ESET Glossary Manuale del proprietario

Marca: ESET

Modello: Glossary

Categoria: Software di sicurezza antivirus

Tipo: Manuale del proprietario

ESET Glossary

Manuale dell'utente

Fare clic qui per visualizzare la versione della Guida di questo documento

ESET Glossary è stato sviluppato da ESET, spol. s r.o.

Per ulteriori informazioni, visitare la pagina https://www.eset.com.

con qualsiasi mezzo, elettronico, meccanico, tramite fotocopia, registrazione, scansione o altro la presente

documentazione o parti di essa in assenza di autorizzazione scritta dell’autore.

ESET, spol. s r.o. si riserva il diritto di modificare qualsiasi parte del software applicativo descritta senza alcun

preavviso.

Supporto tecnico: https://support.eset.com

REV. 19/04/2023

1 Introduzione al glossario ESET 1 ..........................................................................................................

1.1 Adware 1 ......................................................................................................................................

1.2 Botnet 1 .......................................................................................................................................

1.3 Falso positivo (FP) 2 ......................................................................................................................

1.4 Programma di compressione 2 ........................................................................................................

1.5 Applicazioni potenzialmente pericolose 2 .........................................................................................

1.6 Applicazioni potenzialmente indesiderate 2 .....................................................................................

1.7 Ransomware 7 ..............................................................................................................................

1.8 Rootkit 7 ......................................................................................................................................

1.9 Programmazione orientata al ritorno 8 ............................................................................................

1.10 Spyware 8 ..................................................................................................................................

1.11 Trojan 8 ......................................................................................................................................

1.12 Virus 9 .......................................................................................................................................

1.13 Worm 9 ......................................................................................................................................

1.14 Credential stuﬃng 10 ..................................................................................................................

1.15 Poisoning del DNS 10 ...................................................................................................................

1.16 Attacco DoS 10 ...........................................................................................................................

1.17 Attacco ICMP 10 ..........................................................................................................................

1.18 Scansione porta 11 ......................................................................................................................

1.19 SMB Relay 11 ..............................................................................................................................

1.20 Desincronizzazione del TCP 11 ......................................................................................................

1.21 Attacco worm 12 .........................................................................................................................

1.22 Poisoning cache ARP 12 ...............................................................................................................

2 Minacce e-mail 12 ................................................................................................................................

2.1 Pubblicità 13 ................................................................................................................................

2.2 Hoax: truﬀe e bufale 13 .................................................................................................................

2.3 Phishing 13 ..................................................................................................................................

2.4 Riconoscimento messaggi indesiderati di spam 14 ............................................................................

2.4 Regole 14 .................................................................................................................................

2.4 Whitelist 15 ...............................................................................................................................

2.4 Blacklist 15 ...............................................................................................................................

2.4 Eccezione 15 .............................................................................................................................

2.4 Controllo lato server 16 ..................................................................................................................

2.5 Scanner memoria avanzato 16 ........................................................................................................

2.6 Protezione pagamenti bancari 16 ....................................................................................................

2.7 Protezione Botnet 17 .....................................................................................................................

2.8 Rilevamenti del DNA 17 .................................................................................................................

2.9 ESET LiveGrid® 17 ........................................................................................................................

2.10 Exploit Blocker 18 .......................................................................................................................

2.11 Java Exploit Blocker 18 ................................................................................................................

2.12 ESET LiveSense 19 ......................................................................................................................

2.13 Machine learning 19 ....................................................................................................................

2.14 Protezione contro gli attacchi di rete 20 ........................................................................................

2.15 Protezione ransomware 20 ...........................................................................................................

2.16 Protezione contro attacchi basati su script 20 ................................................................................

2.17 Browser protetto 21 ....................................................................................................................

2.18 Scanner UEFI 21 ..........................................................................................................................

2.19 File canary 22 .............................................................................................................................

2.20 Deadlock (blocco critico) 22 ..........................................................................................................

Introduzione al glossario ESET

Il glossario ESET offre un quadro completo delle minacce attualmente in circolazione e delle tecnologie attuate da

ESET per offrire protezione da questi attacchi.

Gli argomenti sono suddivisi in capitoli che analizzano gli aspetti di seguito specificati:

• Rilevamenti: sono compresi virus, worm, Trojan horse, applicazioni potenzialmente indesiderate, ecc.

• Attacchi remoti: minacce indirizzate a reti locali o Internet

• Minacce e-mail: sono compresi hoax, fishing, scam e così via.

• Tecnologie ESET: funzionalità del prodotto disponibili nelle soluzioni di protezione ESET

Adware

Adware è l'abbreviazione di software con supporto della pubblicità (advertising-supported software). Rientrano in

questa categoria i programmi che consentono di visualizzare materiale pubblicitario. Le applicazioni adware

spesso aprono automaticamente una nuova finestra popup contenente pubblicità all'interno di un browser

Internet oppure ne modificano la pagina iniziale. I programmi adware vengono spesso caricati insieme a

programmi freeware, che consentono ai loro sviluppatori di coprire i costi di sviluppo delle applicazioni che, in

genere, si rivelano molto utili.

L'adware non è di per sé pericoloso, anche se gli utenti possono essere infastiditi dai messaggi pubblicitari. Il

pericolo sta nel fatto che l'adware può svolgere anche funzioni di rilevamento, al pari dei programmi spyware.

Se si decide di utilizzare un prodotto freeware, è opportuno prestare particolare attenzione al programma di

installazione. Nei programmi di installazione viene in genere visualizzata una notifica dell'installazione di un

programma adware aggiuntivo. Spesso è possibile annullarla e installare il programma senza adware.

Alcuni programmi non verranno installati senza l'installazione dell'adware. In caso contrario, le rispettive

funzionalità saranno limitate. Ciò significa che l'adware potrebbe accedere di frequente al sistema in modo

“legale”, poiché l'utente ne ha dato il consenso. In questi casi, vale il proverbio secondo il quale la prudenza non è

mai troppa. Se in un computer viene rilevato un file adware, si consiglia di eliminarlo, in quanto esistono molte

probabilità che contenga codice dannoso.

Botnet

Un bot (o robot Web) è un programma malware automatizzato che ricerca blocchi di indirizzi di rete e infetta i

computer vulnerabili. In questo modo gli hacker possono assumere il controllo di più computer

contemporaneamente e trasformarli in bot (anche noti come zombie). Solitamente gli hacker utilizzano i bot per

infettare grandi quantità di computer che costituiscono una rete o una botnet. Quando la botnet è nel computer,

può essere utilizzata negli attacchi DDoS (Distributed Denial of Service) e nel proxy e anche per eseguire attività

automatiche su Internet a insaputa dell'utente (ad esempio per l'invio di messaggi di spam, virus o per

impossessarsi di informazioni personali e private quali i dati bancari o i numeri della carta di credito).

Falso positivo (FP)

Da un punto di vista pratico, non si garantisce una percentuale di rilevamento del 100%, così come una possibilità

dello 0% di evitare una classificazione non corretta degli oggetti puliti come rilevamenti.

Un falso positivo è un file/un’applicazione pulito/a classificato/a erroneamente come malware o applicazione

potenzialmente indesiderata.

Programma di compressione

Un programma di compressione è un eseguibile compresso autoestraente che riunisce vari tipi di malware in un

unico pacchetto.

I programmi di compressione più comuni sono UPX, PE_Compact, PKLite e ASPack. Se compresso, lo stesso

malware può essere rilevato in modo diverso, mediante l'utilizzo di un programma di compressione diverso. I

programmi di compressione sono anche in grado di mutare le proprie "firme" nel tempo, rendendo più complessi

il rilevamento e la rimozione dei malware.

Applicazioni potenzialmente pericolose

Esistono molti programmi legali utili per semplificare l'amministrazione dei computer in rete. Tuttavia, nelle mani

sbagliate, possono essere utilizzati per scopi illegittimi. ESET offre la possibilità di rilevare tali applicazioni.

Applicazioni potenzialmente pericolose è la classificazione utilizzata per il software legale e commerciale. Questa

classificazione include programmi quali strumenti di accesso remoto, applicazioni di password cracking e

applicazioni di keylogging (programmi che registrano tutte le battute dei tasti premuti da un utente).

Se si rileva la presenza di un'applicazione potenzialmente pericolosa in esecuzione sul computer (che non è stata

installata dall'utente) rivolgersi all'amministratore di rete o rimuovere l'applicazione.

Applicazioni potenzialmente indesiderate

Grayware (o applicazione potenzialmente indesiderata, “Potentially Unwanted Application” o PUA) indica una

vasta categoria di software, il cui intento non è inequivocabilmente dannoso come quello di altri tipi di malware,

tra cui virus o trojan horse. Questo strumento potrebbe tuttavia installare software indesiderati aggiuntivi,

modificare il comportamento di un dispositivo digitale o eseguire attività non autorizzate o inattese dall'utente.

Tra le categorie che potrebbero essere considerate grayware vi sono: software di visualizzazione di annunci

pubblicitari, download wrapper, barre degli strumenti di vari browser, software con comportamenti ingannevoli,

bundleware, trackware, proxyware (applicazioni di condivisione Internet), crypto-miner, pulitori di registro (solo

per sistemi operativi Windows) o altri software discutibili oppure software che fanno uso di pratiche commerciali

illecite o non esattamente etiche (nonostante risultino in apparenza legittimi) e che potrebbero essere considerati

indesiderati da un utente finale consapevole delle conseguenze della loro installazione.

Un’applicazione potenzialmente pericolosa è un software di per sé legittimo (probabilmente commerciale) che

potrebbe però essere impiegato in modo improprio dall’autore di un attacco. Il rilevamento di questi tipi di

applicazioni può essere attivato o disattivato dagli utenti del software ESET.

In alcuni casi, un utente potrebbe percepire che i vantaggi di un'applicazione potenzialmente indesiderata

superano i rischi. Per questo motivo, ESET assegna a tali applicazioni una categoria a rischio ridotto rispetto ad

altri tipi di software dannosi, come trojan horse o worm.

• Avviso: trovata applicazione potenzialmente indesiderata

• Impostazioni

• Wrapper di software

• Pulitori di registro

• Contenuto potenzialmente indesiderato

Istruzioni illustrate

Per eseguire il controllo e la rimozione di applicazioni potenzialmente indesiderate (Potentially Unwanted

Application, PUA) nei prodotti ESET Windows Home, consultare questo articolo della Knowledge Base di

ESET.

Avviso: trovata applicazione potenzialmente indesiderata

In caso di rilevamento di un'applicazione potenzialmente indesiderata, l'utente può scegliere l'azione da

intraprendere:

1.Pulisci/Disconnetti: questa opzione termina l'azione e impedisce all’applicazione potenzialmente

indesiderata di entrare nel sistema in uso.

Durante il download da un sito Web compare l’opzione Disconnetti per le notifiche relative alle applicazioni

potenzialmente indesiderate e l’opzione Pulisci per le notifiche relative a un file sul disco.

2.Ignora: questa opzione consente a un’applicazione potenzialmente indesiderata di entrare nel sistema in

uso.

3.Escludi dal rilevamento: per consentire l’esecuzione futura e senza interruzioni del file rilevato già

presente nel computer, fare clic su Opzioni avanzate, selezionare la casella di controllo accanto a Escludi

dal rilevamento e fare clic su Ignora.

4.Escludi firma dal rilevamento: per consentire l’esecuzione futura e senza interruzioni dei file identificati

con un nome di rilevamento specifico (firma) sul computer (dai file esistenti o tramite il download dal

Web), fare clic su Opzioni avanzate, selezionare la casella di controllo accanto a Escludi firma dal

rilevamento e fare clic su Ignora. In caso di immediata comparsa di ulteriori finestre di rilevamento con un

nome di rilevamento identico, fare clic su Ignora per chiuderle (le nuove finestre riguardano un rilevamento

che si è verificato prima dell’esclusione della firma dal rilevamento da parte dell’utente).

Impostazioni

Durante l'installazione di un prodotto ESET, l'utente può decidere di attivare il rilevamento di applicazioni

potenzialmente indesiderate, come illustrato di seguito:

Allarme

Le applicazioni potenzialmente indesiderate possono installare adware e barre degli strumenti o contenere

altre funzioni di programma non sicure e indesiderate.

Queste impostazioni possono essere modificate in qualsiasi momento. Per attivare o disattivare il rilevamento di

applicazioni potenzialmente indesiderate, pericolose o sospette, attenersi alle seguenti istruzioni:

1. Aprire il prodotto ESET.

2. Premere il tasto F5 per accedere alla Configurazione avanzata.

3. Fare clic su Motore di rilevamento (nelle versioni precedenti noto anche con il nome di Antivirus o

Computer) e attivare o disattivare le opzioni Attiva rilevamento di applicazioni potenzialmente indesiderate,

Attiva rilevamento di applicazioni potenzialmente pericolose e Attiva rilevamento di applicazioni sospette in

base alle proprie preferenze. Confermare facendo clic su OK.

Istruzioni illustrate

Per consultare istruzioni più dettagliate sulla modalità di configurazione dei prodotti per rilevare o ignorare

le applicazioni potenzialmente indesiderate, consultare questi articoli della Knowledge Base di ESET:

• ESET NOD32 Antivirus / ESET Internet Security / ESET Smart Security Premium

• ESET Cyber Security for macOS/ESET Cyber Security Pro for macOS

• ESET Endpoint Security / ESET Endpoint Antivirus for Windows

• ESET Mobile Security for Android

Wrapper di software

Il wrapper di un software è un tipo speciale di modifica di un'applicazione utilizzato da alcuni siti Web che offrono

servizi di file hosting. Si tratta di uno strumento di terze parti che installa il programma che si intende scaricare

aggiungendo, però, altri software, come ad esempio barre degli strumenti o adware. I software aggiuntivi

possono inoltre apportare modifiche alla pagina iniziale del browser Web in uso e alle impostazioni di ricerca.

Inoltre, i siti Web che offrono servizi di file hosting non comunicano al fornitore del software o al destinatario del

download le modifiche apportate e non consentono di rifiutarle facilmente. Per tali motivi, ESET classifica i

wrapper di software tra le applicazioni potenzialmente indesiderate per consentire agli utenti di decidere se

accettare o meno il download.

Pulitori di registro

I pulitori di registro sono programmi che potrebbero suggerire che il database di registro di Windows richiede una

manutenzione o una pulizia periodica. L’utilizzo di un pulitore di registro potrebbe esporre il computer ad alcuni

rischi. Inoltre, alcuni pulitori di registro effettuano dichiarazioni non qualificate, non verificabili o non supportate

sui propri benefici e/o generano report ingannevoli su un computer sulla base dei risultati di un “controllo

gratuito”. Queste dichiarazioni e questi report tentano di persuadere l’utente ad acquistare una versione

completa o un abbonamento del prodotto, solitamente senza concedere il tempo di effettuare una valutazione

prima del pagamento. Per tali motivi, ESET classifica tali programmi come applicazioni potenzialmente

indesiderate e fornisce all’utente la possibilità di consentirle o bloccarle.

Contenuto potenzialmente indesiderato

Se nel prodotto ESET è attivato il rilevamento delle applicazioni potenzialmente indesiderate, i siti Web con un

livello di reputazione che consente la promozione delle applicazioni potenzialmente indesiderate o che permette

a utenti con cattive intenzioni di eseguire azioni che potrebbero avere un impatto negativo sul sistema o

sull’esperienza di navigazione verranno bloccati come contenuto potenzialmente indesiderato. Se si riceve una

notifica che un sito Web che si sta tentando di visitare è classificato come contenuto potenzialmente

indesiderato, è possibile fare clic su Indietro per uscire dalla pagina Web bloccata o su Ignora e continua per

consentire il caricamento del sito.

Per ulteriori informazioni sull’argomento, consultare questo articolo della Knowledge Base di ESET.

Ransomware

Il ransomware (noto anche con il nome di “filecoder”) è un tipo di malware che blocca un dispositivo o esegue la

crittografia dei relativi contenuti estorcendo denaro all’utente per ripristinarne l’accesso. Questo tipo di malware

può anche essere dotato di un timer integrato con un termine di pagamento preventivamente programmato e

tassativo. Qualora il pagamento non venga eseguito nei termini stabiliti, il prezzo aumenta o il dispositivo diventa

completamente inaccessibile.

Se il dispositivo è infetto, il filecoder potrebbe tentare di eseguire la crittografia delle unità condivise disponibili.

Questo processo potrebbe far pensare a una diffusione del malware all’interno della rete, ma in realtà non è così.

Tale situazione si verifica nel caso in cui l’unità condivisa su un file server sia crittografata, ma il server non

contiene di per sé un’infezione da malware (a meno che non si tratti di un server terminal).

Gli autori di ransomware generano due chiavi, una pubblica e una privata, e inseriscono quella pubblica nel

malware. Il ransomware stesso potrebbe far parte di un Trojan o assumere le sembianze di un file o di

un’immagine che l’utente potrebbe ricevere come allegato di un’e-mail, sui social network o sui sistemi di

messaggistica istantanea. In seguito all’infiltrazione in un computer, il malware genera una chiave simmetrica

casuale ed esegue la crittografia dei dati sul dispositivo. Utilizza la chiave pubblica nel malware per eseguire la

crittografia della chiave simmetrica. Il ransomware richiede quindi un pagamento per eseguire la decrittografia

dei dati. Il messaggio di richiesta del pagamento visualizzato sul dispositivo potrebbe essere un avviso falso in cui

si comunica all’utente che il sistema è stato utilizzato per attività illegali o che sono presenti contenuti illegali. Alla

vittima di un attacco ransomware viene richiesto di effettuare un pagamento in base a diverse modalità. Le

opzioni “preferite” sono solitamente quelle difficili da tracciare, tra cui valute digitali (criptovalute), SMS a tariffa

maggiorata o voucher prepagati. Dopo aver ricevuto il pagamento, l’autore del ransomware dovrebbe sbloccare il

dispositivo o utilizzare la chiave privata per eseguire la decrittografia della chiave simmetrica e, di conseguenza,

dei dati della vittima. Tuttavia, questa operazione non è garantita.

Maggiori informazioni sulla protezione da attacchi ransomware

I prodotti ESET utilizzano tecnologie su più livelli in grado di garantire ai dispositivi protezione da attacchi

ransomware. Consultare questo articolo della Knowledge Base di ESET per le procedure consigliate per una

protezione ottimale del sistema da attacchi ransomware.

Rootkit

I rootkit sono programmi dannosi che forniscono agli autori degli attacchi su Internet l'accesso illimitato a un

sistema, nascondendo tuttavia la loro presenza. I rootkit, dopo aver effettuato l'accesso a un sistema (di norma,

sfruttando una vulnerabilità del sistema), utilizzano le funzioni del sistema operativo per non essere rilevate dal

software antivirus: nascondono i processi, i file e i dati del Registro di sistema di Windows. Per tale motivo, è

quasi impossibile rilevarli utilizzando le tradizionali tecniche di testing.

Per bloccare i rootkit, sono disponibili due livelli di rilevamento:

1.Quando tentano di accedere a un sistema: Non sono ancora presenti e pertanto sono inattivi. La maggior

parte dei sistemi antivirus è in grado di eliminare i rootkit a questo livello (presupponendo che riescano

effettivamente a rilevare tali file come infetti).

2.Quando sono nascosti dal normale testing: gli utenti ESET hanno il vantaggio di poter utilizzare la

tecnologia Anti-Stealth che è in grado di rilevare ed eliminare anche i rootkit attivi.

Programmazione orientata al ritorno

La programmazione orientata al ritorno (Return-oriented Programming, ROP) è un tipico attacco di riutilizzo del

codice in cui l’autore di un attacco indirizza il flusso di controllo attraverso il codice esistente con un risultato

dannoso. L’attacco ROP rappresenta una versione avanzata di un attacco stack-smashing. Un sovraccarico del

buffer dello stack si verifica quando un programma effettua la scrittura su un indirizzo di memoria sullo stack di

chiamate del programma fuori dalla struttura di dati prevista, generalmente con un buffer a lunghezza fissa.

La programmazione ROP è una tecnica di exploit che consente l’esecuzione del codice sul sistema di destinazione.

Ottenuto il controllo dello stack di chiamate, l’autore dell’attacco controlla il flusso del software attendibile

esistente in esecuzione sul computer e lo manipola per eseguire un’attività diversa da quella prevista.

Spyware

Questa categoria include tutte le applicazioni che inviano informazioni riservate senza il consenso o la

consapevolezza dell'utente. Gli spyware si avvalgono di funzioni di monitoraggio per inviare dati statistici di vario

tipo, tra cui un elenco dei siti Web visitati, indirizzi e-mail della rubrica dell'utente o un elenco dei tasti digitati.

Gli autori di spyware affermano che lo scopo di tali tecniche è raccogliere informazioni aggiuntive sulle esigenze e

sugli interessi degli utenti per l'invio di pubblicità più mirate. Il problema è legato al fatto che non esiste una

distinzione chiara tra applicazioni utili e dannose e che nessuno può essere sicuro del fatto che le informazioni

raccolte verranno utilizzate correttamente. I dati ottenuti dalle applicazioni spyware possono contenere codici di

sicurezza, PIN, numeri di conti bancari e così via. I programmi spyware sono frequentemente accoppiati a versioni

gratuite di un programma creato dal relativo autore per generare profitti o per offrire un incentivo all'acquisto del

software. Spesso, gli utenti sono informati della presenza di un'applicazione spyware durante l'installazione di un

programma che li esorta a eseguire l'aggiornamento a una versione a pagamento che non lo contiene.

Esempi di prodotti freeware noti associati a programmi spyware sono le applicazioni client delle reti P2P (peer-to-

peer). Spyfalcon o Spy Sheriff (e molti altri ancora) appartengono a una sottocategoria di spyware specifica,

poiché si fanno passare per programmi antispyware ma in realtà sono essi stessi applicazioni spyware.

Se in un computer viene rilevato un file spyware, è consigliabile eliminarlo in quanto è molto probabile che

contenga codice dannoso.

Trattandosi di una sottocategoria di spyware, i keylogger possono essere basati su hardware o software. I

keylogger basati su software possono raccogliere solo le informazioni inserite in un unico sito Web o applicazione.

Keylogger più sofisticati possono registrare tutti ciò che si inserisce, incluse le informazioni copiate/incollate.

Alcuni keylogger che prendono di mira i dispositivi mobili possono registrare chiamate, informazioni provenienti

da applicazioni di messaggistica, posizioni o persino il microfono e immagini della fotocamera.

Trojan

Storicamente, i trojan horse sono stati definiti come una classe di minacce che tentano di presentarsi come

programmi utili per ingannare gli utenti e indurli così a eseguirli.

Poiché si tratta di una categoria molto ampia, è spesso suddivisa in diverse sottocategorie:

• Downloader: programmi dannosi in grado di scaricare altre minacce da Internet.

• Dropper: programmi dannosi in grado di installare sui computer compromessi altri tipi di malware.

• Backdoor: programmi dannosi che comunicano con gli autori degli attacchi remoti, consentendo loro di

ottenere l'accesso al computer e di assumerne il controllo.

• Keylogger (registratore delle battute dei tasti): programma che registra ogni battuta di tasto effettuata da

un utente e che invia le informazioni agli autori degli attacchi remoti.

• Dialer: programmi dannosi progettati per connettersi a numeri a tariffa maggiorata anziché ai provider di

servizi Internet dell'utente. È quasi impossibile che un utente noti che è stata creata una nuova connessione.

I dialer possono causare danni solo agli utenti con connessione remota che ormai viene utilizzata sempre più

di rado.

Se sul computer in uso viene rilevato un trojan horse, si consiglia di eliminarlo, poiché probabilmente contiene

codice dannoso.

Virus

Un virus è un pezzo di codice dannoso che è pre-incorporato o viene aggiunto ai file esistenti nel computer. I virus

prendono il nome dai virus biologici, poiché utilizzano tecniche simili per diffondersi da un punto a un altro. Il

termine “virus” viene spesso utilizzato in maniera errata per indicare qualsiasi tipo di minaccia. Attualmente,

l'utilizzo di questo termine è stato superato e sostituito dalla nuova e più accurata definizione di “malware”

(software dannoso).

I virus attaccano principalmente i file eseguibili e i documenti. In breve, un virus funziona nel seguente modo:

dopo aver eseguito un file infetto, il codice dannoso viene chiamato ed eseguito prima dell'esecuzione

dell'applicazione originale. Un virus può infettare qualsiasi file sul quale l'utente corrente dispone dei diritti di

scrittura.

I virus possono essere classificati in base agli scopi e ai diversi livelli di gravità. Alcuni di essi sono estremamente

dannosi poiché sono in grado di eliminare deliberatamente i file da un disco rigido. Altri, invece, non causano veri

e propri danni, poiché il loro scopo consiste esclusivamente nell'infastidire l'utente e dimostrare le competenze

tecniche dei rispettivi autori.

Se il computer è stato infettato da un virus e non è possibile rimuoverlo, inviarlo ai laboratori di ricerca ESET ai fini

di un esame accurato. In alcuni casi, i file infetti possono essere modificati a un livello tale da impedirne la pulizia.

In questo caso, è necessario sostituire i file con una copia non infetta.

Worm

Un worm è un programma contenente codice dannoso che attacca i computer host e si diffonde tramite la rete.

La differenza fondamentale tra un virus e un worm è che i worm hanno la capacità di propagarsi autonomamente,

in quanto non dipendono da file host (o settori di avvio). I worm si diffondono attraverso indirizzi e-mail

all'interno della lista dei contatti degli utenti oppure sfruttano le vulnerabilità delle applicazioni di rete.

I worm sono pertanto molto più attivi rispetto ai virus. Grazie all'ampia disponibilità di connessioni Internet,

possono espandersi in tutto il mondo entro poche ore o persino pochi minuti dal rilascio. Questa capacità di

replicarsi in modo indipendente e rapido li rende molto più pericolosi rispetto ad altri tipi di malware.

Un worm attivato in un sistema può provocare diversi inconvenienti: può eliminare file, ridurre le prestazioni del

sistema e perfino disattivare programmi. La sua natura lo qualifica come "mezzo di trasporto" per altri tipi di

infiltrazioni.

Se il computer è infettato da un worm, si consiglia di eliminare i file infetti poiché è probabile che contengano

codice dannoso.

Credential stuffing

Il "credential stuffing" è un attacco informatico che utilizza i dati provenienti da database delle credenziali persi.

Gli autori degli attacchi utilizzano bot e altri metodi di automazione per accedere agli account su numerosi siti

Web utilizzando i dati persi. Gli autori degli attacchi sfruttano gli utenti che riciclano le loro credenziali di accesso

su più siti Web e servizi. Se l'attacco riesce, gli autori degli attacchi possono ottenere l'accesso completo

all'account e ai dati degli utenti archiviati in tale account. Gli autori degli attacchi possono sfruttare questo

accesso per impossessarsi di dati personali ai fini del furto d’identità, eseguire transazioni fraudolente, distribuire

spam o effettuare altre azioni dannose.

Poisoning del DNS

Attraverso il poisoning DNS (Domain Name Server), gli hacker possono ingannare il server DNS di qualsiasi

computer facendo credere che i dati fasulli forniti siano legittimi e autentici. Le false informazioni vengono

memorizzate nella cache per un determinato periodi di tempo, consentendo agli autori degli attacchi informatici

di riscrivere le risposte DNS degli indirizzi IP. Di conseguenza, gli utenti che tentano di accedere a siti Web su

Internet scaricheranno virus o worm nel computer, anziché i contenuti originali.

Attacco DoS

DoS, acronimo di Denial of Service (ovvero negazione del servizio), è un tentativo di rendere un computer o una

rete non disponibile agli utenti destinati. Le comunicazioni fra utenti con tale problema vengono bloccate e non

possono più essere eseguite in modo efficace. In genere, è necessario riavviare i computer esposti ad attacchi

DoS. In caso contrario, potrebbero non funzionare correttamente.

Nella maggior parte dei casi, gli obiettivi sono i server Web, allo scopo di renderli non disponibili agli utenti per un

determinato periodo di tempo.

Attacco ICMP

ICMP (Internet Control Message Protocol) è un protocollo Internet molto diffuso e ampiamente utilizzato. Viene

utilizzato principalmente dai computer in rete per inviare diversi messaggi di errore.

Gli autori degli attacchi informatici in remoto tentano di sfruttare i punti deboli del protocollo ICMP. Il protocollo

ICMP è stato progettato per la comunicazione unidirezionale che non prevede l'autenticazione. Questo consente

agli autori degli attacchi informatici in remoto di sferrare i cosiddetti attacchi DoS (Denial of Service) o attacchi

che consentono a utenti non autorizzati di accedere ai pacchetti in ingresso e in uscita.

Esempi tipici di attacchi ICMP includono attacchi ping flood, ICMP_ECHO flood e smurf. I computer esposti ad

attacchi ICMP risultano notevolmente più lenti (ciò è rilevabile su tutte le applicazioni che utilizzano Internet) e

presentano problemi di connessione a Internet.

Scansione porta

La scansione porta può essere utilizzata per individuare le porte del computer aperte su un host di rete. Uno

scanner di porte è un software progettato per rilevare tali porte.

La porta di un computer è un punto virtuale che gestisce i dati in entrata e in uscita: un elemento strategico dal

punto di vista della sicurezza. In una rete di grandi dimensioni, le informazioni raccolte dagli scanner di porta

possono contribuire a identificare le potenziali vulnerabilità. Tale uso è legittimo.

Tuttavia, la scansione delle porte viene spesso utilizzata dagli hacker nel tentativo di compromettere la sicurezza.

Per prima cosa, gli hacker inviano pacchetti a ogni porta. A seconda del tipo di risposta, è possibile stabilire quali

sono le porte in uso. La scansione in sé non causa danni, ma occorre tenere presente che questa attività può

rivelare le potenziali vulnerabilità e consente agli autori degli attacchi di assumere il controllo dei computer

remoti.

Si consiglia agli amministratori di rete di bloccare tutte le porte inutilizzate e proteggere quelle in uso dagli accessi

non autorizzati.

SMB Relay

SMB Relay e SMB Relay 2 sono programmi speciali in grado di infliggere attacchi ai computer remoti. Questi

programmi si avvalgono del protocollo di condivisione file SMB (Server Message Block) sovrapposto su NetBIOS.

Se un utente condivide una cartella o una directory all'interno della LAN, è molto probabile che utilizzi questo

protocollo di condivisione file.

Nell’ambito della comunicazione della rete locale, vengono scambiate password hash.

SMB Relay riceve una connessione sulle porte UDP 139 e 445, inoltra i pacchetti scambiati dal client e dal server e

li modifica. Dopo aver eseguito la connessione e l’autenticazione, il client viene disconnesso. SMB Relay crea un

nuovo indirizzo IP virtuale. È possibile accedere al nuovo indirizzo utilizzando il comando "net use \\192.168.1.1".

L'indirizzo può quindi essere utilizzato da qualsiasi funzione di rete di Windows. SMB Relay inoltra la

comunicazione del protocollo SMB tranne che per la negoziazione e l'autenticazione. Gli aggressori remoti

possono utilizzare l’indirizzo IP a condizione che il computer client sia connesso.

SMB Relay 2 funziona in base agli stessi principi di SMB Relay, tranne per il fatto che utilizza i nomi NetBIOS

anziché gli indirizzi IP. Entrambi sono in grado di eseguire attacchi di tipo "man‑in‑the‑middle". Questi attacchi

consentono agli aggressori remoti di leggere, inserire e modificare i messaggi scambiati tra due endpoint di

comunicazione senza essere notati. I computer esposti a tali attacchi spesso smettono di rispondere o si riavviano

inaspettatamente.

Per evitare gli attacchi, si consiglia di utilizzare password o chiavi di autenticazione.

Desincronizzazione del TCP

La desincronizzazione del TCP è una tecnica utilizzata negli attacchi Hijacking TCP. È avviata da un processo in cui il

numero sequenziale dei pacchetti in entrata è diverso dal numero sequenziale atteso. I pacchetti con un numero

sequenziale inatteso vengono ignorati (o salvati nella memoria buffer, se sono presenti nella finestra della

comunicazione corrente).

Nella desincronizzazione, entrambi gli endpoint di comunicazione ignorano i pacchetti ricevuti. Questo è il

momento in cui gli autori degli attacchi remoti sono in grado di infiltrarsi e fornire pacchetti con un numero di

sequenza corretto. Gli autori degli attacchi sono persino in grado di manipolare o modificare la comunicazione.

Lo scopo degli attacchi Hijacking è interrompere le comunicazioni server-client o peer-to-peer. Molti attacchi

possono essere evitati utilizzando l'autenticazione per ciascun segmento TCP. È inoltre opportuno utilizzare le

configurazioni consigliate per i dispositivi di rete in uso.

Attacco worm

Un worm è un programma contenente codice dannoso che attacca i computer host e si diffonde tramite una rete.

I worm di rete sfruttano le vulnerabilità di protezione di diverse applicazioni. Grazie alla disponibilità di Internet,

possono diffondersi in tutto il mondo entro poche ore dal loro rilascio,

La maggior parte degli attacchi worm (Sasser, SqlSlammer) può essere evitata utilizzando le impostazioni di

protezione predefinite del firewall, oppure bloccando le porte non protette e inutilizzate. È inoltre essenziale

aggiornare il sistema operativo con le patch di protezione più recenti.

Poisoning cache ARP

Il protocollo ARP (Address Resolution Protocol) esegue la conversione tra gli indirizzi a livello di collegamento dati

(indirizzi MAC) e di rete (indirizzi IP). Un attacco poisoning della cache ARP consente agli autori di intercettare la

comunicazione tra i dispositivi di rete corrompendo le tabelle ARP della rete (mapping dei dispositivi da MAC a IP).

L’autore dell’attacco invia un falso messaggio di risposta ARP al gateway di rete predefinito, informando che

l'indirizzo MAC è associato all'indirizzo IP di un’altra destinazione. Quando il gateway predefinito riceve questo

messaggio e trasmette le modifiche a tutti gli altri dispositivi della rete, tutto il traffico della destinazione verso

qualsiasi altro dispositivo di rete passa attraverso il computer dell’autore dell’attacco. Questa azione consente

all’autore dell’attacco di ispezionare o modificare il traffico prima di inoltrarlo alla destinazione prevista.

Minacce e-mail

L'e-mail è una forma di comunicazione che presenta numerosi vantaggi.

Purtroppo, a causa dell'elevato livello di anonimità, i messaggi e-mail e Internet lasciano ampio spazio ad attività

illegali come lo spam. Lo spam include annunci pubblicitari non desiderati, hoax e proliferazione di software

dannoso o malware. Ad aumentare ulteriormente i disagi e i pericoli è il fatto che i costi di invio dello spam sono

minimi e gli autori dispongono di numerosi strumenti per acquisire nuovi indirizzi e-mail. Il volume e la varietà

dello spam ne rende inoltre estremamente difficoltoso il monitoraggio. Maggiore è il periodo di utilizzo

dell'indirizzo e-mail, più elevata sarà la possibilità che finisca in un database per motori di spam.

Di seguito sono riportati alcuni suggerimenti preventivi:

• Se possibile, evitare di pubblicare il proprio indirizzo e-mail su Internet

• Fornire il proprio indirizzo e-mail solo a utenti considerati attendibili

• Se possibile, non utilizzare alias comuni. Maggiore è la complessità degli alias, minore sarà la probabilità

che vengano rilevati

• Non rispondere a messaggi di spam già recapitati nella casella della Posta in arrivo

• Quando si compilano moduli su Internet, prestare particolare attenzione a selezionare opzioni quali "Sì,

desidero ricevere informazioni".

• Utilizzare indirizzi e-mail “specializzati”, ad esempio, uno per l'ufficio, uno per comunicare con gli amici e

così via.

• Modificare periodicamente il proprio indirizzo e-mail

• Utilizzare una soluzione antispam

La pubblicità su Internet è una delle forme di pubblicità in maggior crescita. I vantaggi principali dal punto di vista

del marketing sono i costi ridotti e un livello elevato di immediatezza. I messaggi vengono inoltre recapitati quasi

immediatamente. Molte società utilizzano strumenti di marketing via e-mail per comunicare in modo efficace con

i clienti attuali e potenziali.

Questo tipo di pubblicità è legittimo, perché si potrebbe essere interessati a ricevere informazioni commerciali su

determinati prodotti. Molte società inviano tuttavia messaggi di contenuto commerciale non desiderati. In questi

casi, la pubblicità tramite e-mail supera il limite e diventa spam.

La quantità di messaggi e-mail non desiderati diventa così un problema e non sembra diminuire. Gli autori di

messaggi e-mail non desiderati tentano spesso di mascherare i messaggi spam come messaggi legittimi.

Hoax: truffe e bufale

Un hoax è un messaggio contenente informazioni non veritiere diffuso su Internet che viene in genere inviato via

e-mail e tramite strumenti di comunicazione come ICQ e Skype. Il messaggio stesso è in genere una burla o una

leggenda metropolitana.

Gli hoax virus tentano di generare paura, incertezza e dubbio ("Fear, Uncertainty and Doubt" - FUD) nei

destinatari, inducendoli a credere che nei relativi sistemi è presente un "virus non rilevabile" in grado di eliminare

file e recuperare password o di eseguire altre attività dannose.

Alcuni hoax richiedono ai destinatari di inoltrare messaggi ai loro contatti, aumentandone così la diffusione.

Esistono hoax via cellulare, richieste di aiuto, offerte di denaro dall'estero e così via. Spesso è impossibile

determinare l'intento dell'autore del messaggio.

È molto prababile che i messaggi che invitano a essere inoltrati a tutti i propri conoscenti siano hoax. Su Internet

sono presenti molti siti Web in grado di verificare l'autenticità di un messaggio e-mail. Prima di inoltrarlo,

effettuare una ricerca in Internet per qualsiasi messaggio si sospetti essere hoax.

Phishing

Il termine phishing definisce un'attività illegale che si avvale di tecniche di ingegneria sociale (ovvero di

manipolazione degli utenti al fine di ottenere informazioni confidenziali). Lo scopo è quello di ottenere l'accesso a

dati sensibili quali numeri di conti bancari, codici PIN e così via.

Di norma, l'accesso viene ricavato tramite l'invio di messaggi e-mail che imitano quelli di una persona o società

affidabile (istituto finanziario, compagnia di assicurazioni). Il messaggio e-mail sembra autentico e presenta

immagini e contenuti che possono indurre a credere che provenga effettivamente da un mittente affidabile. Tali

messaggi chiedono all'utente, con vari pretesti (verifica dati, operazioni finanziarie), di immettere alcuni dati

personali: numeri di conti bancari o nomi utente e password. Tali dati, se inviati, possono essere rubati e utilizzati

in modo illegale.

Le banche, le compagnie di assicurazioni e altre società legittime non chiederanno mai di rivelare nomi utente e

password in messaggi e-mail non desiderati.

Riconoscimento messaggi indesiderati di spam

In genere, esistono alcuni indicatori che consentono di identificare i messaggi spam (e-mail indesiderate) nella

casella di posta. Un messaggio può essere considerato un messaggio spamming se soddisfa almeno alcuni dei

criteri riportati di seguito.

• L'indirizzo del mittente non appartiene a nessuno degli utenti presenti nell'elenco dei contatti.

• Agli utenti viene offerta una grossa somma di denaro, purché si impegnino tuttavia ad anticipare una

piccola somma di denaro.

• Viene chiesto di immettere, con vari pretesti (verifica di dati, operazioni finanziarie), alcuni dati personali,

tra cui numeri di conti bancari, nomi utente, password e così via.

• È scritto in una lingua straniera.

• Viene chiesto di acquistare un prodotto a cui non si è interessati. Se tuttavia si decide di acquistarlo, è

consigliabile verificare che il mittente del messaggio sia un fornitore attendibile (contattare il produttore

originale).

• Alcuni termini contengono errori di ortografia nel tentativo di aggirare il filtro di spamming, ad esempio

“vaigra” invece di “viagra”.

Regole

Nell'ambito delle soluzioni antispam e dei client di posta, le regole aiutano a manipolare le funzioni e-mail. Sono

composte da due parti logiche:

1.Condizione (ad esempio, messaggio in arrivo da un determinato indirizzo o con un determinato oggetto)

2.Azione (ad esempio, rimozione del messaggio o trasferimento in una cartella specificata)

Il numero e la combinazione di regole varia a seconda della soluzione antispam. Queste regole rappresentano

misure contro i messaggi di spam (e-mail indesiderate). Esempi tipici:

1. Condizione: un messaggio e-mail in arrivo contiene alcune parole generalmente inserite nei messaggi di spam

2. Azione: eliminare il messaggio

1. Condizione: un messaggio e-mail in arrivo contiene un allegato con estensione .exe

2. Azione: eliminare l'allegato e recapitare il messaggio alla casella di posta

1. Condizione: un messaggio e-mail in arrivo è stato inviato dal datore di lavoro dell'utente

2. Azione: Spostare il messaggio nella cartella "Lavoro"

Per semplificare l'amministrazione e filtrare più efficacemente i messaggi di spam, si consiglia di utilizzare una

combinazione di regole nei programmi antispam.

Whitelist

In generale, una whitelist è un elenco di elementi o di persone accettate o a cui è stata concessa l’autorizzazione.

Il termine “whitelist di posta” (indirizzi consentiti) definisce un elenco di contatti da cui l’utente desidera ricevere

messaggi. Tali whitelist sono basate su parole chiave ricercate negli indirizzi e-mail, nei nomi di domini o negli

indirizzi IP.

Se una whitelist funziona in "modalità di esclusività", i messaggi provenienti da qualsiasi altro indirizzo, dominio o

indirizzo IP non verranno ricevuti. Se una whitelist non è esclusiva, tali messaggi non verranno eliminati ma solo

filtrati in altro modo.

Una whitelist si basa sul principio opposto di quello di una blacklist. Le whitelist sono relativamente facili da

mantenere, molto di più rispetto alle blacklist. Si consiglia di utilizzare sia la whitelist che la blacklist per filtrare

più efficacemente i messaggi di spam.

Blacklist

In genere, una blacklist è un elenco di persone o elementi non accettati o vietati. Nel mondo virtuale, è una

tecnica che consente di accettare messaggi provenienti da tutti gli utenti non presenti in questo elenco.

Esistono due tipi di blacklist: quelle create dall'utente all'interno della propria applicazione antispam e molte

blacklist di tipo professionale, aggiornate regolarmente e create da istituzioni specializzate che sono disponibili su

Internet.

È essenziale utilizzare le blacklist per bloccare lo spamming in modo efficace. Tali elenchi sono tuttavia difficili da

gestire perché ogni giorno si presentano nuovi elementi da bloccare. È pertanto consigliabile utilizzare sia

whitelist che blacklist per filtrare in modo più efficace lo spamming.

Eccezione

L’elenco eccezioni (noto anche come Elenco di eccezioni) contiene solitamente indirizzi e-mail che potrebbero

essere falsificati e utilizzati per l’invio di messaggi di spam. I messaggi e-mail ricevuti da indirizzi presenti

nell’Elenco di eccezioni verranno sempre controllati per la ricerca di spam. Per impostazione predefinita, l’Elenco

di eccezioni contiene tutti gli indirizzi e-mail degli account del client di posta esistenti.

Controllo lato server

Il controllo lato server è una tecnica che consente di identificare spamming di massa in base al numero di

messaggi ricevuti e alle reazioni degli utenti. Ogni messaggio lascia un'"impronta" digitale univoca in base al suo

contenuto. Il numero ID univoco non fornisce alcuna informazione in merito al contenuto del messaggio e-mail.

Due messaggi identici avranno impronte identiche, mentre messaggi diversi avranno impronte diverse.

Se un messaggio viene contrassegnato come spam, l'impronta corrispondente viene inviata al server. Se il server

riceve più impronte identiche (che corrispondono a un determinato messaggio di spam), l'impronta viene

memorizzata nel database di impronte di spam. Durante il controllo dei messaggi in arrivo, il programma invia le

impronte dei messaggi al server. Il server restituisce informazioni sulle impronte corrispondenti ai messaggi già

contrassegnati dagli utenti come spam.

Scanner memoria avanzato

Lo Scanner memoria avanzato lavora congiuntamente all'Exploit Blocker per rafforzare il livello di protezione

contro malware concepiti allo scopo di eludere il rilevamento dei prodotti antimalware mediante l'utilizzo di

pratiche di offuscazione e/o crittografia. Qualora i metodi di emulazione o di euristica ordinari non siano in grado

di rilevare una minaccia, lo Scanner memoria avanzato identifica il comportamento sospetto ed effettua un

controllo delle minacce presenti nella memoria del sistema. Questa soluzione si rivela efficace persino contro i

malware che utilizzano pratiche di offuscamento ottimizzate.

Diversamente dall'Exploit Blocker, lo Scanner memoria avanzato rappresenta un metodo post-esecuzione. Ciò

implica un rischio di esecuzione di attività dannose prima del rilevamento di una minaccia. Tuttavia, qualora le

varie tecniche di rilevamento disponibili non si rivelino efficaci, questo sistema offre un livello aggiuntivo di

sicurezza.

Protezione pagamenti bancari

Protezione siti Web di banche e di sistemi di pagamento è un ulteriore livello di protezione progettato per

proteggere i dati finanziari durante le transazioni online.

ESET Smart Security Premium e ESET Internet Security contengono un elenco integrato di siti Web predefiniti che

attiverà l'apertura di un browser protetto. È possibile aggiungere un sito Web o modificare l'elenco di siti Web

nella configurazione del prodotto.

Attivare Proteggi tutti i browser per avviare tutti i web browser supportati in modalità protetta.

Per ulteriori informazioni su questa funzionalità, consultare i seguenti articoli della Knowledge Base di ESET:

• Come funziona la protezione di siti Web di banche e di sistemi di pagamento on-line di ESET?

• Sospendere o disattivare la Protezione di siti Web di banche e di sistemi di pagamento nei prodotti ESET

Windows Home

• ESET Banking & Payment Protection: errori comuni

L’utilizzo della comunicazione crittografata HTTPS è necessario per eseguire una navigazione protetta. I seguenti

browser supportano la Protezione pagamenti bancari:

• Internet Explorer 8.0.0.0

• Microsoft Edge 83.0.0.0

• Google Chrome 64.0.0.0

• Firefox 24.0.0.0

Aprire Protezione pagamenti bancari nel web browser preferito

Quando si apre la Protezione pagamenti bancari direttamente dalla scheda Strumenti nel menu del prodotto,

questa viene aperta nel web browser impostato come predefinito in Windows. In caso contrario, quando si apre il

web browser preferito (non dal menu del prodotto), i siti web provenienti dall’elenco di siti web protetti saranno

reindirizzati allo stesso tipo di web browser protetto da ESET.

Protezione Botnet

La Protezione Botnet consente di individuare malware tramite l'analisi dei rispettivi protocolli di comunicazione di

rete. A differenza dei protocolli di rete, che non sono cambiati negli ultimi due anni, il malware botnet cambia

frequentemente. Questa nuova tecnologia aiuta ESET a eliminare malware che tentano di evitare il rilevamento e

di connettere i computer alla rete botnet.

Rilevamenti del DNA

La gamma dei tipi di rilevamento varia da hash specifici a rilevamenti di DNA ESET, ovvero definizioni complesse di

comportamento dannoso e caratteristiche malware. Mentre il codice dannoso può essere facilmente modificato

oppure offuscato dagli autori degli attacchi, il comportamento degli oggetti non può essere modificato in modo

così semplice e i rilevamenti del DNA ESET sono stati sviluppati per sfruttare tale principio.

ESET esegue un’analisi approfondita del codice ed estrae i “geni” che sono responsabili del suo comportamento e

crea definizioni del DNA ESET che vengono utilizzata per valutare codice potenzialmente sospetto individuato sul

disco oppure nella memoria dei processi in esecuzione. I rilevamenti del DNA riescono a identificare campioni noti

di malware specifico, nuove varianti di una famiglia di malware nota o persino malware sconosciuto e mai

incontrato prima che contiene geni che indicano comportamento dannoso.

ESET LiveGrid®

ESET LiveGrid® (sviluppato sul sistema avanzato di allarme immediato ESET ThreatSense.Net) utilizza i dati inviati

dagli utenti ESET di tutto il mondo e li invia al laboratorio di ricerca ESET. Grazie all'invio di campioni e metadati

"from the wild" sospetti, ESET LiveGrid® consente a ESET di soddisfare le esigenze dei clienti e di gestire le

minacce più recenti in modo tempestivo.

I ricercatori dei malware ESET utilizzano le informazioni per creare un'istantanea accurata della natura e

dell'ambito delle minacce globali, che consente a ESET di focalizzarsi sugli obiettivi giusti. I dati ESET LiveGrid®

giocano un ruolo importante nella definizione delle priorità nell'ambito dei sistemi di elaborazione automatica.

Questo strumento consente inoltre di implementare un sistema di reputazione che contribuisce al potenziamento

dell'efficienza complessiva delle soluzioni anti-malware ESET. Un utente può controllare la reputazione dei

processi in esecuzione e dei file direttamente dall'interfaccia del programma o dal menu contestuale. Ulteriori

La pagina sta caricando ...

ESET Glossary Manuale del proprietario

Marca: ESET

Modello: Glossary

Categoria: Software di sicurezza antivirus

Tipo: Manuale del proprietario

Scarica il pdf

rapporto