Una volta libero nella giungla digitale, il malware fa di tutto per infettare il maggior numero possibile di computer, ma questo comportamento tradizionale può giocargli contro se dall’altra parte c’è un ricercatore in attesa. Molti sviluppatori hanno modificato i loro animaletti affinché non si installino in macchine virtuali e questo si ottiene rilevando alcuni processi associati a risorse come VirtualBox e VMWare. AntiFooling è uno strumento il cui obiettivo è simulare tali processi su un computer normale, ingannando così il malware.
I creatori di malware vogliono che le loro creazioni arrivino ovunque e, ovviamente, che non vengano catturate nel processo. Una volta che un esperto di sicurezza informatica o un ricercatore ottiene una copia, è probabile che possa creare qualche strumento o meccanismo in grado di bloccarne il funzionamento. Un altro aspetto importante è studiare il comportamento del malware all’interno di una macchina virtuale, ma esistono già molte varianti in grado di riconoscere se si trovano o meno in un ambiente isolato. VMWare e VirtualBox aggiungono una serie di processi ai loro sistemi guest, che garantiscono il corretto funzionamento di elementi come audio, video e dispositivi di input. Il malware deve solo rilevare la presenza di questi processi per evitare un’esposizione indesiderata. E se lo usassimo contro di loro…?
È qui che entra in gioco AntiFooling, uno strumento creato dall’utente Scorpio del forum Indetectables.net. In sintesi, AntiFooling inganna il malware installando su un computer convenzionale quei processi che si trovano in una macchina virtuale. Con questa tecnica, il malware non riesce a distinguere un computer reale da uno virtuale e, per proteggere la propria integrità, evita di infettarlo.
AntiFooling offre due modalità: simulare un ambiente VirtualBox o uno VMWare. In teoria, entrambe dovrebbero essere ugualmente efficaci, poiché non avrebbe senso bloccare una macchina virtuale e ignorare l’altra, anche se è possibile attivarle entrambe contemporaneamente. AntiFooling non richiede un’installazione formale e, per ordinare il suo avvio insieme al sistema operativo, basta selezionare una casella.
Personalmente non credo che ci siano problemi di distribuzione per AntiFooling, perché i processi in questione non sono stati estratti dai loro programmi originali, ma sono una sorta di “placeholder”, con una dimensione di 808 kilobyte in tutti i casi (312 KB nella versione x32). AntiFooling è un’interessante forma di protezione, anche se l’ideale sarebbe che il malware non arrivasse mai sui nostri computer in primo luogo...
(Nota della redazione: l’accesso al download richiede un account su Indetectables, ma il link porta direttamente a una copia ospitata su Sendspace.)
