- SandBox Information Center
- Malware Analysis Search
- Articoli sulla sicurezza
- Blog sulla sicurezza [EN]
- Livello di pericolosità [EN]
- Minacce attuali di virus
- Tipi di malware [EN]
- Descrizione dei virus [EN]
- Statistiche sulla posta elettronica [EN]
- Testi, white paper generici ed altro
- La tecnologia Norman
Il malware nelle applicazioni: un problema particolare
Introduzione
Di recente, l'analista di virus esperto Snorre Fagerland di Norman ha scritto in merito al malware W32/Induc.A sul nostro blog sulla sicurezza. Si tratta di un virus che infetta il linguaggio di programmazione Delphi. Il risultato è che le applicazioni create con un ambiente Delphi infettato risultano a loro volta infette. Come potremo vedere, ciò presenta interessanti implicazioni.
Infezioni segnalate
Norman ha di recente ricevuto numerosi rapporti riguardanti file infettati dal malware Induc.A.
Delphi è un linguaggio di programmazione molto diffuso e il numero di applicazioni personalizzate (e commerciali) in uso è prevedibilmente molto elevato. Quando un'organizzazione riceve un'applicazione dal proprio fornitore o acquista un programma informatico dal proprio partner di fiducia, il livello di allerta nei confronti della sicurezza è sicuramente inferiore rispetto a quando riceve un programma in un messaggio email indesiderato o quando lo scarica da Internet.
In questo caso particolare, ciò è ovviamente pericoloso.
Un'osservazione interessante e preoccupante
Un effetto ancora più interessante di questo malware particolare riguarda i cosiddetti "falsi positivi", un argomento che è stato discusso in articoli precedenti sulla sicurezza (vedere, ad esempio, Problemi di sicurezza? - no!, pubblicato precedentemente nel corso dell'anno.
Molti dei nostri clienti ci hanno inviato file, infettati da Induc.A, segnalandoli come falsi positivi. Ciò rafforza ulteriormente quanto affermato in precedenza: i programmi ricevuti da "fonti affidabili" vengono a priori considerati come sicuri dal destinatario. Se un'applicazione di sicurezza definisce tali programmi come infetti, si parte dal presupposto che il programma abbia sbagliato.
Oltre ad essere, naturalmente, un presupposto dubbio, per i fornitori di prodotti di sicurezza è un paradosso che i falsi positivi siano diventati talmente comuni da far considerare come tali anche i file effettivamente infetti.
Aspettiamoci altro
Fortunatamente Induc.A non è un malware pericoloso poiché non ha alcun payload.
Tuttavia, visto il "successo" ottenuto da questo malware per quanto riguarda la sua capacità di diffusione e di infettare i programmi, dobbiamo aspettarci che altri creatori di malware utilizzeranno la medesima tecnica. In futuro, il malware che si avvale di questo vettore di diffusione potrebbe essere molto più pericoloso.