Virus informatici

Transcript

1. Virus Informatici Di Luca Suriano, matricola 125586 Introduzione Da un dizionario della lingua Italiana la definizione di virus è la seguente: “Dal latino [vir-us | veleno] - Agente infettivo submicroscopico formato da un rivestimento proteico contenente una molecola di acido nucleico, parassita dell'uomo, degli animali e delle piante, che si riproduce solo nella cellula ospite in cui versa il proprio contenuto tossico determinando l'insorgere della malattia” La seconda parte della definizione si adatta alla perfezione anche ad un virus informatico, esso infatti teoricamente è simile ad un virus biologico: si tratta per lo più di un programma di dimensioni molto ridotte – nell'ordine dei Kb se se non di byte -, contenente una sequenza di istruzioni, alcune delle quali deputate alla replicazione dell'intero programma; da notare che talvolta un virus può essere composto da una semplice stringa prodotta in un qualsivoglia linguaggio di programmazione. Dopo una fase iniziale "riproduttiva", i virus informatici iniziano a svolgere attività per le quali sono stati creati, ossia ostruzionismo e talvolta distruzione; così come i virus biologici, sono pericolosi per la tendenza che hanno di produrre “epidemie”, infatti si diffondono tramite il trasferimento di file infetti da un computer ad un altro e, cosa ancor più grave, possono attaccare computer collegati fra loro in rete. Nota storica: Il primo virus fu sviluppato nel novembre del 1983 da uno studente dell'USC Fred Cohen, con fini dimostrativi, nell'ambito di una ricerca finanziata da una delle principali società costruttrici di computer ed inserita in un più generale progetto di studio della sicurezza dei sistemi informativi. L'obiettivo della ricerca era di dimostrare come le possibilità di un attacco al patrimonio informativo di un'azienda non fossero limitate a quelle tradizionalmente prese in esame negli studi sulla sicurezza fino ad allora svolti; tali studi avevano incentrato la loro attenzione sull'attacco fisico, sulla conoscenza illegittima di password e su modifiche ai programmi effettuate da personale interno alle aziende. Classificazione dei virus • Floppy boot e mbr virus: infettano un particolare settore dei dischi, quello iniziale, di avvio. Nei dischetti tale settore contiene il codice che visualizza il famoso messaggio: "Disco non di avvio / Sostituire il disco e premere un tasto". Nel disco rigido invece si parla di Master Boot Record - record di avviamento principale - meglio conosciuto come MBR. Possono controllare "l'indice" di tutto il computer, fornendo informazioni ingannevoli sul contenuto del disco fisso fino a cancellarlo. Vengono eseguiti nello stesso istante in cui il computer viene acceso, per cui difficilmente rilevabili da un antivirus. Furono i primi virus ad essere creati ed a diffondersi rapidamente, oggi in fase di estizione. Luca Suriano, matricola 125586 - Pag. 1 di 6
2. Virus noti: Form, PingPong, Stoned, AntiEXE, NYB-B1, DiskKiller, Michelangelo; • Virus polimorfico; si replica producendo cloni mai uguali a se stesso, dopodichè tenta di sfuggire celandosi dietro questa imprevista e sempre nuova forma; • DOS-exec file virus; Sono i più diffusi e mirano ad attaccare tutti i file eseguibili: .exe, .bat, .com, .byn, etc. Si "attaccano" ad uno di questi file, sovrascrivono gli ultimi byte e quando il file infetto viene eseguito esso si installa residente in memoria. Da questo momento è pronto ad infettare a sua volta tutti i programmi che vengono eseguiti, diffondendosi e rendendo gli altri file a loro volta veicoli di riproduzione. Un antivirus può facilmente debellarlo, ma occorre reinstallare il programma poichè i file eseguibili del programma comunque sono stati scritti nuovamente o nella prima o nell'ultima parte. Oggi in via di estinzione. Virus famosi: November 17, Jerusalem, Ontario, Vienna; • Virus stealth; Sono progettati per non essere riconosciuti neanche dagli antivirus, arrecano danno senza – quasi - una possibilità di difesa. Quando un virus è attivo in memoria, può interferire col sistema operativo e può farlo anche "bene". La simbiosi può essere tale che il parassita prende il controllo totale su alcune funzioni base del DOS. Tra le cose che un virus può fare, rientra la capacità di far apparire tutto normale, cioè nascondere tutti i sintomi e i segnali di allarme che potrebbero farlo individuare. Questa tecnica è detta "stealth" ed esistono alcune varianti: * mbr stealth - Un virus che infetta l'MBR, salva una copia del vecchio master boot record prima di sostituirlo con il codice virale. Quando un antivirus va a leggere l'MBR, il parassita intercetta la lettura e restituisce la copia originale salvata, mascherando l'infezione presente; * size hiding - Se un virus “x” dal peso di 100 bytes, tutti i files infetti avranno la loro dimensione maggiorata di 100 bytes. Un virus può intercettare il comando "DIR" e sottrarre il valore 100 alla dimensione dei file infetti, facendoli sembrare non infetti all'output del comando; * clean on-the-fly - Il virus può intercettare tutte le operazioni di lettura sui files e modificarne l'output. Se ad esempio un programma prova a leggere un file infetto, il virus, attivo in memoria, intercetta l'operazione e ripulisce il file prima della lettura, rendendolo trasparente al controllo. Una volta finita l'operazione, il virus re-infetta il file; • Virus TSR; Categoria più complessa di virus, poichè resta attiva, di nascosto, all'interno del sistema operativo, sostituendo parti di esso. I virus TSR “Terminate and Stay Resident” riservano una porzione di memoria per sè stessi - solitamente memoria alta - o sfruttano dei buchi Luca Suriano, matricola 125586 - Pag. 2 di 6
3. di RAM non usati dal DOS dove potersi copiare, quindi acquistano una priorità maggiore rispetto al sistema operativo stesso per alcune operazioni "a rischio" come apertura di un file, esecuzione di un file, rename, attrib, accesso a un dischetto, etc. Ognuna di queste operazioni può essere intercettata dal parassita che prima di eseguire la vera procedura, infetta l'oggetto in uso (file o dischetto); • Macro virus; La moda del momento, scritti in VBA “Visual Basic for Application”, sono virus multipiattaforma - possono funzionare sia su sistemi Windows sia su Macintosh - in quanto non dipendono dal sistema operativo ma da una particolare applicazione che consente l'uso di macro, cioè di comandi automatici. Sfrutta la capacità di alcuni programmi come Microsoft Word/Excel di eseguire "macroistruzioni", trasformando un normale testo – che normalmente non potrebbe contenere virus, poiché esso è un programma che deve essere eseguito mentre i testi non sono interpretati dal computer ma letti dall'utente - in un veicolo di azioni dannose, scopo principe dei virus. Questi virus possono infettare solamente se vengono aperti (eseguiti); al momento le difese consistono nel dotarsi di un buon antivirus aggiornato, oppure scaricarsi la patch che la Microsoft mette a disposizione sul proprio sito. Virus famosi: Concept, Wazzu, Laroux, Alliance. Il caso più eclatante è stato il virus “Melissa”, che a Gennaio 1999 ha infettato centinaia di migliaia di computer in tutto il mondo; trattasi di un macro virus che invia una mail "infettante" a tutte le persone presenti nella rubrica di indirizzi personali di un utente colpito dal virus. • Virus ad azione diretta; Hanno questo nome poiché agiscono direttamente infettando i file delle directory. Ogni volta che un programma infetto viene eseguito, il virus esegue una scansione dei file presenti nella directory corrente alla ricerca di possibili vittime. Una volta trovato un "ospite", il virus lo contagia e quindi passa ad eseguire il programma originale per non destare i sospetti dell'utente; • Java /ActiveX; nuova tipologia di virus, ancora poco diffusa ma che presto diventerà una realtà. L'infezione avviene navigando in siti web infetti. Le potenzialità distruttive di questi virus sono immense. • Worms; Concetto più avanzato, si può definire come un virus che viaggia e si riproduce lungo le reti; il più noto storicamente è il worm di Robert Morris jr., giovane americano, che negli anni '80 riuscì a mandare in tilt migliaia di computer a causa di una replicazione incontrollata del suo “verme”, che sfruttava un vecchio bug di “Sendmail” - noto Mail Server scritto per Sistemi Operativi Unix like. Oggi non esistono ancora worm perfezionati a tal punto da propagarsi così rapidamente, questo anche a causa dei numerosi e diversi sistemi presenti su Internet; Luca Suriano, matricola 125586 - Pag. 3 di 6
4. • Trojans; Un trojan horse non è propriamente un virus, ma un programma distruttivo pronto ad esplodere, nel senso che lo scopo del virus, ad esempio, è tentare di restare nascosto il piu possibile e di replicarsi, il fine ultimo del cavallo di troia, invece, è di danneggiare esplicitamente un sistema. Sono denominati Trojan horse perchè di solito vengono distribuiti sotto mentite spoglie – palese è la metafora con il celeberrimo cavallo di Troia progettato da Ulisse per entrare furtivamente nella città di Troia. In sostanza sfruttano un programma apparentemente innocuo che li veicoli all'interno del computer da infettare; nna volta entrati, un virus ben più subdolo prende possesso del computer per i suoi scopi negativi. Esempi di questo tipo di famiglia sono il Back Orifice ed il NetBus , che vengono diffusi attraverso le Chat Line o le e-mail. Questi troians rendono il computer controllabile da remoto. I virus di prima generazione - ovvero il decennio successivo al 1983 - erano in grado di diffondersi, autoreplicandosi per mezzo degli stessi programmi che inquinavano, attaccando soltanto i file eseguibili, attualmente invece sono in grado di inquinare molti altri tipi di file, infatti sono capaci: • di procedere alla sotituzione di istruzioni del BIOS caricate in RAM; • di diffondersi attraverso gli stessi supporti fisici contenuti nel PC; • di danneggiare fisicamente, persino l'hardware. I programmi antivirus riuscirono a contrastare tale tipo di infezione definendo al loro interno delle "librerie" contenenti stringhe - sequenze di caratteri scrittie in un qualsivoglia linguaggio di programmazione - di riconoscimento per i diversi virus; tali stringhe si riferivano ad alcune sequenze di istruzioni caratteristiche dei vari virus che via via venivano scoperti, in tal modo gli antivirus potevano neutralizzare l'infezione, ma era necessario il loro continuo aggiornamento allo scopo di ampliare il contenuto delle librerie. Bisogna prestare particolare attenzione ai macro virus poiché si possono trasmettere facilmente mediante lo scambio di files di tipo "documento", anche fra sistemi operativi diversi - MacOS/X e DOS/Windows, UNIX. Questi virus si (auto)pongono in memoria allorquando viene caricato il documento infetto che li contiene, dopodichè, quando vengono compiute determinate operazioni - salvataggio automatico, ricerca e sostituzione di parti di testo e quant'altro - prendono il controllo del programma in questione, in barba ad eventuali antivirus che non possono - e non debbono - interferire con le normali attività del programma. Così può capitare che al momento del salvataggio finale, sparisca dal disco fisso un'intera directory per effetto di un ordine di cancellazione - perfettamente lecito dal punto di vista funzionale - impartito dal virus stesso.; Ovviamente il file infetto trasmetterà l'infezione a qualunque altro documento Luca Suriano, matricola 125586 - Pag. 4 di 6
5. dello stesso tipo aperto durante la medesima sessione di lavoro. Leggi in materia Negli ultimi trent’anni le tecnologie informatiche e telematiche hanno conosciuto un’evoluzione senza eguali rispetto a quella di tutti gli altri settori della società civile ed industriale. Alla diffusione commerciale dei computer o sistemi informatici per uso privato, dalla fine degli anni ’80 in poi, si è accompagnato un sempre più crescente sviluppo delle reti informatiche e telematiche, che ha visto l’apice con la propagazione a livello mondiale della rete Internet, detta anche “la Rete delle reti”, che ha prodotto e sta producendo tutt'ora enormi cambiamenti nelle dinamiche dei rapporti umani a livello tecnologico, culturale, sociale, e giuridico. Tuttavia, contestualmente all’evoluzione di tali tecnologie, si è avuta la nascita e la proliferazione di molte e nuove forme di reato e di aggressione criminosa, talvolta commesse per mezzo di sistemi informatici e telematici, talaltra contro i medesimi, intesi non più come strumenti per compiere tali reati, ma come oggetti materiali di questi ultimi. Di fronte a questa capillare diffusione di nuove figure di reato, gli ordinamenti giuridici, data la complessità dei problemi tecnici e giuridici da fronteggiare, hanno fatto molta fatica ad adeguare le loro legislazioni alle nuove condotte criminose correlate all’evoluzione delle tecnologie informatiche, anche se, in definitiva, non si sono fatti trovare del tutto impreparati e, a cominciare da quelli angloamericani fino a quello italiano, hanno disciplinato la materia secondo i princìpi dei rispettivi sistemi giuridici e penali. La legge n. 547 del 23 dicembre 1993, in linea con le direttive comunitarie, ha modificato il codice penale ed il codice di procedura penale introducendo nuovi articoli in tema di reati informatici. In particolare l'art. 635 quinquies del codice penale "Diffusione di programmi diretti a danneggiare o interrompere un sistema informatico", aggiunto dalla citata legge, recita: “Chiunque diffonde, comunica o consegna un programma informatico da lui stesso o da altri redatto, avente per scopo o per effetto il danneggiamento di un sistema informatico o telematico, dei dati o dei programmi un esso contenuti o a esso pertinenti, ovvero l'interruzione, totale o parziale, o l'alterazione del suo funzionamento, è punito con la reclusione sino a due anni e con la multa sino a lire 20 milioni". Per ciò che concerne lo Stato Italiano, la prima condanna per un “Virus Writer” - letteralmente scrittore di virus – è avvenuta nell'aprile del 2005 per la messa in opera del virus Zelig; l'autore è stato denunciato per frode informatica ed ha patteggiato la pena dinanzi all'8a Sezione Penale del Tribunale di Milano; il giudice, accettato il patteggiamento, ha condannato l'uomo ad un anno e due mesi di carcere e al pagamento di una multa. Luca Suriano, matricola 125586 - Pag. 5 di 6
6. I danni creati da Zelig in due soli giorni, prima che il suo autore venisse individuato e bloccato dal Nucleo Regionale di Polizia Tributaria della Lombardia della Guardia di Finanza, sono ingenti: si ritiene che abbia rastrellato più di 104mila euro dalle bollette delle proprie vittime. Le indagini sono state condotte sotto il coordinamento del Sostituto Procuratore della Repubblica di Milano, Claudio Gittardi, in collaborazione con Telecom Italia. Bibliografia, materiale utilizzato, eventuali e varie • Libro “Sicurezza digitale” “Bruce Schneier” • Università di Padova (Saggio in merito molto interessante) • Punto Informatico (ricerche sulle condanne in Italia) • Google (ricerche mirate sulla classificazione e il danno) • Libro “Programmazione nella pratica” di Kernighan, Pike • Libro “Sicurezza del codice” di A.Sinibaldi • Interlex (le leggi in materia) Approfondimenti • I Sistemi UNIX like e i virus • Tecniche per la creazione di virus • Filesystem ext3, ext4, vfat, ntfs a confronto • Scripting di shell e Virus (bash su GNU/Linux) Luca Suriano, matricola 125586 - Pag. 6 di 6