211service.com
L'ultima minaccia: un virus creato apposta per te
Il virus informatico Flashback ha acquisito notorietà all'inizio di quest'anno come il primo malware a fare progressi contro il sistema operativo relativamente intatto di Apple, Mac OS X, infettando le macchine di circa 600.000 vittime al culmine dell'epidemia.
Ma gli scienziati informatici e i professionisti della sicurezza erano più preoccupati per un altro aspetto del malware. Gli autori di Flashback hanno utilizzato una tecnica spesso utilizzata da Hollywood per impedire la copia di file di film e musica, aggiungendo funzioni che legano il virus a ciascun sistema infetto. L'uso di tale tecnica ha impedito alle società di sicurezza di eseguire il virus nei loro laboratori.
Una nuova ricerca mostra che un perfezionamento della tecnica potrebbe rendere quasi impossibile l'analisi automatizzata del malware. Paul Royal, un ricercatore con il Centro per la sicurezza delle informazioni del Georgia Institute of Technology , prevede di rivelare il lavoro al Conferenza Black Hat a Las Vegas questa settimana.
Royal e i suoi colleghi della Georgia Tech mostrano che una forma di protezione dalla copia chiamata crittografia basata sull'identità dell'host può crittografare parti critiche di un programma malware con chiavi basate su informazioni raccolte dal sistema di una vittima, rendendo così ancora più difficile l'analisi del campione su un macchina diversa.
L'analisi del software dannoso che i criminali utilizzano per infettare i computer delle persone è un'operazione che richiede tempo, ma è necessaria. I produttori di software antivirus raccolgono regolarmente campioni di malware e quindi utilizzano l'analisi automatizzata per generare una raccolta di caratteristiche identificative, comunemente chiamata firma.
Mentre un singolo analista può aggirare le restrizioni imposte dagli autori di malware, allo stesso modo in cui le protezioni contro la copia dei film possono essere aggirate dai pirati, impedire alle società di sicurezza di elaborare automaticamente grandi volumi di file danneggerà la loro capacità di tenere il passo con gli aggressori.
Per il modello antivirus, questo complica notevolmente l'assunzione della quantità di malware della manichetta antincendio e la sua riduzione in un sottoinsieme che può essere analizzato in modo pratico da un analista umano, afferma Royal.
Poiché il software antivirus dipende dall'utilizzo di tali firme per catturare il malware, i criminali online tentano regolarmente di rendere l'analisi più difficile. Nell'ultimo decennio, ad esempio, gli aggressori hanno utilizzato il polimorfismo, una tecnica per cambiare i programmi ogni volta che vengono copiati su una nuova macchina, per rendere più difficile l'identificazione. Questa tendenza ha subito un'accelerazione negli ultimi anni (vedi L'era degli antivirus è finita).
Il database di malware gestito da Symantec include circa 19 milioni di firme . Nel suo rapporto annuale sulle minacce alla sicurezza in Internet pubblicato all'inizio di quest'anno, Symantec ha dichiarato che i suoi sistemi di analisi automatizzata hanno analizzato 403 milioni di varianti uniche di programmi dannosi nel 2011, un aumento del 41% rispetto ai 286 milioni analizzati nel 2010. Senza automazione, questo compito sarebbe molto Più forte.
Se i ragazzi del malware possono arrivare a una fase in cui, anche se hai il [file], che è legato a una macchina particolare, allora questo complica la nostra vita, dice Roel Schouwenberg , ricercatore senior per Kaspersky , un'altra società di sicurezza del software. Kaspersky ha elaborato più di un miliardo di campioni attraverso i suoi sistemi automatizzati nel 2011.
Se Flashback è un'indicazione del futuro e l'automazione non può più abbattere l'assalto dei file da analizzare, le aziende di antivirus potrebbero vedere i loro costi salire alle stelle.
Dal nostro punto di vista, analizziamo centinaia di migliaia di campioni al giorno, afferma Dean De Beer, chief technology officer di MinacciaGRID , una società di servizi di analisi di malware. Ora stanno lanciando questa palla curva e dobbiamo sederci e dire: 'Cosa dobbiamo fare per assicurarci di poter raccogliere il campione?'
Le aziende di antivirus potrebbero tentare di sventare tale malware creando una macchina virtuale che sembra identica al sistema della vittima. Ma questo potrebbe sollevare problemi di privacy tra gli utenti. Per rendere l'analisi più difficile, gli autori di malware potrebbero creare funzioni che interpretano i comandi dai server di comando e controllo utilizzando una chiave creata dalle informazioni sulla posizione di rete del computer. Nota come localizzazione del set di istruzioni, la tecnica renderebbe i comandi destinati a una macchina con sede a San Francisco irriconoscibili a una macchina con sede a Boston.
Le aziende di antivirus sperano che Royal mantenga la discussione a un livello elevato per evitare di fornire agli aggressori consigli precisi su come migliorare la loro capacità di bloccare il malware sulle macchine infette. Il flashback è stato un dolore, dice Schouwenberg. Se il discorso è su come rendere questo molto facile per l'attaccante, allora non vedo l'ora.
Royal spera che la presentazione serva da avvertimento che i difensori devono risolvere rapidamente questo problema. Questa presentazione non è un motivo per buttare via i tuoi strumenti di analisi del malware, dice. Dovrebbe essere un avvertimento. Dobbiamo tutti prepararci.