Archivio » 2005 » febbraio » giovedì 3 »

Winrar, un worm per l’archivio compresso

Scritto da Guido Sintoni

Un nemico dei Pc travestito da file con estensione .rarDifendetevi!» Sicurezza XML

Eugene Roshal, chi era costui? La domanda non è retorica, e non nasconde trabocchetti: è l’inventore di Rar (Roshal ARchive), l’algoritmo di compressione che dà il nome a quel WinRar che gode di sempre crescente popolarità sul desktop degli utenti.
Rar (di cui Winrar è un potente front-end grafico di tipo shareware) è un’utilità per la creazione e la gestione di archivi compressi al pari del noto Winzip, ma il suo algoritmo di compressione è mediamente più efficiente e permette un risparmio fino al 30% dei file compressi.

Protezioni precarie? Peccato che il crescente successo di Rar/Winrar abbia portato all’incremento di codici maligni camuffati da archivi con estensione .rar; questo, almeno, sostengono molti vendor di software antivirus, citando l’esempio di alcune varianti di Netsky o della finta mail proveniente da Microsoft che non più tardi della scorsa settimana invitava gli utenti di lingua anglosassone a un improbabile aggiornamento di sicurezza, in realtà l’ennesimo worm facente leva su semplici tecniche di social engineering.
Il ragionamento è semplice: vista la diffusione del software (e la sua somiglianza con Winzip), per gli scrittori di malware - che nella quasi totalità dei casi difficilmente scrivono codice da zero - è semplice creare varianti di codici maligni già noti, che supportino Winrar. Lo scopo è quello di eludere i filtri che, sul gateway aziendale, possono bloccare gli archivi compressi con estensione .zip, o ingannare gli scanner antivirus per il desktop: questi ultimi sono generalmente in grado di analizzare archivi compressi Winrar, ma non è detto che l’opzione sia impostata di default.

Per un ragionevole grado di sicurezza - esclusa la normale prudenza, sempre raccomandabile ma altrettanto sempre difficilmente quantificabile - è necessario utilizzare scanner antivirus aggiornati (le cui signature comprendono già rimedi contro malware con estensione .rar) e, come accennato, verificare che il proprio antivirus esegua la scansione di file compressi anche in formato Rar.
Va infine sottolineato che eventuali malware che non trovino Winrar installato sul sistema target si rivelano inoffensivi.