Forum libero

Scritto da:
> Scritto da:
> > Scritto da:
> > > Scritto da:
> > > > Scritto da: Giambo
> > > > > Scritto da:
> > > > >
> > > > > > e l'unico eseguibile che devi lanciare è quello legittimo dell'installer di Java.
> > > > >
> > > > > Dal link che ho postato pare sia un problema di praticamente tutti gli installer (Firefox, Chrome, iTunes, OpenOffice, ...), non solo di Java.
> > > > >
> > > > > Anzi, sempre secondo quel link "Oracle was the first one to take his report seriously, patched Java and VirtualBox".
> > > > >
> > > > > Quindi direi "Windows al tappeto su Andromeda, Java rUl3Z "
> > > > >
> > > > > **Modificato dall'autore il 09.02.2016 14:37**
> > > >
> > > > Cos'è più facile, convincere qualcuno ad installare Java per vedere una pagina web oppure OpenOffice? Cmq si, il problema è diffuso. Non è colpa di windows però se gli installer cercano dll da avviare in fase di installazione al di fuori di quelle di sistema e non è colpa di windows se i browser mettono tutto nella stessa cartella di default senza nemmeno chiedere all'utente dove.
> > >
> > > Non ho capito una cosa. L'installatore esegue qualsiasi cosa si trovi in Download?
> >
> > Qualsiasi programma che voglia caricare una DLL, su Windows, quando non specifica una locazione precisa, cerca in sequenza:
> >
> > - directory contenente l'exe
> > - directory corrente (di lavoro) dell'applicazione
> > - directory System di Windows
> > - directory Windows
> > - directory nel PATH
> >
> > La prima che trova viene eseguita. Questo ha senso in quasi tutti i casi, salvo appunto la cartella Download del browser. Un installer non dovrebbe specificare DLL senza percorso specifico perché eseguito da cartelle non sicure... e anche perché non dovrebbe usare DLL esterne all'installer stesso salvo quelle di sistema fornite da Windows quindi con percorsi fissi nel sistema.
>
> È appunto questo che non capisco. Io riesco a far scaricare evil.dll all'utente, e adesso si trova in Download. Poi gli dico che deve installare/aggiornare Java per vedere il mio sito strafigo e lui lo fa ed esegue pure l'installatore. Perché però l'installatore esegue evil.dll? È mica una delle sue.

Perché l'installer java, evidentemente, chiama delle DLL specifiche durante l'installazione, ma senza specificare il percorso delle stesse.
Esempio, metti che cerca la DLL "addon.dll" che gli serve a lui per i cazzi suoi. Però quando va a caricarla non dice "c:\windows\system32\addon.dll", dice semplicemente "voglio eseguire la funzione installaAddon() dentro addon.dll" lasciando a Windows il compito di cercarla al posto suo.

Windows dice "ok, non mi ha dato il percorso, ciò significa che devo cercare nei percorsi predefiniti, in ordine, cominciando dalla cartella dove si trova l'eseguibile del programma che me l'ha chiesto.... che cartella è? 'c:\Downloads' va bene, allora cominciamo da lì 'c:\Downloads\addon.dll'.... ah! eccola trovata, chiamiamo la funzione 'installaAddon()' di quella DLL, come mi ha chiesto di fare l'installer"... peccato che addon.dll è stato scaricato in c:\Downloads da un sito malevolo e fornisce la funzione installaAddon() richiesta dall'installer Java perché sa che l'installer Java chiama quella funzione.

In realtà è anche più semplice di così probabilmente, perché se non ricordo male le DLL possono avere del codice di inizializzazione, quindi non serve che l'autore del malware conosca il nome della funzione chiamata da Java, basta solo che carichi la DLL, questo è sufficiente ad avviare il codice di inizializzazione della stessa, che contiene il malware.

È un attacco banale, tutt'altro che difficile da fare, una volta che sai che quel determinato installer cerca quella determinata DLL, e puoi scoprirlo molto facilmente con tool apposta.