Sophos, Fase due: rientro a lavoro in sicurezza anche per dati e reti

I paesi di tutto il mondo stanno implementando misure per rallentare la diffusione del coronavirus, dalle quarantene nazionali alle chiusure delle scuole. Più di un terzo della popolazione del pianeta è soggetta a qualche forma di restrizione. Diversi paesi, come Spagna, Iran, Italia, Danimarca, Israele e Germania, che in precedenza imponevano determinate restrizioni stanno iniziando a revocare le misure di blocco, anche se i risultati sono contrastanti. Sia per ottemperare a un ordine locale di permanenza a casa che per seguire le linee guida di allontanamento sociale della sanità pubblica, molte aziende hanno inviato la propria forza lavoro a casa - al telelavoro.

Kingston, dati sensibili su drive USB: evitare data breach è possibile

L’attuale emergenza sanitaria causata dal coronavirus ha costretto moltissime aziende a ricorrere allo smart working, spesso senza esserne realmente preparate. In questo scenario, non vanno dimenticati i rischi a cui vengono esposti i dati sensibili che, con il lavoratore operativo da remoto, escono dai confini dell’azienda. Prendiamo il caso dei drive USB, che hanno rivoluzionato il trasferimento dei dati, diventando uno strumento di uso quotidiano per il consumatore e per le imprese. Grazie alla loro estrema comodità di trasporto possono essere infatti riposti ovunque e, insieme a loro, informazioni sensibili finiscono nei luoghi più impensabili: ne derivano gravi rischi per la sicurezza.

McAfee Labs: nel 2016 ransomware in crescita e attacchi a wearable

Intel® Security ha rilasciato il report "McAfee Labs: Previsioni sulle minacce del 2016", che indica quali saranno i principali sviluppi nel panorama delle minacce informatiche nel 2016 e ne prevede gli sviluppi fino al 2020, anticipando anche quale sarà la probabile risposta dei vendor di soluzioni per la sicurezza IT. Raccogliendo le opinioni e le riflessioni di ventuno esperti di Intel Security, il report esamina le implicazioni di tendenza a breve e lungo termine nel mondo della criminalità informatica e prevede quale sarà il comportamento delle organizzazioni che hanno necessità di stare al passo con le opportunità di business e la tecnologia, e dei criminali informatici che le prendono di mira.

Microsoft Patch day agosto: 14 aggiornamenti risolvono 58 problemi

Come parte del suo Patch Day di agosto, Microsoft ha rilasciato 14 bollettini di sicurezza, tre dei quali classificati con livello di gravità Critico e i restanti Importante, per affrontare 58 vulnerabilità in Windows 7 e 8.1, Windows Server, Internet Explorer e Office, tra gli altri. Il Patch Tuesday, contrariamente alle aspettative, è sopravvissuto dopo il rilascio degli aggiornamenti anche per il nuovo sistema operativo Windows 10. Il fatto che il 40% delle correzioni si applicano a Windows 10, rispetto al 60% di quelle applicate a Windows 8 nei primi due mesi di vita, suggerisce che Microsoft ha fatto un lavoro migliore con il nuovo OS.  Di seguito i bollettini sulla sicurezza di agosto in ordine di gravità.

Kroll Ontrack: tecnologia SSD sempre più utilizzata ma non infallibile

Secondo un recente sondaggio sull’utilizzo della tecnologia SSD (solid-state drive), Kroll Ontrack, fornitore leader nell’offerta di soluzioni e servizi di recupero dati, cancellazione sicura e computer forensics, ha rivelato che, mentre quasi il 90 percento degli intervistati sfrutta i vantaggi derivanti dalle prestazioni e dall’affidabilità di questa tecnologia all’interno della propria azienda, un terzo ha confermato di aver avuto problemi a causa del suo cattivo funzionamento. Di questi, il 61 percento ha avuto una perdita di dati, e meno del 20 percento sono riusciti a recuperarli, a conferma della nota complessità del recupero dati da SSD.

Equation Group: Kaspersky scopre spyware nascosto negli hard disk

Kaspersky Lab ha rivelato l’esistenza della più complessa operazione di infezione e spionaggio mai vista. Un’azione superiore a quella di qualsiasi altro gruppo hacker “in termini di complessità e sofisticatezza”. Per molti anni, il Global Research and Analysis Team (GReAT) di Kaspersky Lab ha attentamente monitorato più di 60 gruppi criminali responsabili di attacchi informatici in tutto il mondo. Gli esperti del GReAT team e hanno potuto osservare gli attacchi diventare sempre più complessi grazie all’entrata in gioco di Stati-nazione che hanno tentato di armarsi con strumenti molto avanzati.

McAfee: come difendersi dalle 12 truffe più comuni durante il Natale

Le minacce alla sicurezza aumentano durante il periodo natalizio, appena più consumatori condividono le loro informazioni personali online attraverso i loro dispositivi. McAfee, parte di Intel Security, ha annunciato la sua lista annuale delle "12 truffe delle festività" per educare il pubblico sui modi più popolari utilizzati dai cybercriminali per ingannare i consumatori durante le festività natalizie. I criminali informatici sfruttano tutte le tipologie di dispositivi digitali, piattaforme social media e app mobile per approfittare della distrazione dei consumatori in questo momento di festa e affollato dell'anno. Questo autunno, le vendite commerciali festive dovrebbero salire rispetto allo scorso anno a una cifra stimata di 616,9 miliardi di dollari*.

Kaspersky Lab/ lo spam a ottobre: Babbo Natale, truffe ed esoterismo

Secondo l'ultimo spam report di Kaspersky Lab, durante il mese di ottobre gli spammer hanno utilizzato il tema delle vacanze, il nome di noti fornitori di servizi di telecomunicazioni e le notizie riguardanti il conflitto in Siria. Sono state, inoltre, individuate offerte per servizi di esoterismo, come incantesimi d’amore. E’ stato anche rilevato un aumento del 6,6% nelle e-mail indesiderate e nel malware, che nel mese di ottobre ha costituito il 72,5% del traffico mondiale di posta elettronica. 

Il Trojan fraudolento rimane il programma nocivo più diffuso attraverso l’e-mail. Questo Trojan imita una pagina HTML di phishing e la distribuisce via e-mail, utilizzando notifiche simili a quelle inviate dalle principali banche, negozi e altri servizi online. Una volta che gli utenti si imbattono nel sito, sono portati ad inserire le proprie credenziali, che vengono immediatamente inoltrate ai truffatori, mettendo a rischio le informazioni personali delle vittime. 

Il Trojan Fareit, un programma nocivo progettato per rubare i dati di login e le password dai computer infetti, si è posizionato al secondo posto nella classifica di ottobre, mentre Bagle ha guadagnato il terzo posto. Come la maggior parte dei worm di posta (virus stealth), si auto riproduce e si diffonde a tutti gli indirizzi presenti nella rubrica della vittima ed è in grado di scaricare altri programmi nocivi sul computer infetto, senza che la vittima ne sia consapevole. 

Per distribuire i programmi dannosi, i truffatori utilizzano sempre più i nomi delle più note aziende di telecomunicazioni. Nel mese di settembre, hanno utilizzato il nome della britannica BT Group per distribuire il Trojan downloader Dofoil. Ad ottobre, hanno colpito l’operatore di telecomunicazioni nazionale canadese. Un archivio ZIP allegato conteneva il Trojan Zbot, un programma nocivo progettato per rubare le credenziali bancarie degli utenti. I criminali informatici utilizzano le tecnologie rootkit che permettono loro di nascondere al sistema i propri file e i processi eseguibili (ma non ai programmi antivirus). 

Tatyana Shcherbakova, Senior Spam Analyst di Kaspersky Lab, ha commentato: “In molti casi l’invio di spam di massa con un allegato nocivo ha come obiettivo i dati personali degli utenti. I truffatori sono alla ricerca di metodi sempre nuovi per ingannare gli utenti e stanno espandendo costantemente la lista di nomi di aziende per mettere in atto le loro truffe. Gli utenti dovrebbero essere molto cauti con qualsiasi email che contenga un allegato eseguibile .exe o un archivio ZIP. I contenuti delle email devono essere sempre analizzati. Ogni volta che viene chiesto di aprire un allegato, bisognerebbe prestare molta attenzione e scansionare l'allegato con l'aiuto di un programma antivirus”. 

Durante il mese di ottobre, Kaspersky ha registrato mailing di spam che offrivano alcuni servizi inusuali: formule magiche e incantesimi d’amore. Ma mentre chi offriva servizi esoterici era più fantasioso, i produttori di chiavette USB a forma di Babbo Natale erano a corto di idee: gli spammer hanno utilizzato la stessa formula dello scorso anno, cambiando solo la provenienza nel campo “From” e aggiungendo il link che reindirizzava a nuovi siti. 

La grave situazione in Siria è stata attivamente sfruttata dagli spammer per diffondere le truffe attraverso le “lettere nigeriane”. Nel mese di ottobre, abbiamo continuato a registrare nuovi esempi di email fraudolente. Ad esempio, in un mailing di massa un fantomatico membro del gruppo “Missione per la pace” in Siria sperava in una relazione con il destinatario della email. Di fronte a questo innocente tentativo di amicizia, dopo aver guadagnato la fiducia della vittima, il “nuovo amico” veniva subito colpito da un problema che solo un trasferimento di denaro poteva risolvere. 

L’Asia (56,4%) è rimasta il paese leader nella classifica delle fonti di spam nel mese di ottobre, nonostante un lieve calo dell’attività da parte degli spammer (-2,4 punti percentuali). Il Nord America si è posizionato al secondo posto dopo aver distribuito il 19% dello spam globale. Nel frattempo la quota dell’Europa dell’Est è salita di 3,8 punti percentuali, con una media del 16% e arrivando alla terza posizione. Il Trojan-Spy.html.Fraud.gen è rimasto il programma maligno più diffuso. 

Fraud.gen appartiene ad una famiglia di programmi Trojan che utilizzano la tecnologia spoofing: questi Trojan imitano pagine HTML e vengono distribuiti via e-mail, apparendo sotto forma di notifiche dalle principali banche commerciali, e-store, servizi vari, ecc. Il Trojan-PSW.Win32.Fareit.amdp è arrivato al 2° posto nella valutazione. Questo programma maligno è progettato per rubare login e password da computer compromessi. Esso non registra battute, ma una volta eseguito guarda attraverso il registro e i file di sistema per la memorizzazione di dati riservati.

Email-Worm.Win32.Bagle.gt è arrivato al 3° posto. Questo worm di posta elettronica è un file eseguibile distribuito sotto forma di allegati e-mail. Come la maggior parte worm di posta elettronica si auto-prolifera a gli indirizzi nella rubrica della vittima. Può anche scaricare altri programmi dannosi su un computer a insaputa dell'utente. Per diffondere messaggi dannosi, Email-Worm.Win32.Bagle.gt utilizza la propria libreria SMTP. 

Nel mese di ottobre, la percentuale di email phishing nel traffico di spam globale ha rappresentato lo 0,027%.Questa classificazione si basa sulle rilevazioni dei componenti anti-phishing di Kaspersky Lab, che vengono attivati ​​ogni volta che un utente tenta di cliccare su un link di phishing, indipendentemente dal fatto che il collegamento è in una mail di spam o su una pagina web. Gli obiettivi più attraenti per gli attacchi di phishing non variano in modo significativo rispetto al mese precedente. 

I siti di social networking hanno continuato ad essere in cima alla lista con il 28,2%. La Top 3 comprende anche Email e Instant Messaging Services (18,9%, in crescita di 0,8 punti percentuali) e motori di ricerca (16,1%, in crescita di 0,9 punti percentuali). La percentuale di servizi finanziari ed E-pay (15,4%) è aumentata di 0,5 punti percentuali, mantenendo questa categoria al 4° posto. La versione completa dello spam report per il mese di ottobre 2013 è disponibile su http://www.securelist.com/en/analysis/204792313/Spam_in_October_2013

Cybercrimine: Stuxnet e Flame sono collegati, lo dimostra Kaspersky Lab

La scoperta del malware Flame a maggio 2012 ha portato alla luce l’arma informatica più complessa conosciuta fino ad oggi. Al momento della scoperta, non vi erano prove evidenti del fatto che Flame fosse stato sviluppato dallo stesso team che aveva creato Stuxnet e Duqu. La tipologia dello sviluppo di Flame, inoltre, era diverso rispetto a Duqu e Stuxnet e questo ha portato alla conclusione che questi fossero stati creati da team separati. Tuttavia, in seguito ad un’analisi più approfondita condotta dagli esperti di Kaspersky Lab, è emerso che i team hanno collaborato almeno una volta durante le prime fasi di sviluppo.

In breve

• Kaspersky Lab ha scoperto che un modulo presente nella prima versione di Stuxnet del 2009, noto come “Resource 207”, era in realtà un plugin Flame. 
• Questo significa che quando il worm Stuxnet è stato creato all’inizio del 2009, la piattaforma Flame esisteva già e che nel 2009 il codice sorgente di almeno uno dei moduli di Flame era stato usato per Stuxnet. 
• Questo modulo veniva impiegato per trasmettere l’infezione tramite le porte USB. Il codice dell’infezione tramite USB è utilizzato per Flame e Stuxnet. 
• Il modulo di Flame presente in Stuxnet ha sfruttato una vulnerabilità che in quel periodo era ancora sconosciuta, che ha consentito un’escalation di privilegi, presumibilmente MS09-025. 
• Successivamente, il modulo di plugin di Flame è stato rimosso da Stuxnet nel 2010 e sostituito da una serie di moduli diversi che sfruttano nuove vulnerabilità. 
• A partire dal 2010, i due team hanno lavorato in maniera indipendente, anche se forse hanno collaborato attraverso uno scambio di know-how relativo alle nuove vulnerabilità degli "zero-day".

Background

Stuxnet è stata la prima arma informatica a colpire gli impianti industriali. Il fatto che Stuxnet abbia infettato anche i normali PC in tutto il mondo ha permesso la sua scoperta nel giugno 2010, sebbene la prima versione del noto programma nocivo fosse già stata creata un anno prima. La seconda arma informatica, che oggi conosciamo come Duqu è stata creata nel settembre 2011. A differenza di Stuxnet, il compito principale del Trojan Duqu era quello di funzionare come backdoor del sistema infetto e sottrarre informazioni private (spionaggio informatico).

Durante l’analisi di Duqu, sono state evidenziate forti analogie con Stuxnet e questo rivela che le due armi informatiche sono state create utilizzando la stessa piattaforma conosciuta con il nome di “Tilded Platform”. Il nome deriva da una preferenza degli sviluppatori del malware per il filename del modulo “~d*.*”, quindi “Tilde-d”. Il malware Flame, scoperto nel maggio 2012 in seguito ad un’indagine commissionata dall’International Communications Union (ITU) e condotta da Kaspersky Lab, è risultato del tutto differente a prima vista.

Alcune caratteristiche, come la dimensione del programma nocivo, l’utilizzo del linguaggio di programmazione LUA e le diverse funzionalità, indicavano che Flame non era collegato agli sviluppatori di Duqu e Stuxnet. Tuttavia, i nuovi dati che sono emersi riscrivono la storia di Stuxnet e non c’è alcun dubbio che la piattaforma “Tiled” sia collegata con quella di Flame.

Nuove scoperte

La prima versione di Stuxnet, che si presume sia stata creata nel giugno 2009, conteneva uno speciale modulo noto come “Resource 207”. Nella successiva versione del 2010 di Stuxnet questo modulo era stato completamente rimosso. Il modulo “Resource 207” è un file DDL crittografato che contiene un file eseguibile la cui dimensione è di 351.678 byte nominato “atmpsvcn.ocx”.

Questo particolare file, come è emerso dall’indagine condotta da Kaspersky Lab, ha molto in comune con il codice utilizzato per Flame. L'elenco delle similitudini comprende un nome esclusivo per ogni oggetto, l’algoritmo impiegato per decriptare le stringhe e un approccio simile adottato per nominare il file.

Inoltre, molte sezioni del codice appaiono identiche o simili al modulo di Stuxnet e Flame rispettivamente e questo porta alla conclusione che ci sia stato uno scambio tra il team di Flame e quello di Duqu/Stuxnet sotto forma di un codice sorgente (non in forma binaria). La principale funzionalità del modulo “Resource 207” di Stuxnet era di trasferire l’infezione da una macchina all’altra, utilizzando drive USB removibili e sfruttando le vulnerabilità nel kernel di Windows per ottenere un’elevazione dei privilegi all’interno del sistema.

Il codice responsabile della distribuzione del malware attarverso i drive USB removibili è identico a quello utilizzato da Flame. Alexander Gostev, Chief Security Expert, Kaspersky Lab ha commentato: “Nonostante le recenti scoperte, siamo certi che Flame e Tilded siano due piattaforme del tutto diverse, utilizzate per sviluppare nuove armi informatiche. Queste hanno un’architettura diversa caratterizzata da vari componenti utilizzati per infettare i sistemi ed eseguire attività fondamentali”.

“I progetti sono separati e indipendenti uno dall’altro. Tuttavia, i nuovi risultati dimostrano che i team di sviluppo hanno condiviso il codice sorgente di almeno un modulo nelle prime fasi di sviluppo e questo prova che i team hanno collaborato almeno una volta. Ciò che abbiamo scoperto è la prova evidente che le armi informatiche Stuxnet/Duqu e Flame sono collegate”. Per ulteriori informazioni: Securelist.com. Per avere maggiori informazioni sul malware Flame: Flame FAQ.

Symantec: Internet Security Threat Report Vol 17, attacchi in aumento

Symantec Corp. (Nasdaq: SYMC) ha annunciato i risultati del suo Internet Security Threat Report - Volume 17, da cui emerge che mentre il numero di vulnerabilità è diminuito del 20 per cento, il numero di attacchi dannosi è continuato a salire all'81 per cento. Inoltre, la relazione sottolinea che gli avanzati attacchi mirati si stanno diffondendo a organizzazioni di tutte le dimensioni e la varietà del personale, le violazioni dei dati stanno aumentando, e che gli aggressori si stanno concentrando sulle minacce mobili.

Virus sul Pc: come comportarsi e dove recarsi nel caso di infezione

Uno degli incubi più comuni tra i possessori di computer e i responsabili delle reti informatiche aziendali sono i virus. Questi software malintenzionati possono essere dannosi per il computer in modo evidente, ma possono anche rimanere ospiti dal nostro pc utilizzando le nostre risorse (RAM e spazio sull’hard disk) per riprodursi, obbligandoci a recarci presso centri di assistenza tecnica computer davanti all’impossibilità di identificare il problema che sta, ad esempio, rallentando il nostro pc. Altri sintomi che un computer può essere infettato è l’apertura in automatico di programmi o elementi pop up non identificabili, cambiamenti nelle dimensioni dei file o difficoltà nell’accendere il dispositivo.

AVG: crimine informatico in aumento e più complesso, nuovi scenari

Dal nuovo Report il problema risiede nel “wetware”, vale a dire nel rapporto tra l’essere umano e le tecnologie. Per il futuro scenari inquietanti. A rischio la generazione Y. Commissionato dalla società di sicurezza Internet AVG Technologies, un nuovo Report rivela che il fenomeno globale del crimine informatico è in aumento, diventando sempre più complesso. Ciò è dovuto dal comportamento sorprendentemente compiacente dei giovani utenti che, così facendo, mettono a repentaglio la propria sicurezza. AVG ipotizza 5 scenari legati al cybercrime.

Dispositivi removibili i principali portatori di malware

Le reali minacce alla sicurezza informatica, quelle che più allarmano le piccole e medie aziende italiane ed i loro dipendenti, non vengono dagli hacker ma da fattori interni, quali chiavette Usb, notebook e dispositivi removibili di uso più comune, all’interno dei quali possono annidarsi e proliferare aggressivi software maligni o virus.

In sostanza il pericolo viene da dentro l’azienda e dai suoi collaboratori più che dal mondo esterno. A sostenerlo è oltre la metà dei quasi 700 intervistati da eBiz Italia nel quadro di un sondaggio realizzato lo scorso ottobre in collaborazione con Norman, multinazionale norvegese del settore. Nella ricerca di Norman, su un campione di 700 aziende intervistate, è risultato che “nella scelta un prodotto per la protezione dei Pc e delle reti aziendali il 59% degli interpellati giudica fondamentale la presenza di funzionalità di difesa dai malware e dalle altre minacce sempre più frequentemente celate nei device removibili collegati come ospiti”. La scelta di una soluzione firewall a integrazione dei sistemi antivirus di ambito business è considerata determinante dal 67% del campione e che solamente il 37% è preoccupato da eventuali intrusioni da parte di hacker. Le figure business di casa nostra assegnano un ruolo essenziale alla difesa dei sistemi informatici e delle reti aziendali. Per il 55% delle società coinvolte, il propagarsi di un virus o un attacco informatico causerebbe danni economici incalcolabili. E per un eclatante 43% un blocco dei pc significherebbe addirittura l’interruzione di qualunque attività lavorativa. Le imprese italiane, e in modo particolare quelle con massimo di 50 addetti che costituiscono il 67% del campione, vogliono essere sempre connesse e ritengono la velocità operativa un bene prezioso. Ancora in una scala di giudizi da uno a cinque, il punteggio più elevato (4-5) è attribuito al basso impatto sulle risorse di sistema da parte delle soluzioni antivirus; alla chiarezza delle interfacce; ai costi ragionevoli di acquisto e mantenimento; ai servizi di assistenza.

Un adeguato supporto tecnico post vendita è in testa alla lista dei desideri per il 65% del campione, dato parzialmente confermato da quel 21% che si dice disposto a cambiare l’antivirus già in uso qualora l’assistenza si rivelasse al di sotto delle aspettative. Una descrizione esaustiva delle caratteristiche dei prodotti prima dell’acquisto è decisiva per il 48% degli interpellati ed è probabilmente anche per questa ragione che solo il 10% sceglie di fare acquisti presso le catene della grande distribuzione. Il 66% accorda le sue preferenze ai negozi specializzati; ai fornitori hardware e software abituali, ai consulenti. Oppure si rivolge direttamente al sito del produttore (44%) o ad altre vetrine di e-commerce (17%).  La sensazione, soprattutto per chi lavora nei dipartimenti IT, è che molto del tempo e del denaro investito a proteggere le risorse aziendali, viene speso quasi tutto localmente, sia in deployment che in formazione, dovendo tenere il passo con tutte le nuove interazioni che il singolo utente di rete mette in campo giorno dopo giorno. Norman ASA, fondata in Norvegia Oslo nel 1984, è leader mondiale e pioniere nelle soluzioni di sicurezza proattive contenuti e strumenti di malware forensics. Milioni di utenti si affidano alle soluzioni di Norman, come la sicurezza di rete, soluzioni per la protezione degli endpoint e strumenti di analisi di malware, per proteggere i loro valori. Norman offre una tecnologia proattiva antimalware utilizzata all'interno dei suoi prodotti di sicurezza ed è alimentata dalla tecnologia brevettata, Norman SandBox ®. Per chi volesse effettuare una verifica del proprio sistema, può utilizzare il tool gratuito di scansione e rimozione malware, messo a disposizione da Norman Security.

Via: http://www.lineaedppmi.it/

Rootkit eseguiti dai collegamenti .lnk nei sistemi Microsoft Windows

I ricercatori di VirusBlokAda, società bielorussa di sicurezza, hanno individuato da alcuni giorni una nuova, significativa minaccia all'integrità dei sistemi Windows. Dal comunicato di VirusBlokAda e successivo approfondimento emerge una nuova debolezza scoperta nei sistemi Windows che può essere sfruttata per compromettere un PC in modo quasi del tutto automatico. In sostanza  vi sono in circolazione due malware, Trojan-Spy.0485 e Malware-Cryptor.Win32.Inject.gen.2, che fanno leva su un nuovo difetto nella gestione dei collegamenti di Windows (file con estensione .lnk) per eseguirsi automaticamente non appena la vittima apre la cartella nella quale i programmi sono memorizzati.

La vulnerabilità è sfruttata da chiavetta USB per lanciare i software malevoli in maniera pressochè automatica non appena il dispositivo venisse collegato al PC della vittima, senza bisogno di impiegare il file autorun.inf. Questo fa sì che il meccanismo possa funzionare anche su Windows 7: su tale piattaforma infatti, Microsoft ha disabilitato l'esecuzione automatica dei programmi da memoria USB proprio per contrastare questo tipo di abusi.  «È sufficiente aprire un dispositivo di memorizzazione USB tramite Windows Explorer o un altro file manager in grado di visualizzare icone per infettare il sistema operativo e permettere l'esecuzione del malware», ha spiegato VirusBlokAda.

I malware in esame installano due driver malevoli, mrxnet.sys e mrxcls.sys. Il primo lavora come autista-filtro del file system e il secondo da iniettore di codice maligno. Entrambi i file sono posti in %SystemRoot%\System32\drivers. Una volta "dentro", tali software agiscono come un rootkit: alterano cioè le funzioni di visualizzazione della shell per rendere del tutto invisibili i file che costituiscono i virus veri e propri. Questi vengono rilevati da VirusBlokAda come Rootkit.TmpHider e SScope.Rookit.TmpHider.2.

Il risultato è che, impiegando un PC compromesso, non sembra esservi alcuna traccia di contaminazione nella memoria USB infetta. F-Secure ritiene che questo malware sia stato progettato per lo spionaggio industriale. Tramite il Security Advisory 2286198, Microsoft ha riconosciuto formalmente l'esistenza del difetto in questione. Il problema è presente sia nelle declinazioni a 32 bit (x86), sia quelle a 64 bit (x64).

Il colosso di Redmond sostiene che, al momento, siano stati segnalati solamente un numero limitato di attacchi portati verso bersagli ben precisi. Sono afflitti dal baco tutti i sistemi operativi ancora supportati: sia Windows XP, Windows Vista e Windows 7 (comprese quelle installazioni dotate della compilazione beta di SP1) per quanto riguarda la linea workstation, sia le rispettive controparti Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2. Chester Wisniewski di Sophos ha realizzato un interessante video che mostra il funzionamento dell'aggressione: il risultato è l'installazione automatica del rootkit su Windows 7.

Un aspetto curioso della vicenda è costituito dalla firma digitale con la quale sono suggellati i driver del rootkit: il certificato appartiene infatti al colosso Realtek Semiconductor Corp., la stessa azienda che produce, fra le altre, anche la maggior parte delle schede audio integrate sulle schede madri in circolazione. In attesa di chiarimenti da parte della multinazionale, la spiegazione più plausibile è che i cracker siano riusciti a sottrarre la chiave privata di Realtek portando in precedenza un attacco mirato.

VirusBlokAda ha contattato sia Microsoft, sia Realtek da alcune settimane, ma non ha ancora ottenuto una replica. È comunque altamente probabile che entrambi i colossi abbiano già avviato le relative indagini. Il procedimento, con tutta probabilità, culminerà con la pubblicazione di una patch per Windows forse già anche contestualmente all'appuntamento di sicurezza mensile del prossimo 10 agosto. Attraverso il programma antirootkit Gmer è possibile visualizzare i processi coinvolti.

In attesa di un aggiornamento che possa risolvere la situazione in profondità, la raccomandazione è quella di mantenere sempre ben aggiornato l'antivirus. Stando alle testimonianze raccolte in rete, i principali produttori hanno hanno già pubblicato definizioni aggiornate per i propri prodotti in grado di bloccare i malware segnalati da VirusBlokAda. Microsoft consiglia di disabilitare completamente la visualizzazione delle icone associate ai collegamenti. Frattanto, è consigliabile anche evitare, per quanto possibile, di collegare al sistema memorie esterne di proprietà altrui. Chi invece temesse di essere già stato compromesso, può eseguire una scansione con un programma come Malwarebytes' Antimalware: il software è infatti già in grado di identificare e rimuovere il rootkit. Link: Megalab, Softpedia, F-Secure Pdf