Analisi andamento dei virus nel periodo giugno - settembre 2006

Kaspersky Lab presenta l’ultima relazione trimestrale sui cambiamenti più significativi nell’evoluzione dei codici maligni. Nel periodo in esame, giugno – settembre 2006, non ci sono state epidemie significative e non sono comparse nuove tipologie di virus. Alexander Gostev, Senior Virus Analyst di Kaspersky Lab, riassume e commenta il periodo analizzato, descrivendolo come una fase di “calma prima della tempesta”. “Gli scrittori di virus e i cyber criminali si stanno adattando all’evoluzione dell’odierno settore antivirus, e al momento non sono all’attacco. Hanno identificato i tempi di reazione delle aziende di antivirus – poche ore, o perfino minuti –, e hanno compreso quali siano le loro reali opportunità. Tuttavia, questo è uno stato di equilibrio precario. Qualcosa è destinato a cambiare nel prossimo futuro”, afferma Alexander Gostev. “O le compagnie di antivirus faranno uno sforzo combinato per fermare la crescita dei virus, o gli scrittori di virus inventeranno qualcosa di veramente nuovo, superando i livelli del settore antivirus”.

Nel periodo compreso tra aprile e giugno 2006, il tema della vulnerabilità di Microsoft Office è stato al centro del dibattito nel mondo della sicurezza informatica. Word, Excel, Power Point hanno infatti subito diversi attacchi dei cosiddetti black hat (hacker con intenti criminali), e in soli tre mesi il numero dei bug è cresciuto quasi fino a una dozzina. Nel terzo trimestre del 2006, Microsoft ha pubblicato sei patch, ma ogni bug possiede diversi Trojan, a volte dozzine, che ne sfruttano le potenzialità. La presenza di questi programmi maligni è stata identificata sia nel traffico di posta che sulle postazioni degli utenti.

La pubblicazione delle vulnerabilità di Office ha incontrato delle difficoltà proprio perché sembrava che gli scrittori di virus stessero lavorando sulle patch di Microsoft, dato che le loro creazioni venivano pubblicate pochi giorni dopo la comparsa delle nuove patch. Secondo Alexander Gostev, la particolare sincronia tra i gruppi di hacker “è apparsa come un tentativo di screditare Microsoft dalla sua posizione di specialista della sicurezza dell’informazione in generale, e di colpire nello specifico le abitudini dell’azienda di pubblicare delle patch secondo un calendario predefinito”.

Nel periodo compreso tra luglio e settembre 2006, non sono state solo le diverse vulnerabilità di Microsoft Office a compromettere la sicurezza degli utenti, ma anche due altre minacce ai prodotti Microsoft: MS06-040 e MS6-055.

MS06-040 è il tipo di vulnerabilità più pericolosa attualmente conosciuta, che permette ad un malintenzionato di eseguire dei codici arbitrari attraverso un attacco alla rete. Per fortuna, la natura della vulnerabilità e la composizione degli exploit non sono così diverse da quelle già conosciute (MS04-011 e MS05-039), e ciò ha permesso ai commercianti di antivirus e firewall di bloccare gli attacchi di virus senza dover modificare i loro prodotti, evitando così una pericolosa epidemia nel mese di agosto.

MS06-055 è una vulnerabilità di Internet Explorer scoperta in settembre collegata ai processi VML, che potrebbe permettere ad un utente malintenzionato di creare uno script in grado di eseguire dei codici arbitrari sul PC della vittima, nel momento in cui l’utente visita un sito infetto. In questo caso, Microsoft ha pubblicato una patch non prevista in tempo record, riducendo così significativamente il numero di infezioni.

Nel periodo analizzato, sono stati individuati solo pochi virus per dispositivi mobili distinti dal gruppo dei primitivi Skuller, come i Trojan: Comwar 3.0, Mobler.a, e Acallno.

Comwar 3.0 è la prima variante di Comwar in grado di utilizzare le tecnologie per infettare i file: il worm cerca altri file sis sul telefono, e scrive copie di se stesso su questi file. Questo gli permette di diffondersi anche in altri modi, oltre ai tradizionali metodi di propagazione via MMS e Bluethooth.

Mobler.a è stato il primo virus con piattaforma trasversale in grado di infettare sia i sistemi Symbian che Windows. Il worm si propaga copiando se stesso da un computer infetto a un dispositivo mobile.

Il Trojan Acallno, sviluppato da un’azienda commerciale per spiare gli utenti di cellulari, è in grado di spedire copie di tutti i messaggi SMS in entrata e in uscita a un numero selezionato.

L’altra novità scoperta nel terzo trimestre del 2006 è Wesber, un Trojan per J2Me; è il secondo Trojan conosciuto in grado di funzionare sia sugli smartphone che sulla maggior parte dei moderni telefoni cellulari.