GMER(Anti-Rootkit) v1.0.14.14116 ,"all your rootkits are belong to us"

Faccio un velocissimo post per segnalare l'uscita di una nuova versione dell'ottimo tool antirootikit Gmer.

Lo potete scaricare sul sito ufficiale

http://www.gmer.net/

Altri antirookit efficaci li potete trovare qui

http://antirootkit.com/software/index.htm

In particolare vorrei segnalare

IceSword
RootkitRevealer
DarkSpy
RootKit Unhooker il cui codice è stato rececentemente veduto alla Microsoft (e questo ne ha arrestato, almeno per il momento, lo sviluppo)

Utili e decisamente piu' semplici nell'utilizzo sono anche:

Panda Anti-Rootkit
F-Secure Blacklight
ecc..

SanPietroburgo capitale mondiale del cybercrime

Secondo alcuni articoli sulla stampa internazionale (in particolare statunitense e britannica)
nella citta' russa risiederebbero gli ideatori della rete RBN - russian business network e di storm worm.

Per l'approfondimento segnalo alcuni interessantissimi articoli del washingtonpost, del daily mail
e di wired

http://blog.washingtonpost.com/securityfix/2008/01/unhappy_birthday_to_the_storm.html


http://www.dailymail.co.uk/pages/live/articles/live/live.html?in_article_id=503898&in_page_id=1889
h

http://blog.wired.com/sterling/2007/12/the-daily-mail.html


in particolare vorrei citare dal primo articolo:

"Dmitri Alperovitch, director of intelligence analysis and hosted security for San Jose, Calif.-based Secure Computing, said federal law enforcement officials who need to know have already learned the identities of those responsible for running the Storm worm network, but that U.S. authorities have thus far been prevented from bringing those responsible to justice due to a lack of cooperation from officials in St. Petersburg, Russia, where the Storm worm authors are thought to reside. In a recent investigative series on cyber crime featured on washingtonpost.com, St. Petersburg was fingered as the host city for one of the Internet's most profligate and cyber-crime enabling operation -- the Russian Business Network."

Dmitri Alperovitch [........... ] dice gli che agenti federali che avevano necessita' di sapere sono gia' a conoscenza delle indentita' dei responsabili che gestiscono lo storm worm network , ma alle autorita' statunitensi è stato finora impedito di portare i responsabili davanti alla giustizia per via della mancanza di cooperazione tra i funzionari di SanPietroburgo, Russia, dove gli autori di Storm worm si pensa risiedano. In una recente serie di articoli di indagine sul cybercrime messi in evidenza sul washingtonpost.com, S.Pietroburgo era stata indicata come la citta' ospitante una delle operazioni piu immorali messe in atto dal cybercrime su Internet - Il Russian Business Network

***

"Alperovitch blames the government of Russian President Vladimir Putin and the political influence of operatives within the Federal Security Service (the former Soviet KGB) for the protection he says is apparently afforded to cybercrime outfits such as RBN and the Storm worm gang"

Alperovitch biasima il governo del presidente russo Putin e l'influenza politica di funzionari all'interno del FSS (ex-kgb) per la protezione che evidentemente è fornita a gruppi di cybercriminali come ad esempio RBN e la gang di Storm Worm.

***

"The right people now know who the Storm worm authors are," Alperovitch said.It's incredibly hard because a lot of the FSB leadership and Putin himself originate from there, where there are a great deal of people with connections in high places."

Le persone giuste ora sanno chi sono gli autori di storm worm Alperovitch dice
E' incredibilmente difficile perche' un sacco dirigenti del FSB e Putin stesso provengono da li (SanPietroburgo), dove ci sono moltissime persone con agganci in alte sfere.

***

Quindi, per quanto mi riguarda, credo che dovremmo convivere con i malware e con altre schifezze simili nei prossimi anni.
Se da un lato si potra' tentare di rendere piu' sicuri i nostri computer con software (s.o. robusti, hips, virtualizzazione, sandbox, antivirus) e adeguate politiche di sicurezza dall'altro sara' necessario essere molto diffidenti per non cadere nelle trappole di ingegneria sociale di criminali senza scrupoli .


P.s. grazie a TNT per la segnalazione dell'articolo :-)

Un nuovo worm si diffonde attraverso msn-live messenger

Ieri mentre ero impegnato in una conversazione su msn-live messenger ho ricevuto un file zip (NewPicture031.JPEG-www.FreeUploads.zip) che all'interno aveva un bel virus.

L'analisi tecnica la potete gia' trovare nell'ottima sandbox di sunbelt:

http://www.cwsandbox.org/?page=details&id=70211&password=npdsw

Attualmente solo pochissimi antivirus sono in grado di individuare la minaccia, quindi attenzione.


Aggiornamento: per verificare se siete infetti da questo virus potete utilizzare l'ottimo tool gratuito prevxcsi

prevxcsi http://info.prevx.com/downloadcsi.asp

Iframe nel blog di un esperto di sicurezza dell'AV F-prot

Tempo fa leggevo sul sito pcalsicuro il seguente post ad opera dell'amico marco:

l’amico Michael St. Neitzel, technical spokesman e senior antivirus architect per FRISK, mi ha appena dato la notizia di aver riaperto il proprio blog. Un’interessantissima fonte di informazioni da tenere sempre sott’occhio

FRISK è la societa' islandese che produce l'Antivirus F-prot.

Credo che le immagini dicano tutto:









NO COMMENT :-)


Aggiornamento: iframe malevolo rimosso

ll falso PornTube , una nuova trappola degli ucraini di inhoster

Tempo fa mi ero soffermato sui pericoli del virus Zlob
e sulle strategie di diffusione di questo malware. In genere i cybercriminali cercano di far passare il file infetto per un codec video indispensabile per la visione di un filmato pornografico.

La pagina su cui sono capitato è veramente un capolavoro di ingegneria sociale.
Un falso sito stile YouTube




I modi per cercare di ingannare gli utenti sono sempre piu' astuti.

Per quanto riguarda aggiornamenti su RBN (Russian Business network) direi che ho trovato svariati articoli online, in particolare scritti dalla stampa britannica. In UK il furto di identita' ad opera della cybercriminalita' (ed i russi di RBN sono in prima linea) è diventato un gravissimo problema e le autorita' competenti stanno tentando in tutti i modi di metterci una pezza.

Alcune informazioni sull'infame network le potete trovare qui:

http://en.wikipedia.org/wiki/Russian_Business_Network

http://www.smh.com.au/news/security/the-hunt-for-russias-web-crims/2007/12/12/1197135470386.html


Secondo alcune indiscrezioni
il creatore e leader dell'organizzazione criminale RBN conosciuto con il nick "Flyman" sembra essere un 24 enne laureato in "computer science" imparentato con un potentissimo ed autorevole uomo politico russo (alcuni dicono che sia il nipote).

Sembra che un portavoce dell'ambasciata russa in UK abbia prima negato la conoscenza di RBN
e poi abbia suggerito che la struttura ha la sua base in Inghilterra.

In realta' alcuni ricercatori specializzati in sicurezza dicono che sia una specie di mostro con piu' teste, con vari dipendenti e societa' in varie citta' europee oltre che ovviamente nella natia Russia.

Quanti in Italia sono a conoscenza di questa terribile minaccia?

Tutti a caccia di RBN (russian business network)

Sembra finalmente che il problema della cybercriminalita' russa stia venendo prepotentemente a galla e il numero di articoli e blog che si occupano di questa piaga cresce rapidamente.

In particolare ci sono pezzi sul washington post, l'economist , il guardian.

N.B. RBN è sostanzialmente quello che io ho definito (per quelli che leggono questo blog)
l'infame gang russa/ucraina CoolWebSearch/gromozon/estdomains/intercage/inhoster/rbn ecc.


Qui sotto potete trovare uno studio molto approfondito e alcuni articoli su questi simpaticoni.
Ho cercato fare un collage per permettere di avere una visione piu' chiara di quello che sta avvenendo sul web:

http://www.bizeul.org/files/RBN_study.pdf

http://news.independent.co.uk/sci_tech/article3201842.ece

Mi sembra che in questo articolo ci sia una inesattezza si parla di panama per i server di RBN
Ma in realta' i server che dal whois risultano a panama sono fisicamente in Russia


http://www.guardian.co.uk/technology/2007/nov/15/news.crime

di questo articolo sottolineo un passaggio:

According to experts from Team Cymru, a research group specialising in internet crime, the Russian firm is linked to around 60% of all cybercrime.
secondo gli esperti di team Cymru, un gruppo di ricerca specializzato nella criminalita' su internet, l'azienda russa è collegata al 60% di tutto il cybercrime

http://www.theinquirer.net/gb/inquirer/news/2007/11/08/alleged-russian-crime-hosting

altro passaggio che vale la pena sottolineare che è un'amara riflessione:

"The Romans built these roads to access the vast areas they had conquered. But, in the end, these same roads led to Rome's downfall"

I romani (gli americani) hanno costruito queste strade (internet) per accedere alle vaste aree che hanno conquistato. Ma alla fine le stesse strade hanno condotto alla caduta di Roma (cybercriminalita')

alcuni articoli di punto informatico:

• I russi dietro il cracking di Bank of India
• Perché temere il Russian Business Network
• RBN: ma quale mafia? Noi che denunciamo tutti
• Botnet, l'improvvisa scomparsa di RBN

infine consiglio la lettura del blog

http://rbnexploit.blogspot.com/

Un zlob al giorno toglie l'antivirus di torno

Faccio un rapido post per segnalare ancora una volta quanto siano poco efficaci gli antivirus che hanno ben poche possibilita' di spuntarla contro gli attuali cyber criminali.
In particolare ho potuto notare la rapidità con cui vengono cambiati i malware su alcuni siti.
Non si fa a tempo a mandare un virus per l'individuazione che immediatamente dopo c'è una variante che non viene identificata.
Nello specifico alludo a virus della famiglia Zlob.



Vorrei anche segnalarvi questo blog che ne sta fecendo un bell'elenco:

http://peki.blogspot.com/

Indovinate un po' dove sono ospitati e da chi è stato registrato il dominio? :-)
Chi legge questo blog di sicuro non sara' sorpreso.


Work in progress........

Ulteriori approfondimenti per quanto riguarda il massiccio uso di siti civetta *.cn (cambia il dominio ma i farabutti sono sempre gli stessi) li potete trovare qui:

http://sunbeltblog.blogspot.com/2007/11/breaking-massive-amounts-of-malware.html