ATTENZIONE! Trojan.ArchiveLock arriva in Italia

Come già pronosticato, il Trojan.ArchiveLock dopo Spagna e Francia minaccia anche l’Italia 

Da lunedì ci sono state alcune segnalazioni da parte di utenti colpiti da questo Trojan e poi ricattati dai cyber-criminali con l’e-mail dove si richiedono 5000 $ in cambio della decriptatura dei file.
Gli hacker attaccano i server Windows che hanno il desktop remoto attivo e, tramite il metodo “brute force” (forza bruta), riescono a recuperare la password, entrare nel server e criptare tutti i dati.

Il team di Dr.Web sta lavorando per trovare una soluzione definitiva, intanto vi consigliamo di cambiare la password con una più complessa e aggiornare il server alla versione più recente.


Si parla del Trojan.ArchiveLock.20 anche nel precedente articolo: http://s-martitalia.blogspot.it/2013/03/un-encoder-attacca-computer-in-spagna-e.html

Piattaforma Airpush sfruttata per propagare una minaccia per Android

Fonte: http://www.freedrweb.com/show/?i=3378&c=19&lng=it

Doctor Web — fornitore russo dei programmi antivirus Dr.Web — avvisa della propagazione dei trojan Android.SmsSend tramite la piattaforma pubblicitaria Airpush usata da molti sviluppatori per guadagnare sulle loro applicazioni. Sfortunatamente, i messaggi pubblicitari visualizzati dalla piattaforma a volta sono fuorvianti e potrebbero indurre utenti a scaricare programmi malevoli. 

A Doctor Web sono pervenute alcune segnalazioni di falso positivo secondo le quali l’antivirus Dr.Web per Android individuava l’applicazione GooglePlay_install.apk come una minaccia nominata Android.SmsSend.315.origin. I nostri analisti dei virus hanno esaminato il problema e hanno confermato che il rilevamento è corretto. Infatti questo programma è un falso installer che fa pagare per l’accesso ad applicazioni gratuite inviando SMS dal cellulare infetto a numeri premium (a pagamento). Un’indagine condotta da Doctor Web ha dimostrato che una delle fonti di diffusione di questo malware è la piattaforma pubblicitaria Airpush.

Come sapete, molti giochi e programmi per SO Android sono gratuiti, ma per guadagnare i loro creatori spesso utilizzano sistemi speciali che vengono incorporati in un programma al fine di mostrare pubblicità all’utente. Uno di tali sistemi è la piattaforma Airpush. Di solito, il modulo Airpush mette diversi annunci pubblicitari nella schermata di un’applicazione, però alcune sue versioni possono aprire varie finestre di dialogo durante l’esecuzione o quando l’applicazione non è avviata. I messaggi pubblicitari possono includere qualsiasi contenuto. I malintenzionati hanno approfittato di questa possibilità e hanno cominciato a propagare tramite tali messaggi il cavallo di troia classificato da Dr.Web come Android.SmsSend.315.origin.

Per esempio, una finestra di dialogo visualizzata da Airpush può offrire di scaricare un aggiornamento del SO Android. Un utente poco esperto potrebbe sbagliare tale messaggio per un avviso regolare del sistema operativo e accettare di scaricare il falso aggiornamento. 

 Aggiornare Android? No grazie Scarica 

Una volta cliccato il rispettivo pulsante, si esegue il download di un pacchetto malevolo. Quando il malware è stato scaricato e installato, esso imita un processo di installazione dell’applicazione desiderata dall’utente, per esempio, dell’applicazione GooglePlay. 

In realtà, nessun’applicazione si installa. Alla fine del finto processo di installazione, il trojan dà un link alla vera applicazione GooglePlay disponibile gratuitamente. Nel frattempo una somma di alcuni euro viene addebitata sul conto di telefonia mobile dell’utente.

Doctor Web consiglia ai proprietari dei dispositivi Android di trattare con prudenza messaggi pubblicitari visualizzati sullo schermo specialmente quelli che propongono di installare un aggiornamento di un’applicazione o del sistema operativo. Prima di accettare l’installazione, è bene accertarsi che i file da scaricare siano autentici e davvero necessari. A questo fine, si può consultare siti web ufficiali delle applicazioni. Per assicurare la protezione dei dispositivi Android, si può usare i prodotti antivirali Dr.Web per Android.

Trojan.Yontoo.1, un nuovo programma nocivo per i Mac

Fonte: http://www.freedrweb.com/show/?i=3389&c=19&lng=it

Doctor Web — produttore del software antivirale Dr.Web — avverte che dall’inizio di quest’anno emergono sempre più programmi adware progettati per i computer Mac OS X. Una di tali applicazioni malevole è Trojan.Yontoo.1, un downloader che installa sul Mac infetto un’estensione per i browser più popolari finalizzata alla visualizzazione di pubblicità.

Il team di Doctor Web ha osservato che dall’inizio 2013 sono apparse molteplici applicazioni malevole di pubblicità progettate per diverse piattaforme, compresa Mac OS X. Utilizzando queste applicazioni, i malintenzionati possono guadagnare aderendo a “programmi di affiliazione” di network pubblicitari. Di giorno in giorno cresce il loro interesse verso gli utenti dei computer Apple. Di conseguenza, i pirati informatici creano programmi che possono girare sotto Mac OS X, tra cui si segnala Trojan.Yontoo.1 scoperto di recente.

Questo trojan si intrufola sul computer vittima in diversi modi. In particolare, ai fini di diffondere l’applicazione, i malintenzionati creano pagine web di annuncio di film che visualizzano un messaggio, mascherato da un avviso di sistema, comprendente una proposta di installare un plugin per il browser. In realtà, questo messaggio è solo un’imitazione di una vera barra di un browser che informa l’utente di un’estensione disponibile. Così la vittima viene ingannata e, una volta cliccato il pulsante “Install the plug-in”, il browser viene reindirizzato su un sito malevolo da cui si scarica l’applicazione conosciuta dai programmi Dr.Web come Trojan.Yontoo.1. 

I malintenzionati hanno inventato più metodi di propagazione di questa minaccia. Per esempio, la vittima potrebbe scaricarla sotto forma di un lettore multimediale, un programma di miglioramento di qualità video o un acceleratore di download ecc.

Una volta avviato, Trojan.Yontoo.1 visualizza una finestra di dialogo che propone all’utente di installare l’applicazione Free Twit Tube. 

Se l’utente fa clic sul pulsante “Continue”, invece del programma descritto nella finestra di dialogo, si scarica e si installa il plugin Yontoo ideato per i browser più usati dai proprietari dei computer Mac OS X, quali Safari, Chrome e Firefox. Questo plugin trasmette a un server remoto le informazioni sulle pagine web visitate dall’utente. Le informazioni si trasmettono in modalità di background appena l’utente ha aperto una pagina nel browser. 

Per risposta, l’estensione Yontoo riceve dal server remoto dei malintenzionati un file speciale che consente di incorporare diversi moduli pubblicitari nelle pagine web visitate dall’utente. L’immagine sottostante è un esempio di come il browser visualizza il sito apple.com su un computer infetto. 

Tali estensioni per browser vengono identificate dal software antivirale Dr.Web come Adware.Plugin. Va notato che gli stessi metodi di propagazione di questa minaccia vengono utilizzati dai pirati informatici anche per infettare computer Windows.

Il Mac non ha bisogno di sicurezza informatica: leggenda metropolitana?

C'è un equivoco diffuso nel mercato informatico tradizionale, ovvero che i Mac di Apple siano macchine più sicure di quelle Windows. In effetti, alcuni irriducibili amanti di Apple credono che non esistano minacce di virus per Mac e che nessun software di protezione del sistema sia essenziale. Ma quanto è vera questa convinzione?

La nostra esperienza nel settore della sicurezza informatica ci mostra che i Mac non sono immuni da malware e virus. Le macchine Windows costituiscono circa il 90% dei PC in tutto il mondo e ovviamente gli autori di malware bersagliano con maggiore intensità Windows. Lo sviluppo del malware richiede notevoli risorse e tempo per cui è inevitabile che una piattaforma che viene utilizzata di più sarà anche quella più bersagliata. Sfortunatamente, un piccolo numero di utenti Mac ha portato alla falsa credenza che i Mac sono completamente sicuri e invincibili.

Mac diventa mainstream: inevitabilmente arrivano i Malware

Negli ultimi anni diversi casi di malware su Mac sono stati scoperti. La scoperta più importante è il malware Flashback che ha infettato più di mezzo milione di Mac in tutto il mondo grazie ad un buco di sicurezza di Java. Inoltre, Forrester Research sostiene che vi è stato un aumento del 52% del numero di Mac nel 2012. Questo aumento di utilizzo non è solo limitato a utenti privati, ma anche aziende ed istituzioni di governo hanno adottato i prodotti Apple.

La crescita della quota di mercato di Mac in tutto il mondo ha portato alla consapevolezza che esistono minacce alla sicurezza anche per questa piattaforma. Inoltre, gli autori di malware hanno capito che sviluppare malware per Mac non è inutile e può rendere bene. Naturalmente, più i Mac saranno usati, più aumenteranno gli utenti bersaglio di trovate di social engineering e di minacce malware.

Apple rilascia “Gatekeeper”, ma le abitudini degli utenti rimangono 

Per molti anni, Apple ha diffuso come punto di forza l'idea che i Mac siano più sicuri dei PC. Tuttavia, ora che il numero di utenti Mac è aumentato nel corso degli anni, Apple ha cambiato musica. Ora Apple incorpora una funzionalità nota come Gatekeeper in Mac OS X Lion Mountain che regola le fonti da cui un utente Mac può installare applicazioni. Ciò implica che anche Apple ha realizzato l'importanza della sicurezza sulla loro piattaforma.

È importante sottolineare che la maggior parte delle minacce alla sicurezza si verifica a causa di negligenza da parte dell'utente e delle abitudini in materia di documenti dannosi, siti web, unità USB, download torrent e allegati e-mail. Apple rilascia patch di sicurezza di tanto in tanto, ma un sacco di utenti trascura queste cose in quanto sono convinti che le sole patch possano proteggerli. Alcuni utenti rimangono addirittura alle vecchie versioni del sistema operativo a causa di limitazioni di hardware, ma così hanno il solo risultato di aumentare la loro vulnerabilità.

Abbattere il mito dell’invulnerabilità dei Mac 

La verità è che Mac OS X è meno attaccato dagli hacker perché non è così diffuso come Windows, non perché più sicuro. Nel caso del phishing, la vulnerabilità ricade generalmente sull'utente e non sulla macchina. Perfino l'iTunes App Store non è sicura. E se pensavate che il browser, Safari, fosse più sicuro di Internet Explorer allora vi stavate sbagliando. Già nel 2009, sono state trovate 94 minacce in Safari rispetto alle 41 in IE. Dati del 2012 mostrano che circa 1 Mac su 5 ha almeno un ceppo malware. Inoltre, circa 1 Mac su 36 ha gravi problemi di malware. 

È stato anche detto che la sicurezza Mac è 10 anni dietro quella di Windows. Questo è comprensibile in quanto la sicurezza di Windows è stata funzionale per molti anni e conosce bene codici malware e programmi. Apple ha bisogno di lavorare per migliorare il riconoscimento di codici malware e anche i cicli di aggiornamento. 

Il punto di fondo è che se sei il proprietario di un Apple Mac, allora avete bisogno di iniziare a prendere più sul serio la sicurezza web. Per troppo tempo c’è stata l’opinione diffusa che i Mac sono invincibili e immuni da minacce alla sicurezza, ma questo mito si è lentamente rotto. Così si è disposti a credere a questa laggenda o no?

Cavalli di troia Trojan.Hosts infettano 8000 computer al giorno

Fonte: http://news.drweb.com/?i=3373&c=5&lng=ru&p=0 

Doctor Web — sviluppatore russo dei programmi antivirus Dr.Web — informa gli utenti di una massiccia diffusione dei cavalli di troia dalla famiglia Trojan.Hosts. Negli ultimi mesi, moltissime pagine di Internet sono state compromesse dai malintenzionati ai fini di propagare questi trojan la cui presenza sui computer è diventata quasi un’epidemia. Il numero maggiore di casi di infezione è stato tra gennaio e metà febbraio quando ogni giorno venivano infettati circa 9500 computer. A marzo i cavalli di troia Trojan.Hosts infettano circa 8000 computer al giorno 

Per violare siti web, i malintenzionati utilizzano il protocollo FTP e accedono alle risorse avvalendosi di login e password rubati in precedenza. Su un sito web compromesso viene caricato un interprete di comandi (shell) tramite il quale viene modificato il file .htacess e nel sito viene incorporato uno script malevolo.

Se l’utente cerca di aprire nel browser tale sito infetto, lo script malevolo gli fa vedere una pagina web contenente collegamenti ipertestuali a diverse applicazioni maligne. In tempi recenti anche i cavalli di troia della famiglia Trojan.Hosts si propagano in questo modo.

Va notato che i trojan di questa famiglia vengono diffusi dai malintenzionati non solo mediante siti web compromessi. Esistono alcuni programmi di affiliazione che pagano ai partecipanti ricompensi per lo sfruttamento delle vittime dei trojan “Hosts”. Pertanto, questi trojan possono arrivare sui computer anche in altri modi, per esempio tramite backdoor e downloader di malware.

Ricordiamo ai nostri lettori che lo scopo principale dei cavalli di troia Trojan.Hosts è modificare il file “hosts” che si trova nella cartella di sistema Windows e si occupa della risoluzione dei nomi host negli indirizzi IP. Quando l’utente di tale computer infetto cerca di visitare una risorsa di rete popolare, l’indirizzo di rete originario viene sostituito con uno falsificato e quindi il browser viene reindirizzato a una pagina web creata dai pirati informatici.

Nei primi mesi dell’anno 2013, questa minaccia si propagava in maniera quasi epidemica. Tra gennaio e metà febbraio la velocità di propagazione era maggiore e raggiungeva 9500 casi di infezione al giorno. All’inizio di marzo, il numero si è ridotto alquanto, per esempio, l’11 marzo sono stati registrati 7658 casi di infezione. (la quantità viene conteggiata sulla base dei file “hosts” modificati dal trojan sui computer compromessi).

Il seguente diagramma mostra la velocità di propagazione della minaccia Trojan.Hosts nel periodo tra la fine dell’anno 2012 e l’inizio dell’anno 2013.




Il software Dr.Web è in grado di rimuovere dal sistema la maggior parte delle varianti conosciute di Trojan.Hosts. Oltretutto, i prodotti Dr.Web dall’ottava versione prevedono una protezione speciale del file “hosts” che impedisce modifiche non autorizzate. Questa funzione può essere impostata nella sezione Strumenti → Impostazioni → Protezione preventiva → Livello di proibizione delle azioni sospette → Personalizzato. Le impostazioni possono essere modificate in modalità di amministratore. Di default, la funzione che blocca modifiche non autorizzate del file “hosts” è attiva.

Inoltre, gli indirizzi IP dei siti web compromessi vengono inseriti prontamente nei database di Dr.Web, perciò l’accesso a tali siti viene impedito dal componente Dr.Web SpIDer Gate. Se sul vostro computer l’antivirus ha bloccato l’accesso a qualche risorsa web popolare o nota, vi consigliamo di eseguire una scansione dei dischi rigidi alla ricerca di malware.

Se non utilizzate una protezione continua assicurata dall’antivirus Dr.Web e il vostro computer è stato compromesso dal trojan “Hosts”, vi consigliamo di eseguire una scansione completa del computer tramite l’utility gratuita Dr.Web CureIt! e, se necessario, di modificare i contenuti del file Windows\System32\Drivers\etc\hosts rimovendone tutti i record estranei.