Malware (abbreviazione dell'inglese malicious software, ), nella sicurezza informatica, indica un qualsiasi programma informatico usato per disturbare le operazioni svolte da un utente di un computer. Termine coniato nel 1990 da Yisrael Radai, precedentemente veniva chiamato virus per computer.
Storia Con l'avanzare dello sviluppo di internet e la crescita degli utenti ad essa collegati, soprattutto a partire dall'anno 2000, il malware è sempre più stato usato per fini di lucro. Fin dal 2003, la maggior parte dei virus e worm è stata creata per prendere il controllo del computer dell'utente vittima, per scopi illeciti. È stato stimato che nel 2012, all'incirca il 60-70% di tutto il malware attivo usasse una sorta di Click fraud, e che il 22% di tutti gli ad-click fosse fraudolento. Attacchi a scopo di sabotaggio sono stati effettuati a Saudi Aramco, nell'agosto del 2012 e il 25 novembre 2014 alla Sony Pictures Entertainment, usando un malware conosciuto come Shamoon o W32.Disttrack.
Caratteristiche Descrizione generale Il malware non necessariamente è creato per arrecare danni tangibili ad un computer o un sistema informatico, ma va inteso anche come un programma che può rubare di nascosto informazioni di vario tipo, da commerciali a private, senza essere rilevato dall'utente anche per lunghi periodi di tempo (es. Regin malware). Oltre a carpire informazioni di nascosto, un malware può essere creato con l'intento di arrecare danni ad un sistema informatico, spesso tramite sabotaggio (es. Stuxnet), oppure può criptare i dati del computer della vittima, estorcendo denaro per la decriptazione (CryptoLocker). Malware è un termine generico che fa riferimento a varie tipologie di software intrusivo o malevolo, inclusi Virus informatici, Worm, Trojan, Ransomware, Spyware, Adware, Scareware, e altri programmi malevoli. Può assumere diverse forme, come Codice eseguibile, Script, e altro software. Il malware si diffonde principalmente inserendosi all'interno di file non malevoli.
La diffusione del malware risulta in continuo aumento: si calcola che nel solo anno 2008 su Internet siano girati circa 15 milioni di malware, di cui quelli circolati tra i mesi di gennaio e agosto sono pari alla somma dei 17 anni precedenti; tali numeri sono destinati ad aumentare con l'espansione della Rete e il progressivo diffondere della cultura informatica.Dati riferiti in un rapporto diffuso da Panda Security e riportati in Sicurezza, in una classifica i bug più pericolosi (punto-informatico.it) Nel 2011 la più grande minaccia malware era costituita da worm e trojan, piuttosto che altri virus.
Spyware o altri malware sono a volte trovati all'interno di programmi forniti da compagnie, ad esempio scaricabili da siti web, che appaiono utili o accattivanti, ma potrebbero avere delle funzionalità aggiuntive nascoste indesiderate, che raccolgono dati statistici di marketing. Un esempio di questi software, dichiarato illegittimo, è il Sony rootkit, un trojan inserito nei CD venduti da Sony, che viene installato sul computer dell'acquirente, con l'intento di impedire copie illecite.
Scopo d'utilizzo Il principale modo di propagazione del malware consiste di frammenti di software parassiti che si inseriscono in codice eseguibile già esistente. Il frammento di codice può essere scritto in codice macchina ed inserito in un'applicazione esistente, in codice di utility, in un programma di sistema o può inserirsi anche nel codice del sistema di boot di un computer. Un malware è caratterizzato dal suo intento malevolo, agendo contro le necessità dell'utente, e non include software che causa un danno non voluto a causa di qualche suo difetto. Può essere usato per rubare informazioni sensibili, accedere a sistemi informatici privati, o mostrare pubblicità indesiderata.
Il malware viene spesso usato per scopi criminali, ma può essere usato anche per sabotare, spesso senza un beneficio diretto agli autori del malware. Un esempio di sabotaggio è stato Stuxnet, usato per distruggere dell'attrezzatura industriale specifica. Tali tipi di software sono utilizzati da privati (come gli hackers Black hat) o da organizzazioni ed anche governi, per rubare informazioni personali, finanziarie o d'affari. Alcuni malware sono usati per generare denaro con la tecnica Click fraud, simulando un click sul computer dell'utente su una pubblicità su un sito, generando un pagamento da parte dell'inserzionista della stessa pubblicità. Possono essere ad esempio usati Computer zombie per l'invio di email di Spam, per salvare materiale pornografico, o per effettuare attacchi distribuiti Denial of Service (DoS). Ci sono stati degli attacchi con motivi politici che hanno colpito delle grandi reti di computer con lo scopo di sabotare la rete stessa, ma anche per effettuare massicce cancellazioni di file o per corrompere il Master boot record, descritto come "computer killing".
Il malware viene talvolta utilizzato contro enti governativi o siti web aziendali, per carpire informazioni riservate, o, in generale, per interferire con le loro operazioni. Tuttavia, il malware viene usato anche contro singoli individui per ottenere informazioni personali, come numeri identificativi, id e password, o numeri di carte di credito. I bersagli a più alto rischio di essere colpiti da malware sono i computer personali incustoditi, soprattutto quelli collegati ad una rete informatica, dato che è possibile propagare l'attacco a tutti i computer collegati in rete: per questo motivo è necessario prendere varie precauzioni su ogni computer collegato alla rete informatica, come l'uso di Firewall e Antivirus (attacco ad una rete informatica in Sud Corea).
Proliferazione I risultati pubblicati da Symantec nel 2008 indicano che "la frequenza in cui vengono prodotti codice malevolo e altri programmi indesiderati, potrebbe superare quella delle applicazioni software". Secondo F-Secure, "è stato prodotto tanto codice malevolo nel 2007 quanto ne è stato creato negli ultimi 20 anni". Il canale di diffusione più usato dai criminali è Internet: principalmente tramite e-mail e World Wide Web.
La preferenza di usare il malware come strumento per compiere crimini su Internet, insieme alla sfida del software anti-malware che cerca di tenere il passo per contrastare i nuovi programmi malevoli, hanno portato alla necessità di prendere delle contromisure sia da parte dei singoli utenti, sia dalle aziende, comprese le aziende che vendono prodotti tramite Internet: questo significa che devono offrire servizi web con una certa sicurezza per la tutela del cliente. Il risultato dell'aumento e della facile diffusione del malware, impongono un'analisi approfondita sui sistemi di sicurezza da usare per proteggersi dal malware avanzato che opera dai computer dei clienti dell'azienda stessa. Uno studio di Webroot del 2013 indica che il 64% delle società permette l'accesso remoto ai server dal 25% al 100% dei propri dipendenti, e che queste aziende subiscono più frequentemente attacchi malware.
Nel marzo del 2010, Symantec ha nominato Shaoxing (Cina), come la capitale mondiale del malware. Nel 2011 uno studio dell'Università di Berkeley ha pubblicato un articolo in "Software Development Technologies", ha esaminato come gli hacker imprenditoriali stanno influendo sulla diffusione del malware, dato che mettono a disposizione accesso ad un computer ad un certo prezzo. Microsoft ha dichiarato che, nel maggio 2011, ogni 14 download da internet uno è probabile che contenga del codice maligno. I social media, Facebook in particolare, stanno constatando un continuo incremento delle tattiche usate per diffondere il malware.
Uno studio del 2014 dichiara che la produzione di malware sta crescendo e si sta orientando sui dispositivi mobili come gli smartphone.
Tecniche antirilevamento Sin dall'inizio del 2015, una buona parte del malware utilizza più combinazioni di tecniche usate per evitare la rivelazione e l'analisi. La tecnica di evasione più comune è quella in cui il malware evita analisi e rilevamento facendo "fingerprinting" dell'ambiente in cui viene eseguito (con fingerprinting si intende un algoritmo che mappa un file di grandi dimensioni in una stringa di bit molto più ristretta). La seconda tecnica più usata consiste nel confondere i tool di rilevamento. Questo permette al malware di evitare di venire rilevato da tecnologie come antivirus signature-based, cambiando il server usato dal malware. La terza tecnica più diffusa si basa sull'azione dello stesso malware per periodi ristretti, a seconda di certe azioni prese dall'utente, in modo tale che il malware si esegua in momenti vulnerabili, come l'avvio da boot, e rimanendo in stato dormiente per il resto del tempo. La quarta tecnica più comune consiste nell'offuscare i dati interni dello stesso malware, così da evitare di essere rilevato dal software anti-malware. Una tecnica che sta diventando sempre più comune consiste nell'uso di Adware che usano dei certificati rubati per disabilitare il software anti-malware e anti-virus. Oggi, una delle più sofisticate strategie di evasione è quella di usare tecniche che nascondano le informazioni, chiamata Stegomalware.
Classificazione
I tipi di malware più conosciuti sono noti per il modo in cui si diffondono e per il loro comportamento effettivo. Nell'uso comune il termine virus viene utilizzato come sinonimo di malware e l'equivoco viene alimentato dal fatto che gli antivirus permettono di rilevare e rimuovere anche altre categorie di software maligno oltre ai virus propriamente detti. Si noti che un malware è caratterizzato dall'intento doloso del suo creatore, dunque non rientrano nella definizione data i programmi contenenti bug, che costituiscono la normalità anche quando si sia osservata la massima diligenza nello sviluppo di un software. Si distinguono molte categorie di malware, anche se spesso questi programmi sono composti di più parti interdipendenti e rientrano pertanto in più di una classe. Schematicamente possono essere catalogati come segue:
Virus: sono parti di codice che si diffondono copiandosi all'interno di altri programmi, o in una particolare sezione del disco fisso, in modo da essere eseguiti ogni volta che il infetto viene aperto. Si trasmettono da un computer a un altro tramite lo spostamento di file infetti ad opera degli utenti. Worm: questi malware non hanno bisogno di infettare altri file per diffondersi, perché modificano il sistema operativo della macchina ospite in modo da essere eseguiti automaticamente e tentare di replicarsi sfruttando per lo più Internet. Per indurre gli utenti ad eseguirli utilizzano tecniche di ingegneria sociale, oppure sfruttano dei difetti (Bug) di alcuni programmi per diffondersi automaticamente. Il loro scopo è rallentare il sistema con operazioni inutili o dannose. Trojan horse: software che oltre ad avere delle funzionalità "lecite", utili per indurre l'utente ad utilizzarli, contengono istruzioni dannose che vengono eseguite all'insaputa dell'utilizzatore. Non possiedono funzioni di auto-replicazione, quindi per diffondersi devono essere consapevolmente inviati alla vittima. Il nome deriva dal famoso cavallo di Troia. Backdoor: sono dei programmi che consentono un accesso non autorizzato al sistema su cui sono in esecuzione. Tipicamente si diffondono in abbinamento ad un trojan o ad un worm, oppure costituiscono una forma di accesso lecita di emergenza ad un sistema, inserita per permettere ad esempio il recupero di una password dimenticata. Spyware: software che vengono usati per raccogliere informazioni dal sistema su cui sono installati e per trasmetterle ad un destinatario interessato. Le informazioni carpite, possono andare dalle abitudini di navigazione fino alle password e alle chiavi crittografiche di un utente.