Un PDF problematico

[sampei.nihira]

Interessante esempio di un PDF malevolo di cui inserisco sotto il link in forma inattiva per far sì che gli utenti lo possono analizzare/provare sempre con le dovute cautele,che potrebbe essere possibile reperire ovunque in rete celato sotto ogni forma e nome:

goprtews.co.cc/jeuqq/files/lib.pdf

Ecco l'analisi al VirusTotal on line.

Cosa è visualizzabile nel pdf se aperto ?
Lo potete vedere nell'immagine sotto:



Se volete far analizzare a ThreatExpert il file ricordate che il formato non è supportato.
Anubis è famoso per i suoi "tempi",Comodo come al solito poche info,magari Norman vi dirà qualcosa in più,basta provare.

Si ma noi siamo prevenuti e quindi facciamo prima analizzare on line il link !!!
Accidenti...........una serie di scan on line, ci danno il link pulito (dr Web,on line Link Scan,Avg Linkscanner,Norton....niente)

Allora speriamo che il nostro antivirus lo rileva,ad esempio avast 5 (in questo caso) lo rileva........ma se un prossimo pdf che incontriamo in rete che vorremmo aprire non venisse rilevato ?
Atroce dubbio.....mumble....mumble.

Eh no,non ci possiamo mica fare tali scrupoli ogni volta che apriamo un file pdf.
Quindi affrontiamo il problema una volta per tutte.

Intanto usiamo un lettore pdf sempre aggiornato.
Poi se proprio la nostra prudenza ce lo consiglia lo possiamo scegliere diverso dal solito Adobe che statisticamente potrebbe essere maggiormente soggetto alle solite attenzioni.
Apriamo inoltre il pdf con il lettore e quindi il browser sandboxato meglio inoltre con i diritti limitati.
Per giunta abbiamo anche emettizzato non solo il browser usato ma anche lo stesso lettore pdf per mitigare eventuali falle non ancora evidenziate.

Cosa ci può accadere con tutte queste precauzioni,specie se il nostro OS è aggiornato ?

Niente di niente.

Quindi meglio non rischiare di fare navigazione stile "roulette russa".
L'efficienza della nostra configurazione di sicurezza,ma sopratutto la fiducia che riponiamo in essa, può anche eliminare la nociva ansia da possibile infezione che ci attanaglia ogni volta che il nostro pc si comporta in maniera diversa da quella abituale.

Sotto con altri test,buonanotte.

[BlackHawk78]

Intanto usiamo un lettore pdf sempre aggiornato.
Poi se proprio la nostra prudenza ce lo consiglia lo possiamo scegliere diverso dal solito Adobe che statisticamente potrebbe essere maggiormente soggetto alle solite attenzioni.
Apriamo inoltre il pdf con il lettore e quindi il browser sandboxato meglio inoltre con i diritti limitati.
Per giunta abbiamo anche emettizzato non solo il browser usato ma anche lo stesso lettore pdf per mitigare eventuali falle non ancora evidenziate.

Cosa ci può accadere con tutte queste precauzioni,specie se il nostro OS è aggiornato ?

Niente di niente.

Quindi meglio non rischiare di fare navigazione stile "roulette russa".
L'efficienza della nostra configurazione di sicurezza,ma sopratutto la fiducia che riponiamo in essa, può anche eliminare la nociva ansia da possibile infezione che ci attanaglia ogni volta che il nostro pc si comporta in maniera diversa da quella abituale.

...senza considerare anche la bontà del browser utilizzato (Chrome) e dell'antivirus/software di sicurezza residente (Avira)

Notate anche l'icona rossa di WOT (in alto a destra) nella seconda immagine...

Strano che su VirusTotal Avira non lo rilevi, mentre con la WebSecurity mi mostri quella pagina di avviso di cui al MEMO sopra...

[LULU]

Uploaded with ImageShack.us

Ciao, buona domenica.

[sampei.nihira]

Buongiorno e buona domenica

Ovvio che con il passare delle ore si ricevono sempre più allarmi (WOT,Chrome/Firefox) anzi con il mio invio al VT ho contribuito "alla sveglia" (prima o poi) degli altri sw antivirus/malware, ma nel momento iniziale di reperimento del link le allerte latitavano tutte.

Ergo se ci fidiamo solo degli avvisi (benchè siano una parte notevolmente importante della nostra prevenzione).................

[farbix89]

Certo,una minaccia zero-day non la segnala nessuno nelle prime ore,o non si chiamerebbe Zero-day

Via via che il tempo passa,arriva la cavalleria....l'importante è arrivare in tempo,visto che spesso gli strumenti di prevenzione possono lasciar sfuggire qualcosina,escludendo un PDF viewer sandboxato (il top contro questo tipo di minacce)

[sampei.nihira]

Non sò se avete notato i vari fatti sotto adesso che il link ha un buon riconoscimento:

a) Con Chrome + WOT se si procede a forzare l'ingresso nel link con a video l'allarme sito web pericoloso non si ha l'intervento di WOT.
Ho provato sia con il Chrome PDF Viewer che abilitando un lettore pdf esterno ed ovviamente disabilitando quello interno.

b) Con Opera + WOT alla prima apertura del link con il pdf non si ha intervento di WOT,mentre con le successive aperture si.
Con la prima apertura basta "stuzzicare" l'icona di WOT nella barra per ottenere il blocco.

Vi accadono anche a voi tali fatti ?

Cosa si può riferire di Firefox ?

[francesco betatester]

Firefox+WOT, per sicurezza avevo sandboxato(con comodo) firefox

PS Ho notato dei netti rallentamenti sulla navigazione quando firefox è sandboxato

[sampei.nihira]

Sono ri-tornato a Foxit con abilitata la modalità protetta.
Con PDF-XChange Viewer vado incontro a blocchi casuali del browser probabilmente dovuti ad una concomitanza di interventi.
Non vorrei andare incontro in futuro ad una eventuale sommatoria di interventi che potrebbe addirittura inibire una qualche funzione protettiva.

[Sabbb]

Ho notato dei netti rallentamenti sulla navigazione quando firefox è sandboxato

idem.Inoltre non mi fa inserire le emotions in nessun forum. Lo tengo senza sandboxie (con la speranza che l'hips ,il Firewall e l'antivirus facciano il loro lavoro)

[sampei.nihira]

Tutti "problemi" che denotano evidentemente carenze rispetto al sw principe......cioè Sandboxie.
Come entrare in una gelateria artigianale affermata e poi in una gelateria che ha appena aperto.....

[farbix89]

Ma se insieme ai gelati il nuovo negozio offre anche bar,ristorante,sala giochi e pizzeria,tutto con lo stesso prezzo,io non ci entro nemmeno nella gelateria artigianale....mi sento limitato

[farbix89]

Firefox+WOT, per sicurezza avevo sandboxato(con comodo) firefox

PS Ho notato dei netti rallentamenti sulla navigazione quando firefox è sandboxato

è sufficiente rimuovere la virtualizzazione del registro e del sistema.

Se il browser è impostato su Limitato o meglio su Circoscritto,nemmeno si azzarda a modificare gli elementi del registro,e può solo leggere i file di sistema che eventualmente servono (flash,Java e altre cose)......non può modificare/aggiungere/rimuovere nulla se ha i diritti super-limitati

Velocità di esecuzione + Elevata sicurezza della sandbox COMODO


Provare per credere