposizione degli amministratori delle reti informatiche, che permette di sapere quando un qualunque computer della propria rete chiama un dominio usato da Conficker ed è quindi infetto.

Rootkit incompatibile? No problem, c’è la patch

Aggiornamento problematico di Windows causato da infezione virale. Soluzione: aggiornamento automatico del virus

Questo articolo vi arriva grazie alle gentili donazioni di “teresal****” e “p.tiz****”.

Il pacchetto mensile di aggiornamenti di Windows di questo mese aveva dato problemi nell’aggiornamento MS10-015 agli utenti di Windows XP e Vista, con tanto di Schermo Blu della Morte, come descritto in un articolo precedente. Ma non era colpa di Microsoft: il problema era scatenato da un virus, più propriamente un rootkit (un programma ostile che altera i file vitali del sistema operativo), che era già presente sui computer. L’aggiornamento falliva, insomma, perché il PC era infetto.

Questo agente infettante, in circolazione almeno da novembre scorso e denominato TDL3 o TDSS o Tldserv a seconda della società di sicurezza informatica che lo descrive, si insedia nel file atapi.sys di Windows, che è un driver: questo gli consente di agire con i massimi privilegi di sistema, dando ai suoi creatori pieno accesso al computer infettato. Astuto. Ma l’aggiornamento di Windows andava in conflitto con il rootkit e questo portava allo Schermo Blu della Morte quando si riavviava il computer dopo l’aggiornamento Microsoft.

La soluzione è stata semplice quanto ironica: nel giro di un paio d’ore, gli autori del rootkit hanno aggiornato la propria creatura (cosa che stanno facendo da mesi sui computer delle proprie vittime ignare), rendendola compatibile con l’aggiornamento di Windows. Tanta solerzia non è certo dettata dall’altruismo: un PC infetto che va in tilt è, per i gestori dell’infezione, un PC inutilizzabile per i loro loschi scopi.

Purtroppo l’aggiornamento virale non è arrivato in tempo per molti utenti Windows. Le istruzioni per rimediare ad eventuali problemi sono presso PatrickWBarnes.com (in sintesi, boot da CD di Windows e sostituzione di atapi.sys con una copia originale non infetta); i dettagli sul rootkit sono presso Prevx.com.

Allarme virus per Peteivan e Invito

Quiz: se l’allerta virus è diffuso dalla Federazione Italiana Teatro Amatoriale, ci devo credere?

Questo articolo vi arriva grazie alle gentili donazioni di “remo.iann****” e “luigi.mi***”. Immagine tratta da Thefacepalm.org.

Da qualche giorno ricevo segnalazioni a badilate di questo nuovo allarme virale (il testo a volte cambia leggermente, il senso no):

abbiamo ricevuto dalla segreteria della FITA ( federazione italiana teatro amatoriale) il messaggio urgente che di seguito riportiamo ,ritenendolo,per la serietà della fonte di importanza primaria.Per questo ci permettiamo di scrivere oltre le nostre normali informazioni.
grazie della collaborazione

IMPORTANTE

Dì a tutti i contatti della tua lista, di non accettare nè il contatto peteivan@hotmail.com nè un video di Bush. In realtà si tratta di un hacker, che formatta il computer, ti cancella i contatti e ti toglie la password alla posta elettronica.

ATTENZIONE, se i tuoi contatti lo accettano, pure tu lo prenderai, così invia il messaggio urgentemente a tutti, questo è di molta importanza, semplicemente FAI “copia e incolla”.

URGENTISSIMO! PER FAVORE, INVIA QUESTO AVVISO A TUTTI I TUOI
CONTATTI!!!

Nei prossimi giorni devi stare attent@: Non aprire nessun messaggio con un allegato chiamato:Invito, indipendentemente da chi te lo invia. E’ un virus che BRUCIA tutto l’hard disk del computer. Questo virus verrà da una persona conosciuta che ti aveva nei contatti. E’ per questo che devi inviare questo messaggio ai tuoi contatti.. E’ preferibile ricevere questo messaggio 25 volte che ricevere il virus e aprirlo.

Se ricevi il messaggio chiamato: Invito, anche se è inviato da un amico, non aprirlo e spegni subito il computer. E’ il peggior virus annunciato dalla CNN.. ‘Un nuovo virus è stato scoperto recentemente ed è stato classificato da Microsoft come il virus più distruttivo che sia MAI esistito. Questo virus è stato scoperto ieri pomeriggio dalla Mc Afee e non c’è rimedio contro questa classe di virus.

Questo virus distrugge semplicemente il Settore Zero dell’Hard Disk, dove le informazioni vitali della sua funzione vengono conservate.

INVIA QUESTA E-MAIL A CHI CONOSCI. COPIA QUESTO TESTO E INVIALO A
TUTTI I TUOI AMICI. RICORDA: SE LO INVII A LORO, CI BENEFICI TUTTI.
E’ URGENTISSIMO !!!

E’ una bufala: si tratta semplicemente dell’ibridazione contro natura di alcuni vecchi appelli fasulli della categoria Bufalovirus mittensis e Bufalovirus subjectii, già documentati in questo articolo del 2006. L’allerta per Peteivan risale a novembre 2008; quello per “Invito” o “Invitation” risale a gennaio 2006 (e il virus era stato scoperto “ieri pomeriggio” anche allora).

Oggi come allora, il nome di un messaggio o di un mittente non è un criterio serio per gestire la propria sicurezza. Esattamente come non lo è affidarsi a un appello che non cita fonti serie e precise ma propone come garante un’organizzazione del mondo dello spettacolo (oppure, come ho visto in un caso “RAGAZZI ME LO HA INVIATO UN MIO AMICO INGENIERE CHE LA SUA DITTA E’ STATA FREGATA CON QUESTO ECCO PERCHE’ VE LO GIRO, CREDO SIA MOLTO IMPORTANTE E DI LUI MI FIDO…. CIAO”. Con tutto il rispetto per la FITA e per gli ingenieri, non credo che li si possa chiamare fonti serie quando si tratta d’informatica. Ma qualcuno evidentemente pensa di sì.

A questo punto dovrei concludere con il solito suggerimento di cancellare questi appelli inutili senza inoltrarli, magari avvisando il mittente che è incappato in una bufala. Ma dopo tutti questi anni di caccia inutile ai bufalovirus, che tuttora mietono vittime così facilmente, mi viene voglia di offrire un suggerimento differente: rispondete a chi vi ha mandato l’appello con un messaggio intitolato “Invito”. Così magari seguirà il consiglio dell’appello e spegnerà il computer. Per sempre, se possibile.

Perché è vergognoso che a distanza di tutti questi anni, e con la facilità con la quale oggi basta immettere in Google “peteivan@hotmail.it” per trovare la risposta, ci sia ancora in giro gente che inoltra qualunque scemenza ricevuta da chissà chi, senza prendersi la briga di riflettere un microsecondo.

Volete usare gratis il prossimo Windows 7?

2009-05-15
di Paolo Attivissimo
trojan horse, virus, Windows 7, Windows Vista, Windows XP

Windows 7, versione preliminare in prova gratuita fino a giugno 2010

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

Se vi interessa provare la Release Candidate (una sorta di ultima bozza quasi definitiva) di Windows 7, il successore di Vista, potrete farlo legalmente e gratuitamente per 13 mesi, dal 5 maggio prossimo al primo giugno del 2010. Le date erano state rivelate da una fuga di notizie e sono state confermate ieri da Microsoft, come riferisce Computerworld.

Questa Release Candidate è già disponibile da ieri agli sviluppatori del Microsoft Developers Network (MSDN) e agli utenti paganti di TechNet, in versione a 32 bit e a 64 bit. Tuttavia le pagine dalle quali scaricare il sistema operativo sono rimaste a lungo inaccessibili, come lamentano gli utenti.

Aggiornamento: Windows 7 è ora disponibile a tutti presso l’Evaluation Center italiano. Grazie a Renato per la dritta.

Va sottolineato che si tratta di una versione di prova, da non usare per lavoro o per situazioni critiche, e che scaduto questo termine temporale il prodotto smetterà di funzionare e non sarà possibile aggiornarlo alla versione definitiva.

E’ un periodo di prova ben più lungo rispetto alle versioni di prova di Windows Vista, che funzionarono per un massimo di otto mesi (da settembre 2006 al primo di giugno 2007).

Ci sono buone notizie per questa nuova versione: finalmente è stato rimosso quasi completamente l’Autoplay/Autorun che ha permesso a tante infezioni virali, compreso il recente Conficker, di propagarsi semplicemente collegando al PC una penna USB, un CD/DVD o un disco rigido infetto. Ci sarà anche una finestra di compatibilità con Windows XP, ma sarà una macchina virtuale scaricabile come opzione, per cui richiederà un computer dalle prestazioni decisamente vivaci.

Microsoft sta facendo di tutto per blindare e velocizzare il suo nuovo sistema operativo, soprattutto all’avvio e alla chiusura, ed evitare le lamentele che hanno afflitto Vista. La BBC cita anche un taglio di 400 millisecondi alla musica di Windows 7, vantato da John McCurran di Microsoft UK, per rendere più rapida la chiusura del sistema operativo. Wow. Io avrei un’idea ancora più brillante: sbarazzarsi completamente della musica di chiusura.

Battute a parte, la gestione della grafica dovrebbe essere più snella e le prime recensioni indicano un’effettivo miglioramento delle prestazioni rispetto a Vista. Visivamente, Windows 7 sembra essere una versione drasticamente ripulita e snellita di Vista (con degli sfondi assolutamente psichedelici, da non perdere), per cui la migrazione non dovrebbe essere troppo sofferta. La versione base dovrebbe poter girare (con alcune limitazioni) anche sui netbook di fascia medio-alta.

Una raccomandazione importante: non scaricate le copie pirata che sono già in circolazione. Molte sono infette e sono un perfetto veicolo di propagazione di ogni sorta di porcheria informatica.

Mac infettati, arriva la prima iBotnet

2009-05-11
di Paolo Attivissimo
botnet, Mac OS X, sicurezza, trojan horse, virus

Anche i Mac finiscono zombificati

Gli esperti della società di sicurezza informatica Symantec hanno annunciato di aver scoperto quella che sembra essere la prima botnet di Mac, ossia una rete di computer Apple infetti e comandati da un unico padrone come se fossero zombi, in questo caso per lanciare attacchi contro siti specifici interrompendone o intasandone i servizi (denial of service).

La scoperta chiarisce ulteriormente il concetto che l’invulnerabilità di Mac OS X è un mito: la realtà è che qualunque sistema operativo è robusto quanto lo è l’anello più debole della sicurezza informatica, che è l’utente. Infatti le due varianti di software ostile per Mac che stanno creando la botnet circolano in Rete veicolate da copie pirata della suite di programmi iWork 09 e Adobe Photoshop CS4. Entrambe catturano la password dell’utente e prendono il controllo del Mac infetto usando tecniche di vario genere: per infettarsi è comunque sufficiente installare i programmi piratati, che funzionano regolarmente senza rivelare che sono cavalli di Troia.

Non si tratta quindi di virus, ma di trojan, e nessun sistema operativo è a prova di utente incosciente. Secondo i ricercatori Mario Ballano Barcena e Alfredo Pesoli del Virus Bulletin di Symantec e le ricerche complementari di Intego, i Mac infettati in questo modo sono alcune decine di migliaia e vengono già usati attivamente per scopi criminali, come segnala questo blog, che mostra uno script PHP che gira come root e attacca un sito (la cui identità non viene mostrata).

Un altro mito che cade è quello che il numero di utenti Mac sia troppo basso per renderli un bersaglio appetibile per i vandali e criminali informatici. A fine 2008, Apple deteneva il 7,2% del mercato dei personal computer negli USA: una quota di mercato evidentemente sufficiente a ingolosire i malfattori, tentati forse anche dalla diffusa tendenza degli utenti Mac a comportarsi in modo imprudente perché si ritengono immuni.

Rimuovere l’infezione è abbastanza facile, secondo Symantec, usando queste istruzioni.

Fonti: ZDNet, CBC.ca, Slashdot, The Register.

Salta il Disinformatico domani; sabato ci si vede in Deepcon?

2009-03-26
di Paolo Attivissimo
chicche, fantascienza, Mac OS X, sicurezza, spazio, Star Trek, virus

Fantascienza, 11 settembre, spazio e scienza, in attesa di Conficker

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

L’appuntamento radiofonico del Disinformatico di domattina salta perché sono in partenza per la Deepcon 1o – Italcon 35 – Eurocon 2009, uno dei raduni ai quali cerco di non mancare mai, per ritrovare gli amici e per conoscere in carne e ossa gli attori e i realizzatori delle varie serie e gli scrittori di fantascienza.

Quest’anno gli attori ospiti sono Anthony Simcoe (Farscape), Max Grodenchik (Deep Space Nine) e Marina Sirtis (Star Trek: the Next Generation, Stargate e altre serie e film); sul versante tecnico ci sono Lolita Fatjo, Larry Nemecek e Janet Nemecek. Andrea Salsi, del CICAP, presenterà una conferenza su UFO, rapimenti alieni e “capelli d’angelo”. Ci sarà anche lo scrittore Bruce Sterling insieme a molti altri nomi noti del panorama letterario italiano e internazionale. Il programma completo, ghiottissimo in tutti i sensi (la mitica Eatcon va vissuta per crederci), è qui su DS1.it. Io presenterò una conferenza sui lunacomplotti domenica mattina.

Per gli appassionati di aviazione, segnalo sul blog Undicisettembre un articolo che traccia, lasciando da parte i complottismi, la storia dei caccia e dei piloti che si levarono in volo come prima linea di difesa quel giorno.

La Stazione Spaziale è diventata da poco uno degli oggetti più luminosi in cielo (preparatevi alla raffica di avvistamenti di “UFO” che produrrà) grazie all’aggiunta di quattro enormi nuovi pannelli solari altamente riflettenti; dopo dieci anni di lavoro, ha quasi raggiunto la sua configurazione definitiva. Una bella immagine della serie completa di pannelli è all’inizio di quest’articolo ed è tratta dal sito Nasa.gov. Proviene da un video ripreso dagli astronauti dello Shuttle, che si è sganciato dalla Stazione e si appresta a rientrare: ma gli astrofili da terra hanno già scattato immagini notevoli della più grande struttura mai costruita nello spazio. Qui sotto ne vedete un esempio di Ralf Vandeberg, tratto da qui:

La foto è stata scattata con un semplice telescopio newtoniano da 25 cm, con tracciamento manuale, e include lo Shuttle attraccato.

E se vi sembra che questo sia un bel modo di assistere alle missioni spaziali, che ne dite di gettarvi con il paracadute e la tuta planante nelle vicinanze della zona di lancio dello Shuttle, all’esatto momento del decollo? Il video è qui.

Nel frattempo sono stati recuperati circa 50 frammenti del primo asteroide la cui collisione con la Terra è stata prevista e registrata: 2008 TC3, un oggetto roccioso piuttosto fragile, grande come un’automobile, disintegratosi sopra il deserto del Sudan a ottobre scorso. Lo segnala la BBC con due articoli: uno e due. The Register e la Nasa hanno foto dei meteoriti recuperati. Non perdetevi la “scia chimica” della meteora.

Che fate il primo d’aprile? Attenti agli scherzi, ma questa che sto per dirvi non è una burla: il primo d’aprile è la data prevista di attivazione di Conficker, uno dei worm/virus più efficienti e sofisticati degli ultimi anni. Ha ormai infettato vari milioni di computer e nessuno sa di preciso cosa farà. Se vi interessano la sua storia e i dettagli dei rischi potenziali, date un’occhiata a questo articolo su Gizmodo e a questo su Slashdot. Anche The Register riassume bene la situazione e segnala l’analisi di Symantec e quella, dettagliatissima, di SRI.

E visto che chi ha un Mac non può partecipare alla grande festa di zombificazione del primo d’aprile, Sophos ha un bel video in cui dimostra un trojan (cavallo di Troia) per Mac, camuffato da programma per la TV in alta definizione. Non sfrutta una vulnerabilità di Mac OS X, ma la vulnerabilità psicologica dell’utente. E occhio se visitate con un PC Windows il sito-trappola citato da Sophos: c’è altro malware apposta per voi.

Occhio ai Javascript nei PDF con Acrobat

Falla nei PDF, disattivate Javascript nel vostro lettore

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

Uno dei vantaggi del formato PDF, popolarissimo per la distribuzione digitale di documenti, è sempre stata la sua sicurezza: non poteva essere usato come vettore di infezioni o di attacchi informatici (come vettore di scemenze letterarie sì, ma questa è un’altra storia). Non è più così.

Arriva infatti dal sito di sicurezza informatica Shadowserver.com la segnalazione di un vulnerabilità “molto grave” in Adobe Acrobat Reader, uno dei più diffusi programmi per la lettura di questo formato PDF, e specificamente nelle sue versioni 8 e 9; ~~non è ancora confermata~~ la vulnerabilità del programma Acrobat completo (quello usato per generare e modificare i documenti PDF) è stata confermata dopo la prima stesura di questo articolo.

Sono già in corso attacchi basati su questa vulnerabilità, che viene scatenata utilizzato le funzioni Javascript presenti nel programma: la vittima riceve un PDF appositamente confezionato e il suo computer va in tilt in vari modi a seconda del sistema operativo e della quantità di memoria installata, permettendo l’esecuzione di codice ostile a piacimento dell’aggressore.

La soluzione, in attesa del rattoppo da parte di Adobe, è disabilitare Javascript nel programma: in questo modo, un PDF infetto farà crashare il Reader ma non farà altri danni. Per eseguire questa disabilitazione basta andare in Modifica – Preferenze – Javascript e disattivare la casella dedicata al Javascript (Edit -> Preferences -> JavaScript, disattivare Enable Acrobat JavaScript). I principali antivirus sono già in grado di rilevare questo tipo di attacco.

Virus nelle multe, nuove frontiere del social engineering

2009-02-06
di Paolo Attivissimo
sicurezza, social engineering, trojan horse, virus

Quando il virus arriva su carta

Nuove frontiere delle aggressioni virali: il SANS Institute segnala che a Grand Forks, nel North Dakota, vari automobilisti hanno trovato sui propri veicoli dei volantini che li avvisavano di un’infrazione al codice della strada dovuta al modo in cui avevano parcheggiato e li invitavano a visitare un sito specifico (che non cito qui) per vedere immagini dell’infrazione.

In realtà il sito usa un trucco psicologico per installare un virus, o meglio un trojan horse, denominato Vundo, che si spaccia per un antivirus. Gli aggiornamenti dei principali antivirus (quelli veri!) sono già in grado di riconoscere questo attacco decisamente originale.

L’aspetto del sito-trappola è quello di un servizio dedicato alla pubblicazione di foto di infrazioni automobilistiche: per consultarlo, chiede di installare un apposito programma, PictureSearchToolbar.exe, che in realtà inietta nel computer della vittima (se si tratta di una macchina Windows che visita il sito con Internet Explorer) una DLL ostile dal nome generato a caso.

A sua volta, questa DLL scarica di nascosto da Childhe.com un’altra DLL. Al riavvio del computer, durante la navigazione in Internet compare un falso avviso di sicurezza, che informa l’utente di “vari segni della presenza di virus e malware” e offre una scansione gratuita del computer infetto. Cliccando su OK, la vittima viene portata a un sito che ospita un antivirus fasullo, che in realtà fa da talpa per infettare il computer della vittima con ogni sorta di porcherie.

E’ la prima volta, a quanto mi risulta, che una campagna d’infezione virale sfrutta un oggetto del mondo reale a basso costo come un foglio di carta (ci sono precedenti a base di penne USB infette lasciate in giro, ma sono approcci costosi). Altre immagini di questa nuova tecnica, come la schermata qui sopra, sono pubblicate da McAfee.

L’attacco gioca dunque sulla pressione psicologica doppiamente (oddio, ho preso una multa; oddio, ho il computer infetto) per scavalcare le difese informatiche dell’utente e depositare nel suo computer un malware che per il resto segue uno schema già visto, quello del falso antivirus: la novità sta nell’esca cartacea.

Visto che quest’attacco richiede manovalanza sul posto e permette di circoscrivere il tentativo d’intrusione a una zona geografica ben precisa, viene da chiedersi se la scelta di Grand Forks sia mirata. Il nome della località è infatti ben noto a chi si occupa di sicurezza militare strategica, perché è quello dell’unica base di missili antimissili nucleari mai installata dagli Stati Uniti: i missili sono stati poi smantellati, ma la base rimane ed ora è candidata ad essere l’area di collaudo dei nuovi aerei senza pilota. Un caso?

Comunque sia, provo una certa invidia per la genialità di questi criminali e non posso fare a meno di pensare che sarebbe una bella forma di vendetta verso gli idioti che parcheggiano come se fossero i padroni del mondo.

Conficker, 9 milioni di infetti?

Siamo tornati ai vecchi tempi delle grandi epidemie virali

Il worm Conficker avrebbe, secondo F-Secure, raggiunto quota 9 milioni di macchine infette. F-Secure spiega qui la sua metodologia. C’è un po’ di controversia a proposito di questi dati, ed è comprensibile, visto che provengono da una parte interessata (un produttore di soluzioni antivirali).

The Register segnala che Microsoft, con l’aggiornamento di gennaio, ha aggiunto al proprio tool di rimozione di software ostile delle routine per rimuovere Conficker dalle macchine infette, e che secondo Qualys il 30% delle macchine Windows non ha ancora installato la patch di Microsoft che tura la falla e che risale a ottobre 2008.

La BBC intervista Sophos e Kaspersky, che sottolineano l’irresponsabilità delle tante aziende che non hanno ancora installato la patch Microsoft di ottobre scorso e ricordano i rischi derivati dall’uso di password deboli (che Conficker sa indovinare) e dallo scambio di dati tramite penne USB.

Al di là delle cifre precise in gioco, questo è un attacco tecnicamente sofisticato e su scala inusitata, che richiama le grandi crisi virali di Happy99, Iloveyou, Blaster, SQLHell, Mydoom e compagnia bella degli anni passati. Gli utenti Linux e Mac, intanto, restano immuni al problema e vanno avanti a lavorare.