La prima parte dell'anno si è chiusa con una dura critica da parte di un ex ingegnere di Mozilla nei confronti degli antivirus. Poco dopo si è aggiunto un ingegnere di Chrome che ha adottato una posizione identica. E ora ci troviamo di fronte a qualcosa di peggiore: la possibilità di trasformare gli antivirus in malware. È esattamente ciò che ha fatto il team di Cybellum con DoubleAgent, un nuovo attacco che sfrutta uno strumento ufficiale di Microsoft presente in ogni versione di Windows dal lancio di XP.
L'obiettivo principale degli antivirus rimane lo stesso: proteggere l'utente e il suo computer. Tuttavia, le minacce si sono moltiplicate e, nel tentativo di coprire ogni angolo, i loro sviluppatori hanno implementato tecniche che molti critici contestano. Anche l'opinione degli utenti è divisa. Il dibattito non è più su quale antivirus installare, ma si mette in discussione direttamente la loro utilità. Gli antivirus sono considerati «elementi di fiducia» in un sistema operativo, e se qualcosa o qualcuno riuscisse a compromettere la loro integrità sarebbe un disastro. In più di un'occasione abbiamo visto database con bug che dichiaravano file di sistema come minacce, lasciando computer fuori combattimento in tutto il mondo. Qual è il passo successivo? Prendere il pieno controllo dell'antivirus e usarlo per attività dannose.
Come funziona DoubleAgent
Facciamo spazio a DoubleAgent, un attacco pubblicato da Cybellum che può essere utilizzato su qualsiasi versione di Windows a partire da XP su un numero significativo di antivirus. La storia inizia con uno strumento ufficiale chiamato Microsoft Application Verifier. Il suo compito è rafforzare la sicurezza e verificare l'integrità delle applicazioni di terze parti, ma c'è un piccolo dettaglio: Application Verifier offre certo margine di personalizzazione nei suoi verifier. DoubleAgent sfrutta questa personalizzazione per eseguire un'iniezione di codice senza essere rilevato o bloccato dall'antivirus e, come se non bastasse, la tecnica ha persistenza, cioè i suoi effetti continuano anche dopo il riavvio del sistema.
Cybellum conferma che DoubleAgent richiede privilegi elevati per eseguirsi, ma un agente malintenzionato con risorse sufficienti potrebbe «incatenare bug» e ottenerli. I due video mostrano DoubleAgent trasformare Norton e Avira in ransomware. Per fortuna, gli sviluppatori non sono rimasti con le mani in mano e sono già in arrivo nuove patch. Allo stesso tempo, Windows Defender possiede una tecnica di mitigazione chiamata «Processi Protetti» che lo rende immune a DoubleAgent, anche se non è esclusiva (ESET la applica ai suoi processi critici).
