Una breve storia di virus, worm e trojan - Parte 3°
Nel 1995 compaiono i primi macrovirus. Fino ad allora ad essere colpiti erano stati solo i file eseguibili e i settori di avvio. I macrovirus richiedono elevate capacità di riconoscimento. Melissa, Loveletter, Sobig e simili stabiliscono record sempre nuovi nella velocità di diffusione.
1995 | Con "DMV" e "Nachtwächter" compaiono i primi macrovirus. "Concept 1995" è il primo macrovirus a diffondersi pubblicamente e si propaga senza ostacoli nei sistemi operativi in lingua inglese. Con Hunter.c compare in Germania il primo macrovirus polimorfo. Wm.Concept è stato il primo macrovirus 'in the wild' per Word (a parte gli agenti infettanti HyperCard). Esso conteneva solo il messaggio "That's enough to prove a point." (circa: "questo basta come prova") e in poco tempo è diventato il virus più diffuso su scala mondiale. Wm.Concept ha fondato la categoria dei virus "Proof of Concept". I virus PoC dimostrano solo che è possibile sfruttare un determinato punto debole, senza però provocare veramente dei danni. La rilevazione dei macrovirus richiede notevoli sforzi ai programmi di scansione antivirus, se non altro per i formati in continua evoluzione dei linguaggi degli script e dei file di Office. |
1996 | Compaiono i primi generatori di macro per macrovirus in inglese e in tedesco. I macrovirus non si limitano più a Word, bensì sono progettati anche per i file Excel e AmiPro. Inoltre superano i confini tra sistemi operativi e colpiscono indifferentemente PC e MAC. Laroux infetta per primo i file Excel. Boza è il primo virus che attacca il formato PE-EXE dei file Windows 95. È stato scritto da Quantum, un membro del VLAD, il gruppo australiano di autori di virus. |
1997 | I virus diventano sempre più specializzati e attaccano in modo mirato i punti deboli di programmi, sistemi operativi o hardware. Fanno la loro comparsa i primi script mIRC che si diffondono sotto forma di worm tra gli utenti della Internet Relay Chat. Fa la sua apparizione il primo virus per il sistema operativo Linux. |
1998 | Strange Brew è il primo virus per Java. Ad eccezione dei macrovirus, che ora attaccano anche Access ed altri programmi, i PC con sistema operativo Mac non erano stati colpiti dai virus da almeno tre anni. Con il worm Autostart.9805, però, la situazione cambia. Autostart sfrutta il meccanismo di avviamento automatico di Quicktime sui PowerPC e copia se stesso sul disco rigido e su altri supporti dati. Determinati file vengono sovrascritti con dati spazzatura e quindi resi inutilizzabili. AutoStart si diffonde in tutto il mondo partendo da Hong Kong. Per saperne di più... Con Netbus e Back Orifice compaiono i backdoor, che permettono di sorvegliare e controllare in remoto un PC senza che l'utente si accorga di nulla. La comparsa di Back Orifice scatena varie discussioni sul fatto che si tratti di un software di manutenzione o di controllo a distanza. Poiché le funzioni di comando in remoto possono essere eseguite all'insaputa dell'utente, Back Orifice può essere definito un cavallo di Troia. Tramite BO un pirata informatico è stato in grado, alla metà del 2000, di penetrare nella rete aziendale di Microsoft. A giugno è comparso CIH (Spacefiller, Chernobyl) a Taiwan. Contiene uno dei payload a maggiore diffusione nella storia dei virus e ha sollevato la questione se i virus siano in grado di distruggere l'hardware. Quando si attivano le sue funzioni nocive (il 26 aprile), sovrascrive il Flash-BIOS e la tabella di partizione del disco rigido. In questo modo il computer non può più essere avviato. Su alcune schede madri è addirittura necessario sostituire i chipset del flash bios oppure procedere con una riprogrammazione. Ma in ogni caso, anche dopo il ripristino del sistema, i dati sono persi. L'autore, lo studente cinese Chen Ing-Hau, non è stato perseguito legalmente. Per saperne di più... VBS.Rabbit è stato il primo a utilizzare Windows Scripting Host (WSH). È scritto in Visual Basic e attacca altri file VBS. HTML.Prepend dimostra che è possibile infettare i file HTML con VBScript. Dr. Solomons viene acquistato da Network Associates. Come in precedenza per McAfee, i clienti abbandonano il programma. |
1999 | A marzo il worm "Melissa" infetta nel giorno della sua comparsa centinaia di migliaia di computer e si diffonde con il vento in poppa in tutto il mondo. Melissa invia e-mail ai primi 50 indirizzi della rubrica di Outlook e i server di posta coinvolti crollano sotto il carico dei messaggi in entrata. Ad agosto David l.Smith ammette di avere scritto lui questo worm. Happy 99 crea una copia di ogni messaggio di posta inviato dall'utente e la spedisce con lo stesso testo e oggetto, aggiungendo il worm come allegato. Questo sistema funziona anche con i post di Usenet. A giugno ExploreZip si mimetizza come archivio autoinstallante che viene inviato come risposta ad una e-mail ricevuta. Si diffonde sulle condivisioni di rete e può infettare un computer collegato in rete solo se un altro utente della rete agisce incautamente. La funzione dannosa ricerca sul disco rigido i file di programmi in C e C++, Excel, Word e Powerpoint e li elimina. Per saperne di più... Oltre che tramite e-mail, il virus Pretty Park si diffonde anche mediante le Internet Relay Chat (IRC). Questo worm è dotato di meccanismi di mimetizzazione e protezione molto efficaci che ne impediscono l'eliminazione. Durante la successiva scansione antivirus il worm viene riconosciuto come legittimo. A volte anche la scansione antivirus viene bloccata. Grazie a una manipolazione del registro, Pretty Park viene eseguito dai file EXE, provocando la segnalazione che tutti i file EXE sono infetti. Per gli utenti di Outlook, a novembre si verifica con Bubbleboy la visione di "Good-Times", in cui un virus riesce a infettare un computer con la sola apertura di una e-mail (anche in modalità di anteprima). Bubbleboy sfrutta un errore nella libreria del programma. |
2000 | Nonostante tutte le profezie, non esiste un worm del millennio degno di tale nome. Palm/Phage e Palm/Liberty-A sono rari ma in grado di infettare i palmari dotati di Palm OS. Lo script VB VBS/KAKworm sfrutta i punti deboli in Scriplet e Typelib di Internet Explorer. In modo simile a BubbleBoy, si diffonde con l'apertura di una e-mail (anche in anteprima). A maggio un worm invia una valanga di e-mail dalla rubrica di Outlook con l'oggetto "I love you" e crea danni per miliardi soprattutto alle reti delle grandi aziende. Anche in questo caso, le reti sono state completamente sovraccaricate in poco tempo. Dalla versione sviluppata da uno studente filippino Onel de Guzman nascono moltissime varianti. Gli esperti USA parlano del virus più maligno della storia informatica. L'autore di W95/MTX si è preso la briga di eliminare gli ibridi di worm/virus dal computer, inviando tramite e-mail un file PIF con doppia estensione del file. Ciò blocca l'accesso del browser ad alcuni siti web di produttori antivirus, infetta i file con il componente del virus ed alcuni file vengono sostituiti dai componenti del virus. Dopo Loveletter e le sue molteplici varianti, i gateway di posta filtrano semplicemente le e-mail aventi le righe dell'oggetto incriminate. Stages of Life varia la riga dell'oggetto ed in questo modo riesce a passare attraverso la rete. A settembre in Svezia viene creato Liberty, il primo cavallo di Troia per palmari. Si trasmette durante la sincronizzazione con il PC e cancella tutti gli aggiornamenti. |
2001 | A febbraio gira un worm di posta elettronica che apparentemente contiene un allegato con una foto della tennista russa Anna Kournikova. Chi apre il messaggio installa il worm, il quale poi invia se stesso a tutti gli indirizzi della rubrica di Outlook. Anche Naked si è diffuso per posta elettronica. Dichiara di essere un'animazione Flash di una donna nuda. Dopo l'apertura del messaggio, il virus si installa e si propaga a tutti gli indirizzi di Outlook. Poiché elimina anche le directory di Windows e del sistema, rende il computer inutilizzabile. Per usare nuovamente il PC è necessario reinstallare il sistema operativo. A luglio Code Red sfrutta un errore di overflow del buffer nella DLL Indexing Service di Internet Information Server (IIS) di Windows NT, 2000 e XP. Il virus effettua una scansione degli indirizzi IP originali sulla porta standard per la connessione Internet e trasmette un cavallo di Troia il quale tra il 20 e il 27 di un mese avvia un attacco Denial of Service (DoS) al sito web della Casa Bianca. La rimozione del virus è molto impegnativa e divora miliardi. A luglio tramite le reti e via Outlook Express si è diffuso SirCam, il quale ha introdotto alcune innovazioni. Ad ogni avvio, provoca l'attivazione di un file EXE. È il primo worm dotato di un proprio motore SMTP. Ma non invia solo se stesso, bensì anche file personali che trova sul computer. Con Nimda a settembre si è diffuso un worm Internet che non necessita di alcuna interazione dell'utente. Oltre alle e-mail, utilizza per diffondersi anche le falle nella protezione dei programmi. Numerosi server Web vengono sovraccaricati e i sistemi di file infetti possono essere letti dal mondo intero. A novembre il worm residente in memoria Badtrans sfrutta una falla nella protezione di Outlook e Outlook Express per propagarsi. Si installa come servizio, risponde alle e-mail, spia le password e registra le sequenze di tasti. |
2002 | Il worm "MyParty" mostra all'inizio dell'anno che non tutto ciò che termina con ".com" è un sito web. Coloro che effettuano un doppio clic su "www.myparty.yahoo.com" al posto dell'immagine attesa ricevono un worm con un componente backdoor. In primavera e in estate Klez utilizza le falle nella sicurezza IFRAME in Internet Explorer per installarsi non appena viene visualizzata una e-mail. Il virus si propaga per e-mail e in rete e si attacca ai file eseguibili. Il 13 dei mesi pari (nelle versioni successive i giorni cambiano), tutti i file presenti sulle unità raggiungibili vengono sovrascritti con contenuti casuali. I contenuti possono essere ripristinati solo da backup. A maggio si diffonde Benjamin come primo worm sulla rete KaZaA. Il virus si auto-copia assumendo nomi diversi in una cartella della rete. Sui computer infetti viene visualizzata una pagina Web con una pubblicità. In precedenza erano state infettate da Gnutella anche le reti basate sul principio P2P. Lentin è un worm che approfitta dell'ignoranza di molte persone che non sanno che i file SCR non sono solo dei salvaschermo, ma anche file eseguibili. Se confrontato con Kletz, il suo effetto visivo come funzione nociva è solo irritante. Anche la sua diffusione non riesce a raggiungere quella di Kletz. Alla fine di settembre scoppia l'epidemia Opasoft (chiamato anche Brazil). Sulla porta 137 effettua la scansione di un computer in rete e verifica se su questo si trovano condivisioni di file e/o stampanti. Dopodiché prova ad autocopiarsi sul computer. In presenza di una protezione da password, il virus consulta un elenco di password sfruttando un punto debole nell'archiviazione delle password. Tanatos alias BugBear è il primo worm che a primavera soffia il primo posto a Kletz. Il worm si propaga per e-mail e in rete, installa un componente spyware ed invia registrazioni delle sequenze di tasti. |
2003 | A gennaio "SQL-Slammer" infetta in una sola ora almeno 75.000 server SQL e blocca Internet per ore. Sfrutta un punto debole, già noto da 6 mesi, di Microsoft SQL-Server per neutralizzare i server dei database. Poiché SQL-Slammer è composto solo da una richiesta errata e non viene caricato come file in memoria, resta sconosciuto alla maggior parte dei programmi antivirus. Le conseguenze: a Seattle si guastano i numeri di emergenza di polizia e vigili del fuoco, i bancomat della Banca d'America non funzionano, 14.000 uffici postali in Italia restano chiusi, la borsa online soffre in modo drammatico. In Corea KT Corp è rimasto a tratti temporaneamente scollegato dalla rete. Qui è crollato anche l'indice di borsa, a causa dei volumi di scambio estremamente ridotti. In Cina è stato bloccato l'intero traffico in rete con l'estero. Ad agosto si è diffuso da solo in Internet Lovesan (alias Blaster). Utilizza una falla nella protezione, chiusa 4 settimane prima da Microsoft, nel servizio RPC/DCOM ed infetta tramite gli indirizzi IP di PC scelti a caso. In pochissimo tempo centinaia di migliaia di computer erano infettati (la stima è di 570.000). Poco dopo Welchia (alias Nachi) ha cominciato a rimuovere Lovesan/Blaster dai computer e a chiudere la falla di protezione in RPC/DCOM. A fine agosto del 2003 è stato arrestato il diciottenne Jeffrey Lee Parsons, autore di Lovesan. A marzo del 2005 è stato condannato a pagare una sanzione in denaro molto elevata, commutata con l'assenso di Microsoft in servizio sociale settimanale della durata di 3 anni. Il worm di invio in massa di posta elettronica "Sobig.F" ha stabilito un nuovo record per la sua straordinaria velocità di propagazione. Si è diffuso in maniera 10 volte più rapida rispetto ai worm esistenti fino a quel momento. |
2004 | I virus diventano armi nelle mani della criminalità organizzata. Numerosi trojan intercettano password, carte di credito e altre informazioni personali. I backdoor permettono di controllare un computer in modalità remota e di integrarlo nelle cosiddette reti Bot. Durante i Campionati Europei di calcio, con gli zombie di una rete Bot vengono organizzati attacchi Denial-of-Service alle agenzie di scommesse online. I gestori, costretti dalle circostanze, pagano quanto richiesto dagli estorsori. Rugrat è il primo virus per Windows a 64 bit. Cabir, il primo virus per telefoni cellulari con sistema operativo Symbian ed interfaccia Bluetooth, è stato sviluppato dal Gruppo 29A, già noto per i suoi virus Proof of Concept. Poco dopo, dallo stesso gruppo viene creato WinCE.4Dust.A, il primo virus PoC per Windows CE. |
2005 | Il primo worm per gli smartphone dotati di Symbian è stato CommWarrior.A per MMS. I messaggi MMS vengono integrati con testi di accompagnamento variabili di antivirus, giochi, driver, emulatori, software 3D o immagini interessanti e inviati a tutti i nominativi della rubrica. |
Storia del malware
- I primi anni
- 1988 -1994
- Dal 1966 ad oggi
© 2007 - 2012 G Data Software AG. Tutti i diritti riservati
