Virus, worm e trojan

Il malware (software dannoso) è qualsiasi software progettato per interrompere il funzionamento dei sistemi, danneggiarli, ottenere accesso non autorizzato o esfiltrare dati. Il termine comprende molte categorie distinte, che differiscono per modalità di propagazione, azioni svolte e tecniche utilizzate per eludere il rilevamento. Security+ verifica la capacità di distinguere i tipi di malware in base al loro meccanismo di propagazione (come si diffondono), al payload (quale danno o azione eseguono) e al meccanismo di persistenza (come sopravvivono ai riavvii). Le tre categorie fondamentali sono virus, worm e Trojan.

Un virus è un malware che si attacca a un file host legittimo e richiede un'azione umana (l'esecuzione del file infetto) per diffondersi. Quando il file infetto viene eseguito, il virus si replica iniettando il proprio codice in altri file eseguibili, documenti o settori di avvio. I tipi di virus includono i file infector (si attaccano ai file .exe), i macro virus (si incorporano nei documenti Office e vengono eseguiti quando si eseguono le macro), i boot sector virus (infettano l'MBR e vengono caricati prima del sistema operativo) e i virus polimorfici (modificano la propria firma del codice a ogni infezione per eludere il rilevamento basato sulle firme).

Un worm è un malware autoreplicante che si diffonde autonomamente attraverso le reti, senza richiedere un file host o un'azione umana. I worm sfruttano vulnerabilità di rete o credenziali deboli per copiarsi su altri sistemi. Il worm SQL Slammer del 2003 ha infettato 75.000 sistemi in 10 minuti utilizzando un solo pacchetto UDP. Il ransomware WannaCry del 2017 si è diffuso come worm tramite l'exploit EternalBlue, che prendeva di mira SMBv1. I worm causano danni ingenti congestionando la rete e distribuendo il proprio payload su larga scala. L'applicazione delle patch e la segmentazione della rete sono le principali difese.

Un cavallo di Troia (o Trojan) è un malware camuffato da software legittimo. A differenza di virus e worm, i Trojan non si autoreplicano: si affidano all'utente, che li installa credendo che siano qualcosa di utile, come un gioco gratuito, un'applicazione craccata, un'utility utile, un falso antivirus o un aggiornamento software. Una volta installato, il Trojan esegue il proprio payload dannoso, che può includere l'installazione di una backdoor, il funzionamento come RAT (Remote Access Trojan), la registrazione dei tasti premuti o il download di altro malware. I Trojan vengono spesso utilizzati per ottenere l'accesso iniziale prima di distribuire payload più dannosi.

L'esame Security+ verifica spesso le differenze tra queste tre categorie. Gli elementi distintivi fondamentali sono i seguenti: i virus richiedono un file host e un'azione umana per diffondersi, infettando file legittimi; i worm sono autonomi e autoreplicanti: si diffondono automaticamente attraverso le reti senza attaccarsi ad altri file e senza richiedere l'interazione dell'utente; i Trojan non si autoreplicano e si basano sull'inganno, quindi l'utente deve essere indotto con l'inganno a installarli. Un malware può combinare più caratteristiche, ad esempio un worm che distribuisce un payload Trojan; per la classificazione, si concentri quindi sul meccanismo di propagazione dominante.

Molti Trojan e worm stabiliscono una comunicazione con un server di comando e controllo (C2), ovvero un server remoto che l'attaccante utilizza per impartire istruzioni agli host infetti. Un numero elevato di host connessi al C2 forma una botnet. Le botnet vengono utilizzate per attacchi DDoS, campagne di spam, mining di criptovalute e furto di credenziali. La comunicazione C2 può utilizzare HTTP/HTTPS per confondersi con il normale traffico web, il tunneling DNS per nascondersi nelle query DNS o protocolli peer-to-peer privi di un server centrale da neutralizzare. Il rilevamento del traffico C2 richiede il monitoraggio DNS, i log del proxy e l'analisi dei flussi di rete per individuare pattern anomali di beaconing.

Gli antivirus tradizionali si basano sul rilevamento basato sulle firme, confrontando i file con un database di firme di malware noti (hash o pattern di codice). Le firme sono rapide, ma non riescono a rilevare malware nuovi o modificati. Il rilevamento comportamentale (utilizzato dalle piattaforme EDR) monitora in tempo reale il comportamento dei programmi: creazione di processi figlio, modifica delle chiavi di registro, iniezione di codice in altri processi o connessione a indirizzi IP noti come dannosi. L'analisi euristica analizza staticamente il codice alla ricerca di pattern simili a quelli del malware, senza richiedere una corrispondenza esatta con una firma. Il sandboxing esegue i file sospetti in un ambiente isolato per osservarne il comportamento in sicurezza.

Un virus multipartito utilizza simultaneamente più vettori di infezione, infettando ad esempio sia i file eseguibili sia il settore di avvio. Ciò rende più difficile la rimozione completa, perché la pulizia di un solo vettore lascia attivo l'altro, consentendo una nuova infezione. I macro virus infettano i file di documento incorporando macro VBA (Visual Basic for Applications) dannose nei documenti Microsoft Office. Quando il documento viene aperto e le macro sono abilitate, il virus viene eseguito. I macro virus si diffondono facilmente tramite allegati email. La difesa principale consiste nel disabilitare le macro per impostazione predefinita e consentire solo macro con firma digitale provenienti da autori attendibili.

Prevenire la diffusione del malware richiede difese stratificate. Per i virus: disabiliti l'esecuzione delle macro, analizzi tutti i trasferimenti di file (gateway email, proxy web, scansione dei dispositivi USB) e mantenga aggiornata la protezione degli endpoint. Per i worm: applichi tempestivamente le patch (la maggior parte degli exploit utilizzati dai worm prende di mira CVE note), disabiliti i protocolli di rete non necessari (disabiliti SMBv1), segmenti le reti per limitare la portata laterale e imponga un'autenticazione forte su tutti i servizi in rete. Per i Trojan: imponga l'allowlisting delle applicazioni, istruisca gli utenti a non installare software non autorizzato e verifichi gli hash del software prima dell'installazione. La difesa in profondità intercetta ciò che ogni singolo controllo non riesce a rilevare.

I download drive-by si verificano quando la visita a un sito web dannoso o compromesso installa silenziosamente malware senza alcuna azione dell'utente oltre al caricamento della pagina. Gli attaccanti sfruttano le vulnerabilità dei browser o dei plugin (versioni obsolete di Flash, Java o lettori PDF) per eseguire codice dannoso. Gli attacchi watering hole compromettono siti web legittimi visitati frequentemente dalla popolazione obiettivo, inserendovi codice per il download drive-by e infettando così i visitatori. Invece di attaccare direttamente l'obiettivo, l'attaccante «avvelena il punto di abbeveraggio» e attende che le vittime lo visitino. Le difese includono l'aggiornamento di browser e plugin, l'uso della modalità click-to-play per i plugin e l'implementazione di un proxy web che blocchi i siti noti come dannosi.

Quando viene rilevato un malware, la risposta segue il ciclo di vita NIST IR. Contenimento: isoli immediatamente l'host infetto (rimuovendolo dalla rete o applicando regole del firewall basate sull'host) per impedirne la diffusione. Eradicazione: per le infezioni gravi, ricreare l'immagine del sistema è più sicuro che tentare una pulizia; la pulizia lascia il rischio che sopravvivano meccanismi di persistenza. Conservazione delle prove: acquisisca un'immagine della memoria e un'immagine del disco prima di ricreare il sistema, se sono necessarie attività forensi. Ripristino: ripristini da backup puliti, verifichi l'integrità e monitori attentamente la presenza di segni di reinfezione. Documenti gli indicatori di compromissione (IoC) per migliorare il rilevamento futuro.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: i virus si attaccano ai file host e richiedono un'azione dell'utente per diffondersi, utilizzando tecniche come il polimorfismo per eludere il rilevamento basato sulle firme; i worm si propagano autonomamente attraverso le reti, senza azioni dell'utente, sfruttando le vulnerabilità e causando infezioni rapide e su larga scala; e i Trojan si camuffano da software legittimo per indurre gli utenti a installarli, spesso instaurando backdoor e comunicazioni C2. Nella prossima lezione esamineremo in dettaglio ransomware e cryptolocker.