dÜ¾õ ô`Þ) Ò3c-õÝ ì(èí jcdü k ... - cad.polito.it · [email protected] ......

WP20100925 - Zizzi.docx

Saved on: 9/25/2010 1:07:00 PM

Printed on: 9/25/2010 1:07:00 PM

White Paper

Title: INTRODUZIONE AL MALWARE E MALWARE DETECTORS

Status: DRAFT

Contact: Giovanni Squillero [email protected]

http://www.cad.polito.it/

Version

Version Date Author Change Description

1.0 Sep-10 Gianni Zizzi Document created

mailto:

http://www.cad.polito.it/

Introduzione al Malware e Malware Detectors

White Paper 9/25/2010

TABLE OF CONTENTS

1. INTRODUZIONE AI MALWARE .............................. 4

1.1. Spam ............................................ 4

1.2. Bugs ............................................ 4

1.3. Denials of Service .............................. 5

1.4. Malicious Software .............................. 5

2. CLASSIFICAZIONE ...................................... 6

2.1. Tipi di malware ................................. 6

2.1.1. Virus ....................................... 6

2.1.2. Worm ........................................ 7

2.1.3. Trojan Horse ................................ 8

2.1.4. Logic Bomb .................................. 9

2.1.5. Rabbit ...................................... 9

2.1.6. Spyware .................................... 10

2.1.7. Adware ..................................... 10

2.1.8. Malware ibridi ............................. 11

2.2. Classificazione per tipo di infezione .......... 11

2.2.1. Malware del settore di boot ................ 11

2.2.2. File Infectors ............................. 12

2.2.3. Macro Virus ................................ 14

2.3. Classificazione per metodo di occultamento ..... 14

2.3.1. Criptaggio ................................. 15

2.3.2. Virus Stealth .............................. 15

2.3.3. Oligomorfici ............................... 16

2.3.4. Polimorfici ................................ 16

2.3.5. Metamorfici ................................ 16

3. DAGLI ALBORI ALLO STATO ATTUALE ..................... 17

4. LE MINACCE ODIERNE .................................. 28



4.1. Le tipologie di malware più diffuse ............ 28

4.2. I vettori di infezione ......................... 29

5. INTRODUZIONE AI MALWARE DETECTORS ................... 31

5.1. Metodi statici ................................. 32

5.1.1. Scanners ................................... 32

5.1.2. Euristiche statiche ........................ 34

5.1.3. Integrity Checkers ......................... 35

5.2. Metodi dinamici ................................ 36

5.2.1. Monitor del comportamento .................. 36

5.2.2. Emulazione ................................. 37

5.3. Rilevazione tramite database ................... 38

6. I PASSI PER L'ELIMINAZIONE DEL MALWARE .............. 40

6.1. Verifica ....................................... 40

6.2. Quarantena ..................................... 40

6.3. Disinfezione ................................... 40



1. Introduzione ai malware Sin dall'antichità le necessità primarie dell'uomo sono state molto semplici: acqua, cibo, un riparo e la possibilità di assicurare la sopravvivenza della specie. Con il passare del tempo i nostri bisogni di base sono sempre gli stessi ma sono cambiate le modalità con cui abbiamo accesso ad essi. Il cibo è diventato un prodotto commerciale e viene prodotto e smistato grazie a sistemi computerizzati; l'acqua è distribuita da sistemi informatici che gestiscono la fornitura; le parti che compongono le case e le altre infrastrutture provengo da diversi fornitori che usano i computer per organizzarsi ed inoltre le vecchie e le nuove case vengono vendute grazie a sistemi informatici per la vendita. La produzione e la trasmissione di energia per tenere in piedi questi sistemi è controllata dai computer, che allo stesso tempo controllano la gestione finanziaria attraverso pagamenti e transazioni elettroniche.

E' facile quindi affermare che tutta l'infrastruttura della nostra società si basa sui computer ma sfortunatamente questo significa che un problema ai computer si traduce in un problema nella società.

Attualmente le minacce informatiche che possono compromettere il regolare sistema informatico globale vengono classificate in quattro categorie principali:

1.1. Spam Questo termine sta ad indicare le indesiderate email che ogni giorno riempiono le caselle di posta elettronica degli utenti di Internet. Le statistiche sono molto preoccupanti: si conta infatti che il 70% del traffico email non sia altro che spam.

1.2. Bugs I Bugs sono errori nel software, causati dalla scorretta gestione di situazioni inaspettate o da errori di programmazione. Possono portare al blocco momentaneo del software stesso e nei casi peggiori al blocco di tutto un sistema.



1.3. Denials of Service Gli attacchi Denials of Service, o attacchi DoS, mettono in difficoltà l'uso legittimo dei servizi e delle risorse di un sistema. Per esempio, un attacco DoS può far si che venga consumato tutto lo spazio del disco fisso di un sistema, in modo tale che quel sistema non riesca più ad erogare in maniera efficiente il suo servizio. Oppure ancora, in un attacco DoS può essere generato talmente tanto traffico di rete che il traffico legittimo dell'utente non sia più in grado di arrivare a destinazione.

1.4. Malicious Software La vera guerra è condotta verso i Malicious Software (“programmi malvagi”), o più brevemente malware. Sono una categoria di programmi creati con lo scopo di causare danni più o meno gravi al computer su cui viene eseguito. I malware assumono un ruolo di primaria importanza nell'analisi dei problemi di sicurezza dei sistemi poiché sono strettamente connessi con le altre minacce appena elencate. I malware infatti possono essere propagati grazie allo spam e possono anche essere usati per inviare spam. La loro diffusione avviene sfruttando alcuni bugs dei sistemi ed inoltre possono essere usati per mettere a punto attacchi DoS.

E' quindi facile intuire che attorno ai malware ruotano la maggior parte dei problemi di sicurezza delle infrastrutture su cui si basa la nostra società.



2. Classificazione Sarebbe interessante presentare una chiara classificazione dei malware, che cataloghi ogni tipo con il suo corrispettivo gruppo di appartenenza. Purtroppo però una classificazione assoluta potrebbe risultare poco corretta.

In primo luogo perché non c'è nessuna base scientifica riguardo la classificazione dei malware e lo dimostra il fatto che non c'è una definizione universalmente accettata per termini come “virus”, “worm”, ecc...

In secondo luogo perché i malware presentano caratteristiche che influiscono su vari aspetti della loro natura, come ad esempio la struttura, il comportamento o l'obbiettivo per il quale sono stati creati.

E' opportuno quindi classificare i malware sotto diversi punti di vista, tenendo sempre ben presenti quali sono le caratteristiche di base che danno vita ad una determinata classificazione.

2.1. Tipi di malware I malware possono essere bruscamente catalogati in base alle modalità in cui operano. Ci sono tre caratteristiche principali che contraddistinguono i tipi elencati di seguito: la capacità di autoreplicarsi, la forza della loro propagazione e la necessità di appoggiarsi su un altro programma per esistere.

2.1.1. Virus

Un virus è un malware che una volta eseguito tenta di copiare se stesso in altri codici eseguibili, che di conseguenza vengono dichiarati infettati. I programmi infettati a loro volta, quando vengono eseguiti possono infettare altri programmi e così via.

L'autoreplicazione all'interno di un altro programma eseguibile, unita alla capacità di propagarsi tramite supporti hardware rimovibili come memorie USB, CD-ROM e DVD, sono le caratteristiche principali dei virus.

Il termine virus a volte viene usato impropriamente per riferirsi a qualsiasi tipo di malware in grado di



autoreplicarsi ma è importante notare che non usano la rete per propagare l'infezione; in questo caso parliamo infatti di “worm” che appartengono ad un'altra tipologia di malware.

I virus possono essere scoperti in varie fasi del loro ciclo di vita. Un germe è la forma originaria del virus, prima cioè che il suo codice venga inserito in un altro eseguibile. Un virus che non porta a termine il processo di autoreplicazione è chiamato intended. Questo può accadere in seguito ad un bug all'interno del virus oppure perchè il virus viene eseguito su un sistema operativo che non supporta.

2.1.2. Worm

Un worm ha molte caratteristiche in comune con il virus ma il suo sistema di autoreplicazione è differente in due punti principali. In primo luogo i worm sono standalone: questo significa che sono indipendenti e non hanno bisogno di altri programmi eseguibili per propagarsi. In secondo luogo i worm si propagano da computer a computer grazie alla rete e non tramite supporti rimovibili; di conseguenza la propagazione dei worm mira ad una maggiore estensione geografica.

L'infezione viene quindi portata a termine per mezzo di diverse risorse e servizi che la rete mette a disposizione. Tra i più comuni possiamo ricordare:

• worm di servizi “bacati” - Analizzano sulle reti alcune porte di computer scelti a caso e, se un attacco è possibile, utilizzano i punti deboli dei protocolli (es. IIS) o la relativa implementazione per diffondersi. I worm conosciuti di questo tipo sono Lovesan/Blaser e CodeRed. Sasser utilizza un errore di overflow del buffer nel servizio Local Security Authority Subsystem Service (LSASS) e infetta i computer durante la connessione a Internet.

• Worm di email - Nella diffusione per e-mail, il worm è in grado di utilizzare i programmi di posta esistenti, come Outlook o Outlook Express, o un proprio motore di posta SMTP. A prescindere dal traffico di rete presente e dalle risorse del sistema elevate, i worm possono contenere funzioni ancora più dannose. Esempi rappresentativi di questo tipo di worm sono Beagle e Sober.



• Worm di Peer-to-Peer - I worm di P2P copiano se stessi nelle condivisioni Peer-to-Peer di siti di scambio come Emule, Kazaa, ecc. Qui attraggono le proprie vittime con nomi allettanti di software recenti o di persone famose.

• Worm di Instant Messaging - I worm di messaggistica istantanea si diffondono utilizzando i programmi per chat. Per il trasferimento dei file inviano alla vittima un messaggio contenente una copia del worm stesso oppure un link a una pagina web dannosa.

2.1.3. Trojan Horse

Questo tipo di malware si ispira alla battaglia tra achei e troiani raccontata nella mitologia greca. Gli achei infatti, per conquistare la città di Troia, fecero finta di ritirarsi lasciando dietro di se, come dono degli dei, un grande cavallo di legno nel cui ventre vennero nascosti alcuni guerrieri achei. Credendo ormai di aver vinto i troiani abbandonarono ogni prudenza e portarono tra le mura il cavallo come trofeo. Ma la notte mentre tutti dormivano, gli achei uscirono dal cavallo e aprirono ai compagni le porte della città che venne prontamente conquistata.

Nel contesto dei malware, un cavallo di troia è un programma che ha apparentemente uno scopo utile e innocuo, ma segretamente implementa una funzione dannosa che rende totalmente vulnerabile il computer infettato senza che l'utente neanche se ne accorga.

I trojan non si diffondono autonomamente come i virus o i worm, quindi richiedono un intervento diretto dell'aggressore per far giungere l'eseguibile maligno alla vittima tramite email o instant messaging..

I metodi utilizzati dai trojan per nascondersi sono praticamente infiniti. Possono nascondersi nei comandi della riga di comando per gli amministratori di sistemi UNIX come passwd, ps, netstat (semplici rootkit) o come RAT (Remote Access Trojan) meglio noti come backdoor.

I backdoor, una volta eseguiti, aprono una porta TCP/IP permettendo un accesso secondario al computer infettato.

Generalmente sono composti da due file:



• il file server, che viene installato nella macchina vittima;

• il file client, usato dall'aggressore per inviare istruzioni che il server esegue;

In questo modo un aggressore è in grado di controllare il computer in modalità remota permettendogli di sniffare password, installare ulteriori malware o usare il computer come “zombie” per un attacco DoS.

2.1.4. Logic Bomb

Le logic bomb sono formate da due parti principali:

1. il Payload che implementa una funzione “maligna” da eseguire;

2. il Trigger che rappresenta una condizione che deve essere soddisfatta affinché il Payload possa essere eseguito. Esempi di Trigger sono il raggiungimento di una data specifica, il tipo di sistema operativo o il login di un determinato utente.

Le logic bomb possono essere inserite all'interno del codice di un programma eseguibile o possono essere standalone. Un esempio di logic bomb “parassita” è illustrato di seguito:

legittimate code if date is Friday the 13th: crash_computer(); legittimate code

Le logic bomb possono essere composte anche da pochissime righe di codice che facilmente si confondono nelle migliaia di righe legittime e per questo motivo sono molto difficili da individuare.

2.1.5. Rabbit

Rabbit (spesso chiamati anche batteri) è il termine usato per descrivere i malware che crescono molto rapidamente. Attualmente vengono classificati in due tipi principali:

La prima tipologia di rabbit tenta di consumare tutte le risorse di un sistema (memoria e cicli di CPU). Vengono anche chiamati “fork bomb” proprio perchè creano copie di se stessi che “ciclano” all'infinito.



La seconda tipologia di rabbit acquisisce qualche caratteristica dai worm poiché sono programmi standalone che si replicano tra le reti. Hanno però l'importante caratteristica di cancellare la vecchia copia di se stessi subito dopo la replicazione in maniera tale che ci sarà in circolazione solo una copia del programma.

2.1.6. Spyware

Gli spyware sono programmi che collezionano una serie di informazioni dal computer vittima e le trasmettono all'aggressore.

Le informazioni che controllano gli spyware sono molto varie ma fondamentalmente hanno tutte una certa importanza:

• username e password: possono essere estrapolate dai file presenti nel computer vittima o catturati da particolari programmi chiamati keylogger che sono in grado di registrare passivamente tutti i tasti premuti sulla tastiera;

• indirizzi email: possono essere usati per inviare spam; • numeri di conto correnti e carte di credito; • license key di software originali;

Anche i virus e i worm possono maneggiare queste informazioni ma gli spyware differiscono da questi ultimi perchè non hanno nessun meccanismo di autoreplicazione.

Possono arrivare ad infettare i computer vittima in diversi modi, nascondendosi all'interno di altri pacchetti software o sfruttando alcuni bugs dei server web.

2.1.7. Adware

Gli adware sono molto simili agli spyware poiché anch'essi maneggiano le informazioni dell'utente e non sono in grado di autoreplicarsi. Hanno però uno scopo puramente commericiale e meno maligno. Sono in grado infatti di collezionare una serie di informazioni riguardanti i gusti dell'utente, per poi aprire automaticamente finestre pubblicitarie di pop-up personalizzate.



2.1.8. Malware ibridi

L'esatta tipologia di malware che si incontra nella realtà non è così facile da determinare e spesso non possono essere associati a nessuna delle definizioni appena descritte. E' molto più facile invece incontrare malware che uniscono le caratteristiche di diverse tipologie.

Per esempio un worm può propagarsi depositando dei trojan in ogni computer che infetta al suo passaggio oppure un virus può aprire una backdoor ogni volta che viene eseguito.

Questa tecniche ibride permettono ai malware di raggiungere un livello di pericolosità molto elevato, rendendo ancora più difficile la loro rilevazione con i Malware Detector.

2.2. Classificazione per tipo di infezione Un altra utile classificazione dei malware si può ottenere prendendo in considerazione cosa esattamente vanno ad infettare. Di seguito vengono descritte le infezioni a tre differenti tipi di entità del computer: il settore di boot, i file eseguibili e i dati utente (Macro Virus).

2.2.1. Malware del settore di boot

Ogni volta che accendiamo il computer vengono eseguiti i seguenti passi:

1. Appena premuto il tasto di accensione, viene letta una memoria ROM, contenente le istruzioni di inizializzazione e riconoscimento dell'hardware. Tra l'hardware riconosciuto c'è anche un device di boot contenente un blocco di avviamento (Master Boot Record) che tipicamente si trova nella parte iniziale della memoria del device. Questa fase viene chiamata “primary boot”.

2. Il codice presente nel MBR esegue a sua volta un altro programma più complesso in grado di identificare la struttura del filesystem di boot. Questa fase viene chiamata “secondary boot”.

3. Durante il secondary boot il kernel del sistema operativo viene caricato in memoria e avviato.



Un virus del settore di boot (boot-sector infector) è in grado di infettare la macchina copiando se stesso nel MBR, mantenendo il blocco di boot originale all'interno del filesystem per poi eseguirlo e completare il processo di boot.

Spesso però le dimensioni del virus sono più grandi del MBR (512 byte) e quindi è costretto ad usare blocchi aggiuntivi per effettuare correttamente la copia di se stesso.

In generale l'infezione del settore di boot è vantaggiosa in quanto il codice del virus viene lanciato prima che vengano eseguiti il sistema operativo e gli antivirus.

Al giorno d'oggi però questo tipo di virus è diventato abbastanza raro poiché c'è un minor uso di supporti rimovibili di boot come i floppy disk ed inoltre le tecniche di prevenzione da questo tipo di malware sono state perfezionate, come ad esempio la protezione della scrittura del MBR da parte del BIOS o del sistema operativo stesso.

2.2.2. File Infectors

Un file infector è un tipo di malware che infetta i file visti dal sistema operativo o dalla shell come “eseguibili” cioè composti da una serie di istruzioni. Tra gli eseguibili possiamo incontrare anche file batch e script di shell ma gli eseguibili binari rappresentano comunque il bersaglio più comune.

Nell'analisi di questo tipo di malware il punto principale da considerare è dove viene copiato il codice maligno all'interno del file vittima. Possiamo elencare i seguenti casi di infezione:

• inizio del file – Dopo averlo lanciato, l'eseguibile viene copiato in memoria e viene eseguita la prima istruzione presente all'inizio del suo codice. E' proprio in questo punto del codice che il virus inserisce una copia di se stesso facendo in modo che la sua esecuzione preceda quella dell'eseguibile vittima.

• fine del file – l'inserimento del virus alla fine del codice del file eseguibile è altrettanto semplice. Questo tipo di infezione può avvenire in due modi: all'inizio dell'eseguibile viene introdotta un'istruzione di jump che punta all'indirizzo del



codice del virus presente alla fine del file. Una volta che il codice del virus è stato eseguito viene usata una seconda jump che permette di riprendere l'esecuzione normale dell'eseguibile.

molti tipi di eseguibili contengono nelle intestazioni un indirizzo relativo alla prima istruzione da eseguire. Questo indirizzo viene sostituito con l'indirizzo di partenza del virus che successivamente ritorna il controllo all'indirizzo di partenza originale.

• sovrascritto nel file – invece di aggiungere il suo codice all'interno del file, il virus sovrascrive il codice legittimo. Questo evita che il file cambi in maniera spropositata le sue dimensioni ma allo stesso tempo compromette il corretto funzionamento del programma originale, rendendo la rilevazione del virus molto immediata. Una variante di questo meccanismo permette di allocare il virus in una porzione di memoria allocata per il file ma effettivamente non utilizzata dal file. In ogni modo sovrascrivere un virus su un file è una tecnica usata solo per codici virali di dimensioni ridotte.

• fuori dal file – questo è il caso dei virus companion. Non infettano realmente il file eseguibile ma riescono ad essere eseguiti sfruttando delle vulnerabilità del sistema operativo. Consideriamo un esempio che sfrutta le vulnerabilità del sistema operativo MS-DOS: la shell infatti è stata programmata per eseguire prima i file con estensione .COM e in alternativa i file con estensione .EXE. Questo significa che un virus avente lo stesso nome di un programma legittimo ma con estensione .COM verrà eseguito al posto del programma legittimo.

indirizzo indirizzo

codice del virus

dopo l'infezione prima dell'infezione



Figura 1 – Meccanismo di infezione di un File Infector all'inizio del file vittima

Figura 2 – Meccanismo di infezione di un File Infector alla fine del file vittima

2.2.3. Macro Virus

Alcune applicazioni, come per esempio i word processor, permettono ai file dati di avere al loro interno delle “macro”. Con il termine macro si intende piccoli pezzi di codice scritte in un linguaggio che tipicamente è interpretato dall'applicazione, un linguaggio abbastanza potente per eseguire le stesse funzionalità di un virus.

Una volta che il documento contenente la “macro malevola” viene aperto, la macro viene automaticamente eseguita, nonostante alcuni messaggi di warning che possono essere facilmente ignorati.

L'evoluzione dei macro virus prevede che l'infezione di estenda ad un insieme di macro globali che vengono richiamate ogni volta che viene eseguita una normale macro. In questo modo una sola infezione è sufficiente per compromettere tutti i file dati contenenti delle macro legittime.

2.3. Classificazione per metodo di occultamento Un altro modo per classificare i malware è considerare la tecnica utilizzata per nascondersi dai software antivirus e dal sistema operativo.

header

header

indirizzo vecchio

indirizzo

nuovo

indirizzo codice del virus

dopo l'infezione prima dell'infezione



2.3.1. Criptaggio

L'idea che sta alla base di questa tecnica prevede che il corpo del virus venga criptato in modo che il codice virale possa difficilmente essere rilevato. Il codice criptato non può quindi essere eseguito se prima non viene eseguita l'operazione di decriptaggio. Questa operazione viene effettuata all'inizio dell'esecuzione del malware grazie ad un pezzo di codice relativamente piccolo che costituisce quindi l'unico pezzo visibile dai software di rilevazione. Il corpo del virus può essere decriptato sovrascrivendo la stessa area di memoria oppure utilizzando dei blocchi nuovi. Di seguito vengono elencate le tecniche di criptaggio più comuni:

• criptaggio singolo – non viene usata nessuna chiave di cifratura ma semplicemente un delle operazioni base sui parametri come l'incremento, il decremento, la rotazione e la negazione.

• criptaggio con chiave statica – viene utilizzata una chiave costante che non cambia da un'infezione all'altra. Vengono utilizzati operatori aritmetici come la somma o operatori logici come XOR. E' importante notare che in questo tipo di criptaggio vengono usati solamente operatori reversibili.

• criptaggio con chiave variabile – la chiave parte da un valore costante e cambia man mano che avanza il processo di decriptaggio.

• criptaggio tramite libreria di cifratura – questo metodo offre un livello di criptaggio molto elevato dal momento che usa direttamente le librerie di cifratura presenti nei moderni sistemi operativi.

• criptaggio a chiave random – in questo caso la chiave di criptaggio cambia ad ogni infezione e di conseguenza deve essere anche aggiornato il pezzo di codice relativo al decriptaggio in modo da incorporare la nuova chiave. Questo metodo fa si che da un'infezione all'altra cambia anche il codice criptato del corpo del virus.

2.3.2. Virus Stealth

I virus stealth sono in grado di nascondersi completamente non solo dai software antivirus ma dal sistema operativo e dall'utente. Alcune tecniche utilizzate da questa tipologia di malware prevedono il



ripristino del campo timestamp di un file infetto per evitare i controlli sulla modifica. In alcuni casi, vengono ripristinate nel file infetto tutte le informazioni relative al momento prima dell'infezione ma solo quando il virus si rende conto della presenza di un controllo istantaneo da parte di un software di Malware Detector.

2.3.3. Oligomorfici

Assumendo che un virus criptato cambi la sua chiave da un'infezione all'altra, l'unica parte che rimane invariata è il pezzo di codice che si occupa del decriptaggio.

I virus oligomorfici sono una tipologia di virus criptati che hanno un insieme finito di routine di decriptaggio a loro disposizione. Viene quindi scelta una differente routine ad ogni infezione.

2.3.4. Polimorfici

Un virus polimorfico ha le stesse caratteristiche di un virus oligomorfico ma ha un insieme infinito di routine di decriptaggio. Questa tecnica rende molto più difficile la rilevazione e allo stesso tempo rende anche complicato per il virus stesso il processo di infezione poiché diventa difficile capire se un file è già stato infettato oppure no. Per ovviare a questo inconveniente i virus polimorfici lasciano delle tracce nel timestamp e nei dati infettati, come ad esempio una particolare sequenza di caratteri o la ripetizione dello stesso valore numerico.

2.3.5. Metamorfici

Questa tipologia di malware ha la caratteristica di essere polimorfici all'interno del corpo. Non sono cioè virus criptati ma hanno un corpo diverso per ogni infezione. Questo risultato può essere ottenuto inserendo ad ogni infezione del codice “spazzatura” tra le istruzioni originali del virus. Le istruzioni aggiunte non devono però alterare la corretta esecuzione del codice originale.



3. Dagli albori allo stato attuale 1949 - Le elaborazioni teoriche sui virus per computer risalgono addirittura al 1949. John von Neumann (1903-1957) sviluppa la teoria degli elementi artificiali che si autoriproducono. Ai tempi non era però ancora pensabile un'attuazione tecnica.

1970 – Nasce il gioco di programmazione Core Wars in cui vari programmi combattono tra loro per contendersi l'area di memoria. Sono in grado di insinuarsi nella memoria, cancellare gli indirizzi in maniera casuale e riprodursi. In questo contesto hanno origine i virus per computer.

1982 – Il termine “virus” viene usato per la prima volta dal professor Leonard M. Adleman nel corso di una conversazione con Fred Cohen. Negli stessi anni nascono i primi virus per Apple II e DOS 3.3: si diffondono tramite dischetto e spesso si limitano solo a visualizzare del testo invertito o giochi di parole in rima.

Nel Centro di ricerca Xerox a Palo Alto, Jon Hepps e John Shock programmano i primi worm. Venivano utilizzati per calcoli ripartiti e si diffondevano autonomamente in rete ma a causa di un errore di programmazione, si verificò una diffusione incontrollata, che dopo poco tempo paralizzò i computer.

1984 - Fred Cohen pubblica il primo articolo relativo a “Esperimenti con i virus per computer”, che citerà poi nella pubblicazione del suo lavoro di dottorato “Computer Viruses - Theory and Experiments” del 1986. La sua definizione, piuttosto matematica, di un virus per computer viene ancora oggi riconosciuta e non comprende la sfumatura negativa che il concetto di virus ha assunto oggi.

1985 – I virus cominciarono a diventare sempre più dannosi. Vale la pena citare Surprise creato in BASIC che provvedeva a cancellare tutti i file raggiungibili tramite il comando kill.

Il fenomeno dei virus esplode nelle comunità hacker e nelle riviste specializzate vengono pubblicati i primi articoli completi di codice sorgente. Tuttavia, i virus sono considerati un grosso pericolo solo per i megacalcolatori.



1986 - I fratelli Basit e Amjad Farooq Alvi sono i gestori di un piccolo negozio di informatica chiamato “Brain Computer Services” a Lahore, Pakistan. Per punire gli autori delle copie illegali del loro software, creano il primo virus del settore di avvio per il sistema operativo DOS. Tramite gli studenti pakistani questo virus si diffonde come un'epidemia anche nei licei americani. Il programma, tuttavia, era relativamente innocuo dato che l'unica azione eseguita era rinominare in Brain i dischetti colpiti.

Nello stesso anno nascono il primo virus per file Virdem ed il primo cavallo di troia PC-Write.

1987 - Sempre più spesso compaiono virus che colpiscono i file (inizialmente solo i file .COM). Lehig è il primo virus che desta l'interesse del pubblico: attacca il file command.com e, dal punto di vista tecnico, rappresenta il primo virus residente in memoria. Ha un'azione molto distruttiva che lo porta di conseguenza ad estinguersi rapidamente.

In contemporanea alla comparsa di Lehigh, viene fondata la mailing list e il newsgroup VIRUS-L/comp.virus, che presto assumono il ruolo di importante fonte di informazioni sui virus.

Dopo la comparsa dei primi virus per Macintosh, nVir e Peace, Apple ha deciso di dotare ogni computer del programma antivirus Virus-Rx.

A dicembre, un onesto studente americano blocca il traffico di posta elettronica e di rete a livello mondiale con un worm molto potente, Tannenbaum. Disegna un albero natalizio sullo schermo mentre in background provvede a spedire se stesso a tutti gli indirizzi di posta elettronica che riesce a trovare nel sistema.

Nella rivista C'T compare un articolo sui virus per Atari ST, in cui viene pubblicato anche un elenco di codici sorgente permettendo anche ai neofiti di adattare il virus in modo semplice. L'ondata di nuovi virus che ne segue scatena la discussione sulla pubblicazione dei codici sorgente.

1988 - Venerdì 13 maggio a Gerusalemme scoppia Jerusalem, la prima bomba logica. Il meccanismo di diffusione è simile a quello di Lehigh, ma più efficace, dato che non attacca soltanto i file .COM, ma anche i file .EXE.



Robert T. Morris jr., figlio dell'esperto in sicurezza informatica della NSA, rilascia Internet-Worm che, grazie ad un piccolo elenco di password, ottiene l'accesso a moltissimi computer UNIX (2000-6000) e da qui, con la stessa modalità del virus Tannebaum, si propaga provocando il blocco del traffico di rete e della posta elettronica.

Viene creato il primo kit per la produzione di virus per Atari ST, che permette anche ai principianti di costruire virus con determinate caratteristiche.

In reazione al generale aumento delle attività da parte degli sviluppatori di virus, e in particolare in reazione a Internet-worm, negli Stati Uniti è stato fondato il CERT/CC (Computer Emergency Response Team / Coordination Center ), il quale offre tutt'oggi consigli e interventi per la protezione e la sicurezza dei dati. Attualmente esistono alcuni centri CERT anche in Germania.

1989 – Viene creato Vienna, il primo virus polimorfo. Questo virus si codifica autonomamente con chiavi variabili, modificando anche la forma delle routine di decodifica. Per questo motivo può essere individuato dai software antivirus solo tramite algoritmi complessi, facilmente inclini a falsi allarmi. Per molti produttori di antivirus ha significato la fine delle attività.

In luglio viene pubblicata la prima edizione del Virus Bulletin. Da allora si è sviluppata diventando una delle più rinomate riviste specializzate per i ricercatori di virus.

In Bulgaria l'hacker Dark Avenger scrive il codice di Fast Infector introducendo due importanti novità tecniche: 1. è in grado di colpire, oltre che i file eseguibili, anche i file aperti per la lettura o copiati. 2. Ad intervalli di tempo irregolari vengono sovrascritti singoli settori del disco fisso. I backup, che vengono creati spesso come protezione dagli attacchi dei virus, diventano così assolutamente inefficaci.

Ad Haifa, in Israele, è stato scoperto Frodo, il primo virus invisibile che infetta i dati. Dopo il 22 settembre di un qualsiasi anno dovrebbe rovinare il disco rigido del PC.

Un cavallo di Troia viene diffuso dalla società PC Cyborg, con sede a Panama, su dischetti camuffati come



fonti di informazioni sull'AIDS. AIDS sostituisce il file autoexec.bat e dopo un numero specificato di nuovi avvii (90) inizia a codificare il disco rigido. Successivamente, il malcapitato viene chiamato a pagare una fattura per ottenere il codice di decodifica.

1990 - 4096 byte è la dimensione dell'omonimo virus che fa la sua apparizione in gennaio. Si attaccava a file di dati eseguibili e aperti. Il meccanismo che cercava di nascondere questo comportamento portava spesso alla distruzione degli stessi file. Il tentativo di visualizzare il messaggio “Frode Lives” provocava il crollo del sistema.

L'associazione tedesca degli amanti dei virus diffonde il primo kit per la produzione di virus per DOS. In questo modo, anche i principianti possono sviluppare virus su misura.

A dicembre viene fondato l'EICAR (European Institute for Computer Antivirus Research) che ancora oggi riveste un ruolo importante nella lotta contro i virus e i loro sviluppatori.

1991 - Michelangelo è un virus del settore di avvio che il 6 marzo, giorno del compleanno di Michelangelo, sovrascrive i primi 256 settori del supporto dati, rendendo di conseguenza il computer inutilizzabile.

I virus polimorfi diventano sempre più frequenti: Tequila è il primo virus polimorfo ad ampia diffusione mentre Maltese Amoeba sovrascrive in due specifici giorni dell'anno il primo settore del supporto dati.

Il virus Saddam Hussein codifica sui computer Amiga alcune parti del supporto dati, in modo che questo possa essere leggibile solo quando il virus è in memoria.

1992 – L'hacker Dark Avenger, pubblica MtE (Self Mutating Engine), un toolkit per la creazione di virus polimorfi. Inoltre nello stesso hanno crea Commander Bomber, un virus che utilizza un innovativo metodo di mimetizzazione: non si attacca come blocco unico ad un file ma distribuisce invece il suo codice su più frammenti connessi tra loro attraverso dei collegamenti. Questa tecnica rende più problematico il riconoscimento.

WinVir 1.4 è il primo virus per Windows ed Involuntary è il primo ad infettare i file SYS.



1993 - Compaiono nuovi toolkit basati su MtE per la creazione di virus polimorfi: TPE (Trident Polymorphic Engien), NED (Nuke Encryption Device) e DAME (Dark Angel's Multiple Encryption).

In MS-DOS 6 viene incluso per la prima volta un (mediocre) programma di scansione antivirus.

Fa la sua comparsa il cavallo di Troia Fuck per Amiga che viene distribuito mimetizzato da programma di test del modem. Sostituisce per prima cosa il file di sistema loadWB ed al riavvio del sistema, viene eseguito il codice del virus. Dopo un certo lasso di tempo, determinato dalla frequenza di aggiornamento dello schermo, l'intero disco rigido viene completamente scritto con la parola F..., provocando la distruzione di tutti i dati.

A luglio Joe Wells pubblica la prima Wildlist, contenente l'elenco dei virus ancora in circolazione. Da questo elenco è nata più tardi la Wildlist Organization.

1994 - Compaiono i primi virus multipartita. Questi virus utilizzano più meccanismi di infezione e possono contemporaneamente attaccare, oltre ai file, anche i settori di avvio o le tabelle delle partizioni.

Il giovane hacker Black Baron diffonde in Inghilterra Smeg.Pathogen e Smeg.Queen, in grado di sovrascrive 256 settori del disco rigido. Questo virus ha provocato ingenti danni ad alcune aziende e per questo, l'anno successivo, il suo creatore viene condannato ad una pena detentiva.

Kaos4 si è diffuso attraverso un newsgroup specializzato in foto erotiche. Da allora questa strategia è stata utilizzata sempre più frequentemente.

1995 - Con DMV, Nachtwächter e Concept 1995 compaiono i primi macrovirus. Hunter.c è il primo macrovirus polimorfo.

Wm.Concept è stato il primo macrovirus per Word. Conteneva solo il messaggio “That's enough to prove a point.” e in poco tempo è diventato il virus più diffuso su scala mondiale. Wm.Concept ha fondato la categoria dei virus “Proof of Concept” che hanno l'unico scopo di dimostrare come sia possibile sfruttare un determinato punto debole, senza però provocare veramente dei danni.



La rilevazione dei macrovirus richiede notevoli sforzi ai programmi di scansione antivirus, se non altro per i formati in continua evoluzione dei linguaggi degli script e dei file di Office.

1996 - Compaiono i primi generatori di macro per macrovirus in inglese e in tedesco. I macrovirus non si limitano più a Word, bensì sono progettati anche per i file Excel e AmiPro. Inoltre superano i confini tra sistemi operativi e colpiscono indifferentemente PC e MAC.

Boza è il primo virus che attacca il formato PE-EXE dei file Windows 95.

1997 – Fanno la loro comparsa i primi script mIRC che si diffondono sotto forma di worm tra gli utenti della Internet Relay Chat.

Fa la sua apparizione il primo virus per il sistema operativo GNU/Linux.

1998 - Strange Brew è il primo virus per Java.

Il worm Autostart.9805 partendo da Hong Kong infetta innumerevoli macchine MAC. Autostart.9805 sfrutta il meccanismo di avviamento automatico di Quicktime e copia se stesso sul disco rigido e su altri supporti dati. Determinati file vengono sovrascritti con dati spazzatura e quindi resi inutilizzabili.

Con Netbus e Back Orifice compaiono i backdoor, che permettono di sorvegliare e controllare in remoto un PC senza che l'utente si accorga di nulla. La comparsa di Back Orifice scatena varie discussioni sul fatto che si tratti di un software di manutenzione o di controllo a distanza. Poiché le funzioni di comando in remoto possono essere eseguite all'insaputa dell'utente, Back Orifice può anche essere definito un cavallo di Troia. Tramite BO un hacker è stato in grado, alla metà del 2000, di penetrare nella rete aziendale di Microsoft.

A giugno è comparso CIH, contenente uno dei payload a maggiore diffusione nella storia dei virus, in grado di attaccare per la prima volta anche l'hardware della macchina vittima. Infatti quando si attivano le sue funzioni nocive (il 26 aprile), sovrascrive il Flash-BIOS e la tabella di partizione del disco rigido; in questo modo il computer non può più essere avviato. Su alcune



schede madri è addirittura necessario sostituire i chipset del Flash-BIOS oppure procedere con una riprogrammazione. Ma in ogni caso, anche dopo il ripristino del sistema, i dati sono persi. L'autore, lo studente cinese Chen Ing-Hau, non è stato perseguito legalmente.

VBS.Rabbit è stato il primo a utilizzare WSH (Windows Scripting Host). È scritto in Visual Basic e attacca altri file VBS.

HTML.Prepend dimostra che è possibile infettare i file HTML con VBScript.

1999 - A marzo il worm Melissa infetta nel giorno della sua comparsa centinaia di migliaia di computer, diffondendosi in maniera vertiginosa in tutto il mondo. Melissa invia e-mail ai primi 50 indirizzi della rubrica di Outlook e i server di posta coinvolti crollano sotto il carico dei messaggi in entrata.

A giugno ExploreZip si mimetizza come archivio autoinstallante che viene inviato come risposta ad una e-mail ricevuta. Si diffonde sulle condivisioni di rete e può infettare un computer collegato in rete solo se un altro utente della rete agisce incautamente. La funzione dannosa ricerca sul disco rigido i file di programmi in C e C++, Excel, Word e Powerpoint e li elimina.

Oltre che tramite e-mail, il virus Pretty Park si diffonde anche mediante le Internet Relay Chat. Questo worm è dotato di meccanismi di mimetizzazione e protezione molto efficaci che ne impediscono l'eliminazione. Durante la successiva scansione antivirus il worm viene riconosciuto come legittimo. A volte anche la scansione antivirus viene bloccata. Grazie a una manipolazione del registro, Pretty Park viene eseguito dai file EXE, provocando la segnalazione che tutti i file EXE sono infetti.

Per gli utenti di Outlook, a novembre si verifica con Bubbleboy la visione di “Good-Times”, in cui un virus riesce a infettare un computer con la sola apertura di una e-mail (anche in modalità di anteprima). Bubbleboy sfrutta un errore nella libreria del programma.

2000 - Nonostante tutte le profezie, non esiste un worm del millennio degno di tale nome. Palm/Phage e



Palm/Liberty-A sono rari ma in grado di infettare i palmari dotati di Palm OS.

Lo script VBS/KAKworm sfrutta i punti deboli in Scriplet e Typelib di Internet Explorer. In modo simile a BubbleBoy, si diffonde con l'apertura di una e-mail (anche in anteprima).

A maggio un worm invia una valanga di e-mail dalla rubrica di Outlook con l'oggetto “I love you” e crea danni per miliardi soprattutto alle reti delle grandi aziende. Anche in questo caso, le reti sono state completamente sovraccaricate in poco tempo. Dalla versione sviluppata da uno studente filippino Onel de Guzman nascono moltissime varianti. Gli esperti USA parlano del virus più maligno della storia informatica.

L'autore di W95/MTX si è preso la briga di eliminare gli ibridi di worm/virus dal computer, inviando tramite e-mail un file PIF con doppia estensione del file. Ciò blocca l'accesso del browser ad alcuni siti web di produttori antivirus, infetta i file con il componente del virus ed alcuni file vengono sostituiti dai componenti del virus.

Dopo Loveletter e le sue molteplici varianti, i gateway di posta filtrano semplicemente le e-mail aventi le righe dell'oggetto incriminate. Stages of Life varia la riga dell'oggetto ed in questo modo riesce a passare attraverso la rete.

A settembre in Svezia viene creato Liberty, il primo cavallo di Troia per palmari. Si trasmette durante la sincronizzazione con il PC e cancella tutti gli aggiornamenti.

2001 - A febbraio gira un worm di posta elettronica che apparentemente contiene un allegato con una foto della tennista russa Anna Kournikova. Chi apre il messaggio installa il worm, il quale poi invia se stesso a tutti gli indirizzi della rubrica di Outlook.

Anche Naked si è diffuso per posta elettronica. Dichiara di essere un'animazione Flash di una donna nuda. Dopo l'apertura del messaggio, il virus si installa e si propaga a tutti gli indirizzi di Outlook. Poiché elimina anche le directory di Windows e del sistema, rende il computer inutilizzabile. Per usare nuovamente il PC è necessario reinstallare il sistema operativo.



A luglio Code Red sfrutta un errore di overflow del buffer nella DLL Indexing Service di Internet Information Server (IIS) di Windows NT, 2000 e XP. Il virus effettua una scansione degli indirizzi IP originali sulla porta standard per la connessione Internet e trasmette un cavallo di Troia il quale tra il 20 e il 27 di un mese avvia un attacco Denial of Service (DoS) al sito web della Casa Bianca. La rimozione del virus è molto impegnativa e divora miliardi.

A luglio tramite le reti e via Outlook Express si è diffuso SirCam, il quale ha introdotto alcune innovazioni. Ad ogni avvio, provoca l'attivazione di un file EXE. È il primo worm dotato di un proprio motore SMTP. Ma non invia solo se stesso, bensì anche file personali che trova sul computer.

Con Nimda a settembre si è diffuso un worm Internet che non necessita di alcuna interazione dell'utente. Oltre alle e-mail, utilizza per diffondersi anche le falle nella protezione dei programmi. Numerosi server Web vengono sovraccaricati e i sistemi di file infetti possono essere letti dal mondo intero.

A novembre il worm residente in memoria Badtrans sfrutta una falla nella protezione di Outlook e Outlook Express per propagarsi. Si installa come servizio, risponde alle e-mail, spia le password e registra le sequenze di tasti.

2002 - Il worm MyParty mostra all'inizio dell'anno che non tutto ciò che termina con “.com” è un sito web. Coloro che effettuano un doppio clic su “www.myparty.yahoo.com” al posto dell'immagine attesa ricevono un worm con un componente backdoor.

In primavera e in estate Klez utilizza le falle nella sicurezza IFRAME in Internet Explorer per installarsi non appena viene visualizzata una e-mail. Il virus si propaga per e-mail e in rete e si attacca ai file eseguibili. Il 13 dei mesi pari (nelle versioni successive i giorni cambiano), tutti i file presenti sulle unità raggiungibili vengono sovrascritti con contenuti casuali. I contenuti possono essere ripristinati solo da backup.

A maggio si diffonde Benjamin come primo worm sulla rete KaZaA. Il virus si auto-copia assumendo nomi diversi in una cartella della rete. Sui computer infetti viene visualizzata una pagina Web con una pubblicità.

http://www.myparty.yahoo.com



Lentin è un worm che approfitta dell'ignoranza di molte persone che non sanno che i file SCR non sono solo dei salvaschermo, ma anche file eseguibili. Se confrontato con Kletz, il suo effetto visivo come funzione nociva è solo irritante. Anche la sua diffusione non riesce a raggiungere quella di Kletz.

Alla fine di settembre scoppia l'epidemia Opasoft. Sulla porta 137 effettua la scansione di un computer in rete e verifica se su questo si trovano condivisioni di file e/o stampanti. Dopodiché prova ad autocopiarsi sul computer. In presenza di una protezione da password, il virus consulta un elenco di password sfruttando un punto debole nell'archiviazione delle password.

BugBear è il primo worm che a primavera soffia il primo posto a Kletz. Il worm si propaga per e-mail e in rete, installa un componente spyware ed invia registrazioni delle sequenze di tasti.

2003 - A gennaio SQL-Slammer infetta in una sola ora almeno 75.000 server SQL e blocca Internet per ore. Sfrutta un punto debole, già noto da 6 mesi, di Microsoft SQL-Server per neutralizzare i server dei database. Poiché SQL-Slammer è composto solo da una richiesta errata e non viene caricato come file in memoria, resta sconosciuto alla maggior parte dei programmi antivirus. Le conseguenze: a Seattle si guastano i numeri di emergenza di polizia e vigili del fuoco, i bancomat della Banca d'America non funzionano, 14.000 uffici postali in Italia restano chiusi, la borsa online soffre in modo drammatico, la Corea e la Cina rimangono a tratti temporaneamente scollegate dalla rete, con un conseguente crollo degli indici di borsa a causa dei volumi di scambio estremamente ridotti.

Ad agosto si è diffuso Lovesan (alias Blaster). Utilizza una falla del servizio RPC/DCOM ed infetta tramite gli indirizzi IP di PC scelti a caso. In pochissimo tempo centinaia di migliaia di computer erano infettati (la stima è di 570.000). Poco dopo Welchia (alias Nachi) ha cominciato a rimuovere Lovesan/Blaster dai computer e a chiudere la falla di protezione in RPC/DCOM. A fine agosto del 2003 è stato arrestato il diciottenne Jeffrey Lee Parsons, autore di Lovesan.

Il worm di invio in massa di posta elettronica Sobig.F ha stabilito un nuovo record per la sua straordinaria



velocità di propagazione. Si è diffuso in maniera 10 volte più rapida rispetto ai worm esistenti fino a quel momento.

2004 - I virus diventano armi nelle mani della criminalità organizzata. Numerosi trojan intercettano password, carte di credito e altre informazioni personali. I backdoor permettono di controllare un computer in modalità remota e di integrarlo nelle cosiddette reti Bot. Durante i campionati europei di calcio, vengono organizzati attacchi Distributed Denial-of-Service alle agenzie di scommesse online. I gestori, costretti dalle circostanze, pagano quanto richiesto dagli estorsori.

Rugrat è il primo virus per Windows a 64 bit.

Cabir, il primo virus per telefoni cellulari con sistema operativo Symbian ed interfaccia Bluetooth, è stato sviluppato dal Gruppo 29A, già noto per i suoi virus Proof of Concept. Poco dopo, dallo stesso gruppo viene creato WinCE.4Dust.A, il primo virus PoC per Windows CE.

2005 - Il primo worm per gli smartphone dotati di Symbian è stato CommWarrior.A per MMS. I messaggi MMS vengono integrati con testi di accompagnamento variabili di antivirus, giochi, driver, emulatori, software 3D o immagini interessanti e inviati a tutti i nominativi della rubrica.



4. Le minacce odierne Dopo aver descritto le tappe fondamentali della storia dei malware, passiamo ora ad analizzare quali sono le minacce degli ultimi anni, rivolgendo particolare attenzione alla tipologia delle minacce e alla loro natura.

4.1. Le tipologie di malware più diffuse I dati riportati di seguito sono stati forniti dall'azienda spagnola Panda Security che ogni anno pubblica un report sull'entità delle minacce e la loro evoluzione. Secondo Panda Security verrebbero prodotti una media di 55.000 nuovi sample al giorno, 38.000 dei quali risulterebbero essere nuove infezioni. Il numero dei malware quindi sta aumentando in maniera esponenziale; basti pensare che attualmente il database delle signatures dell'azienda spagnola contiene la firma di più di 40 milioni di malware, cifra che ovviamente è destinata ad aumentare molto velocemente.

La minaccia in assoluto più persistente sono i trojan che rappresentano il 64% dei nuovi malware scoperti negli ultimi anni. Le ultime generazioni di questa tipologia di malware sono molto versatili e implementano funzionalità sempre più svariate, permettendo di installare backdoors, rubare dati sensibili, partecipare ad attacchi DoS e scaricare altri malware dalla rete.

Le altre categorie di malware includono gli adware (17%), i virus (7%), gli spyware (6%) e i worm (4%). Queste tipologie di malware, insieme ai trojan, rappresentano il 98% delle minacce totali e vengono utilizzati principalmente per incrementare il fenomeno dello spam, creare botnet per attacchi DoS, mettere appunto attacchi di phishing e truffe ai danni degli utenti.



Figura 3 – le tipologie di malware più diffuse

4.2. I vettori di infezione Per quanto riguarda la natura delle infezioni è utile prendere in considerazione i dati raccolti da Trend Micro, una società con sede a Tokyo, leader nel campo della sicurezza informatica.

Trend Micro ha stilato la classifica dei vettori di attacco utilizzati dai 100 malware più diffusi negli ultimi 2 anni ed i risultati non lasciano adito a dubbi: tra tutti i possibili mezzi di infezione, Internet è in assoluto quello più usato da trojan, worm ed altre tipologie di malware per compromettere i sistemi degli utenti.

Le infezioni contratte navigando su siti malevoli o sconosciuti e attraverso i link presenti nelle mail di spam rappresentano il 53% del totale del campione preso in oggetto. Al secondo posto, con il 43% dei casi, si piazza il download eseguito da malware già presente sul sistema vittima. Il terzo posto è occupato dalle mail contenenti allegati malevoli (12%), seguito dai supporti rimovibili come le memory stick, sopporti USB e quant'altro (10%).

Un certo numero dei 100 malware presi in considerazione è stato contato più volte durante l'analisi, in virtù della caratteristica di versatilità dei malware: uno stesso trojan ad esempio può essere ospitato su un sito malevolo o può essere scaricato da altri malware o

64%

17%

7%

6%4%

2%

Trojan

Adware

Virus

Spyware

Worm

Altro



dall'utente stesso durante l'apertura dell'allegato di una mail.

Figura 4 – I vettori di infezione più comuni

L'analisi di Trend Micro non rappresenta e non può rappresentare un quadro completo ed esauriente di tutti i sample di malware oggi in circolazione ma solo uno spaccato molto significativo della situazione negli ultimi anni.

53

43

12

10

5

2

2

0 20 40 60 80 100

Condivisioni P2P

Applicazioni di InstantMessagingVulnerabilità software

Supporti rimovibili

E-mail

Download da altri malware

Download da Internet



5. Introduzione ai Malware Detectors Un Malware Detector (o più comunemente antivirus) deve essere in grado di eseguire i seguenti compiti:

Rivelazione – è lo scopo primario di questo tipo di software. Dato un file da analizzare in ingresso, il Malware Detector deve dare in uscita un risultato booleano: si, è un file infetto oppure no, non è un file infetto.

Il compito della rivelazione, sopratutto negli ultimi anni, è diventato molto difficoltoso. Infatti i creatori di malware, oltre che sull'aspetto funzionale, lavorano molto sull'aspetto dell'occultamento: il loro prodotto deve essere in grado di sfuggire ai controlli da parte dei software antivirus.

Al fine di comprendere al meglio il problema della rivelazione, è doveroso fare una breve introduzione sugli aspetti tecnici dei Malware Detector. L'attuale tecnologia antivirus prevede l'uso di due risorse principali: i metodi basati su database e gli algoritmi statici/dinamici per il riconoscimento zero-day.

I metodi basati su database prevedono l'uso di un database (che dovrebbe essere aggiornato quotidianamente) contenente le firme di tutti virus al momento conosciuti. In questo modo diventa semplice, dato un malware in ingresso, estrapolarne la firma e confrontarla con quelle presenti nel database.

Questo metodo introduce un problema fondamentale nella rivelazione dei malware, il problema zero-day: lo stesso giorno in cui malware viene messo in circolazione, esso non sarà ancora presente nel database dei software antivirus, di conseguenza non sarà riconosciuto e sarà in grado di danneggiare liberamente tutti i sistemi da lui raggiungibili.

Questo problema viene risolto nei giorni seguenti alla pubblicazione del malware: le case produttrici dei software antivirus metteranno a disposizione dei propri utenti l'aggiornamento del database che sarà ora in grado di riconoscere correttamente il malware.

Rimane quindi il problema ti proteggere il sistema dagli attacchi che vanno dal giorno del rilascio del virus fino all'aggiornamento del database in grado di riconoscerlo.



Per questo motivo è necessario implementare dei meccanismi alternativi all'uso del database e che siano in grado di rilevare un nuovo malware con un alto livello di affidabilità.

Inoltre questi metodi devono poter rilevare il malware sia durante la sua fase non attiva (metodi statici) che durante la sua esecuzione (metodi dinamici).

Identificazione – Una volta che il virus è stato rivelato è necessario identificarlo e catalogarlo in una macroarea di appartenenza. Questo processo permettere di individuare il tipo di minaccia ed eventualmente facilitare il processo di disinfestazione.

Disinfestazione – La disinfestazione è il processo di rimozione del malware dal computer infettato. Spesso questa fase viene chiamata pulitura proprio perchè pulisce il sistema e i file dal codice virale. La procedura di identificazione è molto importante per il processo di disinfestazione in quanto ad ogni tipologia di malware corrisponde un metodo generale per la sua rimozione.

I prossimi paragrafi faranno particolare riferimento alle tecniche di rivelazione, che possono essere considerate la chiave della protezione dei sistemi. In particolare vanno messe in rilievo le tecniche per risolvere il problema dello zero-day, un tema oggigiorno molto discusso ed oggetto di numerose ricerche.

5.1. Metodi statici Le tecniche statiche degli antivirus portano a termine la rilevazione senza eseguire il codice del malware. Di seguito vengono esaminate tre differenti tecniche statiche: gli scanner, le euristiche e gli integrity checkers.

5.1.1. Scanners

Lo scanner è una parte fondamentale del software antivirus e vengono classificati in base al loro utilizzo:

• on-demand – lo scanner viene lanciato manualmente dall'utente per verificare la presenza di malware su



tutto l'hard-disk o in una particolare cartella. Spesso viene lanciata una nuova scansione automaticamente dal software antivirus ogni volta che viene aggiornato il database oppure in seguito al riconoscimento di un nuovo supporto rimovibile.

• on-access – lo scanner viene eseguito continuamente in modalità “silenziosa”, con lo scopo di controllare costantemente i file sul disco. Naturalmente questa scansione va a discapito delle performance del sistema operativo che potrebbe diventare più lento e meno reattivo.

Lo scanner quindi si occupa di trovare una corrispondenza tra un file presente all'interno del disco ed un virus già noto al software antivirus. Il virus infatti viene rappresentato da una o più stringhe, detti signatures, che identificano univocamente un determinato virus. Le signatures non hanno bisogno di essere necessariamente delle costanti e possono contenere infatti anche dei simboli “don't care”, chiamati wildcards, in grado di fare il matching con byte arbitrari, con parti di byte, con zero o più byte. In questo modo l'uso delle signatures per controllare la presenza di virus può essere esteso non solo ai normali file ma anche al settore di boot, ai pacchetti di rete e agli streaming di byte.

Il problema principale è l'enorme quantità di dati da elaborare. Sono infatti centinaia di migliaia le signatures presenti nei database dei software antivirus ed è quindi indispensabile usare un algoritmo efficiente che permetta di lavorare su patterns multipli, in modo da facilitare il processo di identificazione del malware.

Di seguito vengono descritte le principali tecniche usate per migliorare le performance

degli scanner:

• riduzione dei dati del file – la scansione di un intero file è un processo molto lento, soprattutto se il file in questione ha dimensioni molto elevate. Detto ciò, è possibile sfruttare la conoscenza delle caratteristiche comportamentali di un virus per ridurre le dimensioni della ricerca in modo da controllare solo alcune caratteristiche del file vittima. Alcune di queste caratteristiche sono la posizione che il virus occuperà all'interno del file vittima (generalmente si tratta



della prima o dell'ultima porzione del file vittima), i puntatori che modificherà all'interno delle intestazioni della vittima e le dimensioni generiche di un virus.

• riduzione dei dati del disco – anche in questo caso controllare ogni singolo file del sistema operativo può diventare un processo molto lento. Si può quindi restringere la scansione solo ai file che generalmente vengono attaccati da virus, come ad esempio i file eseguibili, oppure scansionare solo i file che sono stati modificati dall'ultima scansione completa.

• uso ottimale delle signatures – scegliendo signatures troppo corte si può incorrere in falsi positivi (rilevazioni errate di virus) ma allo stesso tempo signatures troppo lunghe rallenterebbero la scansione e risulterebbero poco scalabili per la ricerca di varianti virali. E' necessario quindi trovare il giusto compromesso tra accuratezza della scansione e uso delle risorse computazionali.

5.1.2. Euristiche statiche

Gli attuali prodotti antivirus implementano al loro interno anche un sistema che sfrutta le euristiche statiche. In questo modo è possibile identificare file eseguibili sospetti e virus sconosciuti con un alto livello di accuratezza e senza avvalersi delle signatures. Ricordiamo che si tratta comunque di una analisi statica perciò il codice analizzato non viene eseguito ma solo visionato staticamente.

L'analisi viene portata a termine seguendo due passi fondamentali:

1. raccolta dati – in questa fase viene utilizzato un certo numero di euristiche statiche per esaminare in maniera dettagliata il file da scansionare. Ogni singola euristica fa riferimento ad una particolare caratteristica virale: • presenza di codice “spazzatura” • presenza di codice criptato • uso di librerie non usuali • manipolazioni del vettore delle interruzioni • uso di istruzioni che non vengono di solito generate dai compilatori



• stringhe contenenti banali etichette, come ad esempio le parole “virus” o “infect”

• particolari dimensioni delle intestazioni o del payload

2. analisi dei dati – ad ogni euristica viene associato un hit o un miss ed in seguito viene stilato un report globale che raccoglie le statistiche riguardanti il file scansionato. Se queste statistiche raggiungono dei valori soglia prestabiliti dall'aggressività della scansione, allora il file viene classificato come pulito, infetto o, meglio ancora, “sospetto”.

5.1.3. Integrity Checkers

Partendo dal presupposto che la maggior parte dei virus di propagano modificando altri file, gli integrity checkers nascono allo scopo di controllare periodicamente l'integrità dei file del disco. Un software antivirus che usa un integrity checkers deve essere installato su un sistema sicuro e pulito al 100%. Questa caratteristica diventa un requisito fondamentale poiché durante la fase di installazione l'integrity checkers calcola e memorizza una checksum per ogni file del sistema. Periodicamente le checksum vengono ricalcolate e se differenti dalle originali, diventano un campanello di allarme che sta ad indicare l'azione riproduttiva di un virus.

Esistono tre tipi differenti di integrity checkers:

offline – le checksum vengono ricolcolate solo periodicamente (ad esempio una volta alla settimana)

self-checking – i file eseguibili vengono modificati per effettuare un checking di se stessi prima di essere eseguiti. Questa operazione può anche essere resa più leggera aggiungendo pezzi di codice che fanno riferimento a librerie condivise.

integrity shells – la checksum di un eseguibile viene calcolata appena prima dell'esecuzione dell'eseguibile. Si può accelerare questa procedura integrandola nelle kernel del sistema operativo.



5.2. Metodi dinamici I metodi dinamici si occupano di verificare la presenza di malware eseguendone il codice o controllando il suo comportamento.

5.2.1. Monitor del comportamento

Il monitor del comportamento è una parte dell'antivirus che controlla in real-time un programma in esecuzione alla ricerca di comportamenti sospetti. In tal caso potrebbe bloccare l'operazione corrente, terminare il programma sospetto o chiedere all'utente l'appropriata azione da eseguire.

Più in dettaglio, un monitor classifica le possibili operazioni in tre categorie:

1 le azioni permesse o anche chiamate positive detection 2 le azioni non permesse o anche chiamate negative

detection 3 una qualche combinazione delle due, esattamente come

avviene nel caso delle euristiche statiche. Questo per evitare falsi positivi, poiché una serie di azioni non permesse non indicano necessariamente la presenza di un virus.

Le azioni esaminate dal monitor non devono essere necessariamente prese in considerazione singolarmente ma possono essere raggruppate come una sequenza di istruzioni, classificate successivamente come sospette o meno. Per esempio, supponiamo di avere un eseguibile contenente le seguenti istruzioni:

open ... open ... read ... write ... read ... write ... read ... write ... close ... close ...

supponendo una finestra pari a 3 otterremo il seguente insieme di sequenze:



open open read open read write read write read write read write read write close write close close

Così come accade con le euristiche statiche, anche in questa caso si può sfruttare la conoscenza del comportamento di un virus per determinare quali potrebbero essere le sequenze sospette. Naturalmente la scelta della dimensione della finestra è un elemento chiave nel trovare il giusto compromesso tra accuratezza della rilevazione e velocità della stessa.

5.2.2. Emulazione

Il monitor visto sin ora permette di effettuare la rilevazione di un codice sospetto all'interno di una macchina reale. Al contrario, altre tecniche antivirus usano l'emulazione per controllare il comportamento di un malware all'interno di un ambiente virtuale, così da evitare eventuali danneggiamenti del sistema reale, rilevando comunque la natura maligna dell'eseguibile.

L'emulazione permette la raccolta dati usando due meccanismi principali:

• euristiche dinamiche – sono pressoché simili alle euristiche statiche ma differiscono nel modo di raccogliere le informazioni chiave riguardo l'eseguibile. In questo caso infatti le informazioni vengono raccolte in seguito all'emulazione del codice e successivamente elaborate prima dell'effettiva esecuzione nella macchina reale.

• decriptaggi generici – si occupano di rilevare i virus polimorfici. Il descriptor loop del virus polimorfo decripterà il corpo del malware all'interno del sistema virtuale in modo tale da metterlo in chiaro facilitando la sua rilevazione con i normali metodi di scanning.

Durante l'emulazione l'antivirus può contemporaneamente controllare la memoria virtuale alla ricerca di signatures già note, in maniera da integrare più meccanismi di rilevazione allo stesso tempo.



Concettualmente un emulatore è composto da 5 parti principali:

• emulatore della CPU, in grado di eseguire le istruzioni • emulatore della memoria, indispensabile per osservare il codice decriptato

• emulatore dell'hardware e del sistema operativo - per motivi di velocità e dimensione viene avviata una versione molto ridotta del sistema operativo con l'hardware minimo e indispensabile 1. controller dell'emulatore – si occupa di controllare

la corretta esecuzione del processo di emulazione, limitandone soprattutto la durata. Spesso infatti il codice eseguito durante l'emulazione richiede troppe risorse che vengono naturalmente sottratte alla macchina reale. In controller si avvale delle euristiche e delle altre tecniche viste in precedenza per portare a termine il suo compito.

2. analizzatori extra – si occupa di analizzare tutti i dati raccolti in seguito al processo di emulazione

5.3. Rilevazione tramite database Concettualmente un database di virus è un database contenente un record per ogni virus conosciuto. Ogni record rappresenta un identificatore univoco del malware e contiene le seguenti informazioni:

• un nome identificativo del malware da mostrare all'utente

• una stringa identificativa del malware • un insieme di istruzioni per la rimozione del malware

La regola chiave per un buon database è quello di essere sempre aggiornato. Ogni volta che viene scoperto un nuovo malware la casa produttrice dell'antivirus dovrebbe inserire il record relativo al nuovo malware e mettere a disposizione dell'utente l'aggiornamento.

Questo sistema però può portare a numerosi falle di sicurezza:

• la macchina server responsabile della distribuzione dell'aggiornamento potrebbe essere attaccata;

• il database aggiornato potrebbe essere compromesso prima che raggiunga gli utenti;



• la macchina dell'utente potrebbe essere compromessa in modo tale che scarichi l'aggiornamento dalla macchina di un attaccante piuttosto che dalla macchina server responsabile dell'aggiornamento.

• può essere montato un attacco “man-in-the-middle”: l'attaccante intercetta la comunicazione tra utente e server di distribuzione, usando il canale di comunicazione per modificare il legittimo aggiornamento

C'è anche il problema di cosa trasmettere nell'aggiornamento. Infatti la trasmissione dell'intero database aggiornato è poco fattibile per le sue grandi dimensioni e poiché le differenze tra la nuova e la vecchia versione non sono tante. Quindi i produttori di antivirus scelgono sempre di trasmetterne solo i cambiamenti (chiamati deltas) che vengono comunque compressi e talvolta anche criptati.

Il meccanismo di aggiornamento può a volte includere anche l'aggiornamento dell'engine (il motore interno dell'antivirus) per evitare bugs ed aggiungere nuove funzionalità per la rilevazione di nuovi malware.



6. I passi per l'eliminazione del malware Una volta che il malware è stato rilevato, l'immediato passo successivo è la sua rimozione che viene portata a termine attraverso i seguenti passi: verifica, quarantena e disinfezione.

6.1. Verifica Dopo il processo di rilevazione ogni antivirus effettua una verifica dell'effettiva infezione per evitare falsi positivi, errori di rilevazione o strane coincidenze relative alla sovrapposizione delle signatures. Inoltre la verifica viene anche utilizzata per identificare esattamente il virus, classificarlo accuratamente per poi inibire il suo comportamento maligno.

6.2. Quarantena Una volta verificata l'infezione, il software antivirus mette il file infetto in quarantena, isolandolo quindi dal resto del sistema. La quarantena è solo una misura temporanea fino al momento in cui l'utente non decida cosa fare del virus.

La quarantena viene implementata secondo i seguenti passi:

• il file infetto viene copiato in una cartella di “quarantena”;

• viene cancellata la copia originale del file infetto • vengono cambiati i permessi della copia in modo tale che non possa mai essere eseguito

• la cartella di quarantena e tutti i file in essa contenuti vengono criptati in modo tale che solo l'antivirus possa accedere a essi.

6.3. Disinfezione La disinfezione non significa necessariamente che un sistema infetto torni al suo stato originale, nonostante il processo abbia avuto esito positivo. In molti casi infatti, soprattuto quando si parla di virus overwriting, non è possibile ripristinare i contenuti originali.

Ogni antivirus può implementare il processo di disinfezione in modi differenti:



ripristinare i file infetti attraverso una copia di backup – il software antivirus può occuparsi di fare il backup dei dati periodicamente per poi ripristinarne i contenuti in seguito ad un'infezione. Questo metodo però è molto oneroso in termini di spazio sul disco e tempo necessario alla copia.

usare le specifiche sui virus – all'interno del database dei virus sono contenute una serie di informazioni riguardanti la corretta rimozione di ogni singolo virus. Inoltre alcuni virus hanno metodi di rimozione identici perciò è possibile usare routine condivise cambiandone solo i parametri di ingresso.

usare le specifiche sui comportamenti dei virus – piuttosto che utilizzare metodi personalizzati per ogni singolo virus, è possibile sfruttare la conoscenza dei comportamenti per usare dei metodi generici per la loro corretta rimozione. Un esempio di applicazione di tale tecnica è la rimozione dei virus prepending e appending. In questo caso infatti vengono subito ripristinate le intestazioni del programma originale e spostati i contenuti originali nelle apposite locazioni.

dÜ¾õ ô`Þ) Ò3c-õÝ ì(èí jcdü k ... - cad.polito.it · [email protected] ......

Documents