Software de Telecomunicações. Virus informáticos:2ª parte. WindowsNT história

Transcrição

1 Software de Telecomunicações Virus informáticos:2ª parte Prof RG Crespo Software de Telecomunicações Virus-II : 1/48 WindowsNT história O conhecido sistema operativo da MicroSoft passou por fases distintas: Versão 1.0 (1985) é apenas uma interface gráfica para MSDOS. Versões 3.x (1990): arrancam com MSDOS, mas pode-se passar de modo 16-bit (real) para 32-bit (protected) e vice-versa. 9x (1995): não se baseia do DOS, mas pode executar numa janela apenas; disponibiliza operações em modo 16-bit e 32-bit. Usado em Windows 95, 98 e ME. Win32 (1993): apenas com operações em modo de 32-bit; exige processador com capacidades de multi-threading (486 ou superior). Usado em Windows NT e XP. Nesta disciplina foca-se o Win32. Prof RG Crespo Software de Telecomunicações Virus-II : 2/48

2 WindowsNT Ficheiros A estrutura é mais complexa que os.exe Assinatura de 1 word é: N (00h) e E (01h) Campo 08H indica o CRC de 32 bits do ficheiro inteiro, incluindo cabeçalho (no cálculo este campo é considerado 0) O programa pode ter código de vários segmentos, cada um listado numa tabela de segmentos. O programa contém tabelas de recursos (bibliotecas, ) a importar e a exportar. Informação detalhada na Microsoft Knowledge Base Article Reflectindo a estrutura, a infecção é mais complexa (ler Prof RG Crespo Software de Telecomunicações Virus-II : 3/48 WindowsNT DLL Há duas formas de ligar ( link ) o código a programas disponibizados em bibliotecas ( libraries ) 1. Estática: todas as funções necessárias ao código são ligadas e o programa final fica maior 2. Dinâmica: apenas são mantidas referências e as funções são carregadas para memória central apenas na altura em que são necessárias. Prog Prog Função 2 Função 1 Função 1 Nome Localização Endereço Função 1 C:\Windows Função 2 Função 2 C:\Bin Ligação estática Ligação dinâmica Prof RG Crespo Software de Telecomunicações Virus-II : 4/48

3 WindowsNT APIs (1) O acesso ao Windows é feito por APIs- Application Programming Interface, que são conjuntos de funções armazenadas em ficheiros DLL- dynamic linking library. As funções nas duas APIs possuem a mesma interface, mas as que não podem ser executadas no 9x (ex: lançamento de threads ) retornam NULL. Principais APIs: KERNEL, com funções de gestão de memória, processos e threads (ex: escrita em ficheiros WriteFile) USER, com funções de tarefas de interface de utilizador (ex: criação de janelas, envio de mensagens) GDI, com funções para desenhar imagens gráficas e apresentação de texto Prof RG Crespo Software de Telecomunicações Virus-II : 5/48 WindowsNT APIs (2) Notas sobre os nomes de ficheiros API Extensões típicas.dll e.exe Win32 tem 32 antes do. No carregamento de um programa, o WinNT procura no disco o código da funções necessárias e carrega-as para a memória (uma única instância). Nota: versões incompatíveis podem causar erros (designados por DLL-hell ), que na situação extrema levam ao famoso écran azul BSoD- Blue Screen of Death. Prof RG Crespo Software de Telecomunicações Virus-II : 6/48

4 WindowsNT simulação DOS O Windows NT simula MSDOS, através de uma janela textual VDM-Virtual Dos Machine Por omissão, configurações estabelecidas em c:\windows\win32\config.nt e c:\windows\win32\autoexec.nt Pode haver configurações específicas a cada VDM, através de ficheiros PIF-Program Information File. Prof RG Crespo Software de Telecomunicações Virus-II : 7/48 WindowsNT Processos (1) Um programa é uma sequência estática de instruções Um processo é uma unidade de execução de um programa e ficheiros DLL usados, possuindo Identificador próprio (PID- Process IDentifier ). Espaço de dados privado, de 4GB de endereços virtuais. Os processos não pode aceder ao espaço dos outros processos. Uma, ou mais, threads. Nota1: os processos podem ser visualizados premindo CTRL-ALT- DEL e seleccionar TaskList Nota2: os processos, lançados por um utilizador, são eliminados quando este sai do sistema. Prof RG Crespo Software de Telecomunicações Virus-II : 8/48

5 WindowsNT Processos (2) Cada thread, a que o despacho ( scheduler ) do WinNTmstskmgr, atribui o CPU durante períodos de tempo, contém Conteúdo dos registos (EAX, ). Duas pilhas, uma para o modo núcleo ( kernel ) outra para modo de utilizador. Espaço de dados, dentro do espaço do processo. Identificador próprio. Um serviço é um processo, registado pelo WinNT, com privilégios. Prof RG Crespo Software de Telecomunicações Virus-II : 9/48 WindowsNT Registry (1) O Registry é uma base de dados hierárquica para controlo de hardware, programas e ambiente de utilizadores. Dados armazenados em dois ficheiros invisíveis, system.dat e usar.dat (com backup system.da0 e user.da0) Conteudo visualizado/alterado 1 pelo programa regedit.exe O Registry contém 6 chaves de raíz (denominadas colmeias- hives ) HKEY_CLASSES_ROOT: associações entre a extensão do ficheiro e o programa que o manipula HKEY_CURRENT_USER: informação associada ao utilizador corrente HKEY_LOCAL_MACHINE: informação sobre o sistema HKEY_USERS: informação sobre todos os utililizadores registados Prof RG Crespo Software de Telecomunicações Virus-II : 10/48

6 WindowsNT Registry (2) HKEY_CURRENT_CONFIG: HKEY_DYN_DATA: informação sobre o desempenho As colmeias possuem sub-chaves. A informação armazenada pode ser de 11 tipos, desde cadeia de caracteres até referências a outras chaves. O SAM-Security Account Manager gere os utilizadores, cuja base de dados é baseada numa colmeia distinta. Uma cópia, cifrada, é guardada na colmeia HKLM\Security\SAM. As políticas de segurança de cada utilizador são da responsabilidade do LSA-Local Security Authority Prof RG Crespo Software de Telecomunicações Virus-II : 11/48 WindowsNT: boot (1) O arranque passa por 10 etapas de execução de programas 1. BIOS-Basic Input Outupt System, em modo real. Carregamento do NT Loader (NTLR). 2. NTLR altera CPU de modo real para 32-bit. Carregamento do mini-sistema de ficheiros do mesmo tipo do NTLR (FAT ou NTFS). 3. Leitura, do C:\boot.ini, da mensagem de apresentação no terminal e o local do boot. 4. Executa c:\ntdetect.com, para identificar alterações de hardware desde o último boot. 5. Carregamento do núcleo do NT (NTOSKRNL.EXE) e do HAL.DLL 1. Nesta etapa aparecem os pontos 1 Interface entre o CPU e o WinNT, o que permite o WinNT ser instalado em máquinas distintas Prof RG Crespo Software de Telecomunicações Virus-II : 12/48

7 WindowsNT: boot (2) 6. Carregamento do Registry do sistema e drivers. Lançamento dos serviços. 7. Actualizadas as chaves HKLM do Registry com o novo hardware identificado pelo ntdetect. 8. Lançado o gestor de sessões, smss.exe, e carregado o subsistema Win Lançado o winlogon.exe e o lsass.exe apresenta a janela de diálogo CTRL-ALT-DEL. 10. O controlador screg.exe carrega os serviços designados para startup. Prof RG Crespo Software de Telecomunicações Virus-II : 13/48 Virus por macros (1) Diversas ferramentas permitem processar dados, por macros. As macros, escritas em linguagens de alto nível (mais fáceis de usar), podem ser associadas aos ficheiros. Os dados são enviados em diskettes, CDs ou pela Internet ( , ftp, WWW) A ferramenta Outlook Express processa macros inseridos no . A ferramenta Word (Excel) processa macros inseridas em documentos (folhas de cálculo). Algumas macros podem ser executadas automaticamente pela ferramenta, sem conhecimento directo do utilizador. Prof RG Crespo Software de Telecomunicações Virus-II : 14/48

8 Virus por macros (2) Em 1993, a Microsoft passou a usar a linguagem de macros VBA - Visual Basic for Applications para empresas adaptarem aplicações da MS (Word, Excel, Outlook, FrontPage, ). Listagem de macros efectuada no menu Tools, comando Macro (Alt-F8). Edição de macros efectuada pelo Visual Basic Editor (Alt-F11). Prof RG Crespo Software de Telecomunicações Virus-II : 15/48 Virus por macros (3) Ciclo de vida 1. Utilizador abre o documento infectado. 2. Ferramenta carrega as macros. 3. Macros automaticamente executadas, contendo instruções de replicação. Por exemplo, o documento infectado é enviado por a endereços armazenados no computador. Prof RG Crespo Software de Telecomunicações Virus-II : 16/48

9 Virus por macros (4) Virus Melissa W97M virus, lançado em Março de 99 Macro designado por Melissa Registo HKEY_CURRENT_USER\Software\Microsoft\Office\Melissa? fica com valor Kwyjibo, para o virus confirmar se o PC já se encontra infectado Procura 50 endereços de , enviando mensagem infectada {user name} do PC infectado Subject: Important Message From {user name} Conteúdo: Here is that document you asked for... don't show anyone else :-) Attachment: documento activo infectado Prof RG Crespo Software de Telecomunicações Virus-II : 17/48 Virus por macros (5) Se dia e minuto forem iguais (ex: dia 30 às 0:30), insere na corrente localização do documento a frase Twenty-two points, plus triple-word-score, plus fifty points for using all my letters. Game's over. I'm outta here. ; cria instância do Outlook SET UngaDasOutlook = CreateObject("Outlook.Application") ; verifica se computador ainda não foi infectado IF System.PrivateProfileString("", "HKEY_CURRENT_USER\Software\Microsoft\Office\","Melissa") <> "... by Kwyjibo" THEN ; verifica se o servidor de é o Outlook IF UngaDasOutlook="Outlook" THEN Prof RG Crespo Software de Telecomunicações Virus-II : 18/48

10 Virus por macros (6) ; recolhe identificador do utilizador e passwd DasMapiName.Logon "profile" "password" ; recolhe endereços armazenados FOR y=1 TO DasMapiName.AddressLists.Count SET AddyBook = DasMapiName.AddressLists(y) x = 1 SET BreakUmOffASlice = UngaDasOutlook.CreateItem(0) FOR oo=1 TO AddyBook.AddressEntries.Count Peep = AddyBook.AddressEntries(x) BreakUmOffASlice.Recipients.Add Peep x = x +1 IF x>50 THEN oo= AddyBook.AddressEntries.Count NEXT oo ; envia infectado Prof RG Crespo Software de Telecomunicações Virus-II : 19/48 Virus por macros (7) Depois, o virus verifica o documento activo é normal ou um padrão Normal.dot. Se for documento normal, infecta o padrão Normal.dot com a macro Document_Close (a correr sempre que o documento é fechado). Se for o padrão Normal.dot, infecta o documento activo com a macro Document_Open (a correr sempre que o documento é aberto). O Word trabalha sobre dois tipos de ficheiros: Documento propriamente dito (.doc) Padrão ( template ), com as formatações/margens/ O padrão Normal.dot, é o de omissão do Word e é alvo favorito dos criadores de virus Prof RG Crespo Software de Telecomunicações Virus-II : 20/48

11 Virus por macros (8) Detecção de virus por macros Instalar um AV, que deve ser periodicamente actualizado Versões actualizadas do Office avisam utilizador da possível presença no documento de macros infectadas. 1. Negar utilização das macros em todos os documentos suspeitos. 2. Usar o VBE para verificar macros suspeitas. Há virus que inibem opções do Tools->Macro. Para estes casos, editar o ficheiro (por exemplo, com MSDOS Edit) e procurar comandos suspeitos (DoWhile, Output As, ) Prof RG Crespo Software de Telecomunicações Virus-II : 21/48 Cavalo de Troia CIH (1) Os virus CIH, também designados por Chernobyl ou Spacefiller, codificados por Cheng Ing Hau de Taiwan em Sendo bombas temporais, entraram em acção a 26 Abril Dimensão de apenas 1KB, preenche espaços vazios dos ficheiros Portable Executable: não altera dimensão dos ficheiros infectados. Prof RG Crespo Software de Telecomunicações Virus-II : 22/48

12 Cavalo de Troia CIH (2) Actividades destrutivas: Preenche com 0 s o primeiro MB dos boot drives, destruindo as tabelas de partição. Tenta escrever a Flash Bios com lixo, impedindo arranque do PC logo na etapa POST - Power on Self Test Nova versão lançada nas Filipinas em 2000 como verme, escrito em VBScript na mensagem de I Love You, provocou prejuízos estimados em $ Prof RG Crespo Software de Telecomunicações Virus-II : 23/48 Negação de Serviços (1) A negação de serviços (DoS- Denial of Service ) é um ataque concertado, que impede serviços em servidores (ex: de ou de WWW). Relatórios em 1999 indicavam circulação em chats de endereços de agentes (máquinas comprometidas) Primeiro DoS em larga escala ocorreu 7~12 de Fev 2000 Executado pelo programa Trin00 Flood Web sites atacados: Amazon, Ebay, Yahoo, FBI Prejuízos avaliados em 1.7 biliões USD Em resultado, Clinton formou comité especial com os maiores especialistas em segurança Prof RG Crespo Software de Telecomunicações Virus-II : 24/48

13 Negação de Serviços (2) Controlador dos geradores de tráfego Geradores de tráfego que bloqueiam a vítima Prof RG Crespo Software de Telecomunicações Virus-II : 25/48 Negação de Serviços (3) Os ataques DoS (ou DDoS, quando usados mais de um controlador), baseiam-se nas limitações de processamento dos servidores. Os agentes podem actuar de várias formas: A. Esgotamento de espaço ( buffer overflow ): enviar dados de tamanho superior à memória existente s com ficheiros de identificador de comprimento excessivo Pacotes ICMP demasiadamente extensos Prof RG Crespo Software de Telecomunicações Virus-II : 26/48

14 Negação de Serviços (4) B. Sinalização: esgota fila ( buffer ) usada para rápido estabelecimento de uma sessão, com hand-shaking a 3 passos, por segmentos TCP de sinalização ( syn ). Cliente Servidor Syn+ACK Syn ACK Nota: Para além dos tipos de segmentos indicados no cabeçalho, há um numero de 32 bits incrementado em cada mensagem. Prof RG Crespo Software de Telecomunicações Virus-II : 27/48 Negação de Serviços (5) O atacante envia rapidamente vários pedidos de conexões, sem responder ao reply do servidor (por exemplo, indicando endereço de outra máquina- spoofing ). Isto deixa o pacote na fila que, quando cheia, impede o processamento de pedidos válidos. O servidor descarrega o pacote após o timeout, mas o atacante repete o processo. A dimensão da fila varia: WinNT =4, RedHat 7 =130, Solaris 2.5 =31. Tipicamente, o timeout é de 75 seg. Um servidor pode ir abaixo com 500 SYN/segundo. Prof RG Crespo Software de Telecomunicações Virus-II : 28/48

15 Negação de Serviços (6) C. Teardrop : alteração dos endereços de offset dos pacotes IP Um segmento de dados do TCP, demasiadamente grande, é dividido em vários pacotes IP e o router envia-os separadamente. Cada pacote indica o offset do 1º bit enviado. Na máquina de destino, o TCP reordena os pacotes recebidos e reconstroi o segmento de dados. O atacante indica offset confusos a partir do segundo pacote. Sistema operativos, que não prevêm esta situação, podem crashar Fácil de combater com um simples reboot! Prof RG Crespo Software de Telecomunicações Virus-II : 29/48 Negação de Serviços (7) D. Smurf : alteração dos pedidos de eco para a máquina a atacar. Um pacote ICMP de tipo 8 ( echo request, alcunhado de ping) faz com que a máquina destino responda com um pacote ICMP de tipo 0 ( echo reply, alcunhado de pong). O atacante envia pings, mas com o endereço de retorno da máquina a atacar ( spoofing de endereço). A máquina atacada pode não conseguir distinguir entre pings erróneos e dados válidos. DoS podem ser combatidos por bridges ou firewalls. DDoS mais difíceis de conter Prof RG Crespo Software de Telecomunicações Virus-II : 30/48

16 Negação de Serviços (8) A maior parte dos agentes são computadores universitários comprometidos Ambiente académico aberto Frequentemente administrados por pessoas inexperientes, ou pouco interessadas Controladores e geradores de tráfego executados por cavalos de tróia ou vermes. Comunicações entre mestre/controlador/agente por portos abertos pelo cavalo de tróia (normalmente fora dos primeiros 1024, reservados pelo IANA- Internet Assigned Number Authority ) Prof RG Crespo Software de Telecomunicações Virus-II : 31/48 RATs Um RAT- Remote Administration Trojan envia informação da máquina a um atacante. Parte servidor: programa carregado na máquina comprometida Parte cliente: programa de contacto com o servidor Ex: Back Orifice 2000 Disponibilizado publicamente em Julho 1999 Inclui ambiente GUI de desenvolvimento de serviços de controlo remoto Comunicação servidor/cliente cifrada Prof RG Crespo Software de Telecomunicações Virus-II : 32/48

17 Detecção de virus (1) No mercado existem programas dedicado à detecção e erradicação de virus (McAfee, Synmatec..), que vamos referir por AVs. Há problemas na taxas de sucesso na detecção e probabilidade de falsas detecções. As 3 estratégias mais adoptadas na detecção são: Aparência: pesquisa código com grande probabilidade de não existir noutros programas. Comportamento: monitoriza sistema para encontrar acções dúbias. Alteração: compara atributos chave. Prof RG Crespo Software de Telecomunicações Virus-II : 33/48 Detecção de virus (2) A. Detecção por aparência Identificação de scan strings de virus previamente detectados. As tabelas do AV (designado por scanner ) devem ser periodicamente actualizadas. Apear de serem os menos efectivos, acabam por serem obtidos os melhores resultados (por obrigar o utilizar a actualizar as tabelas das scan strings ) Há 3 medidas de fuga à detecção e contra-resposta Prof RG Crespo Software de Telecomunicações Virus-II : 34/48

18 Detecção de virus (3) 1. Fuga: cifra, com chaves limitadas, que obrigaria o AV ter de decifrar todas as hipóteses (logo, mais pesado). Contra-resposta: a rotina de cifra pode ser usada como scan string! 2. Fuga: polimorfismo, em que o código possui vários métodos de cifra sendo substituido sucessivamente o código aberto. O DAME é uma ferramenta de apoio ao polimorfismo. Inconveniente: o virus é muito maior (ex: o Whale, com 10KB, possui 33 alternativas). O efeito nos AV é apenas aumentar as tabelas das scan strings. Prof RG Crespo Software de Telecomunicações Virus-II : 35/48 Detecção de virus (4) 3. Fuga: mutação, substituindo instruções por outras equivalentes (ex: MOV AX,0 por SUB AX,AX ou XOR AX,AX). Contra-resposta: os AVs possuem tabelas de substituição durante a pesquisa e todas as alternativas são comparadas (logo, mais pesado). Prof RG Crespo Software de Telecomunicações Virus-II : 36/48

19 Detecção de virus (5) B. Detecção por comportamento Um programa, virus ou não, ao pretender executar INT sob vigilância (ex: abrir ficheiros.com ou.exe em modo de escrita), leva o interceptador obter autorização para prosseguir. 1. Fuga: curto-circuito, o virus chama directamente as funções sob vigilância. Prof RG Crespo Software de Telecomunicações Virus-II : 37/48 Detecção de virus (6) C. Detecção por alteração Na versão mais simples, os virus alteram o comprimento do ficheiro infectado, pelo que bastaria o AV verificar este atributo. Problema: versões, legítimas, alteram também o comprimento dos programas. Solução: checksum como atributo (a soma de todos os Bytes do programa com o checksum deve dar 0). Prof RG Crespo Software de Telecomunicações Virus-II : 38/48

20 Regras básicas para evitar virus Não abrir estranhos. Desconfiar de sites gratuitos. Instalar programas apenas de vendedores seguros. Configurar bloqueador popup no navegador (Firefox, IE, Google Toolbar). Usar e manter actualizado um AV MacAfee, disponível no Instituto Superior Técnico Actualizar periodicamente definições de virus (melhor ainda, configurar Live update) Prof RG Crespo Software de Telecomunicações Virus-II : 39/48 SPAM introdução (1) SPAM 1 mensagem não solicitada, dividida por Boato ( Hoax ): história falsa para benifício do lançador (ex: alegada informação de onda de calor/ciclone, por forma a regressar mais cedo do emprego) Corrente ( Chain ): promessa de prejuízo ao receptor se não reenviar mensagem a um número mínimo de outras pessoas, ou benefício se reenviar a mensagem. Propaganda de produtos: ex: venda de medicamentos (Viagra, ) Conto do vigário ( Scam ): oportunidade enganosa (ex: carta de Nigéria) HAM mensagem legítima de 1 Marca de carne enlatada, da empresa Hormel, acrónimo de Shoulder of Pork and ham. Prof RG Crespo Software de Telecomunicações Virus-II : 40/48

21 SPAM introdução (2) [1978] Convites para recepção enviados a todos os utilizadores da Arpanet na Costa oeste dos USA. [1988] Primera cadeia a solicitar contribuições para um fundo escolar enviada a muitos newsgroups. [18 Jan 1994] Primeiro SPAM global, com todos os newsgroups a receber a mensagem Global Alert for All: Jesus is Coming Soon, seguido em Abril pelo Green Card Lottery Final One. Segundo a Spamhaus. SPAM representa 90% do a circular (em Out 2007 estimado volume diário de 183 biliões de s)! Prof RG Crespo Software de Telecomunicações Virus-II : 41/48 SPAM - arquitectura (1) Tal como no DoS, mensagens SPAM são enviadas por máquinas comprometidas - botnet. 1. Operador de botnet infecta, por virus ou verme, um bot num nó (passa a comprometido). 2. Nó comprometido liga-se a um servidor de comando e controlo C&C. 3. Spammer adquire, ao operador de botnet, acesso a C&Cs. 4. Spammer instroi, via servidor C&C, os nós comprometidos a enviar Spam (ou ataques DoS). Prof RG Crespo Software de Telecomunicações Virus-II : 42/48

22 SPAM - arquitectura (2) Cerca de 80% do SPAM gerado por 500/600 Spammers, registados em Exemplo: Alan Ralsky Possuia 20 computadores. Controlava 190 servidores C&C. Enviava 650 mil mensages/hora. Registou 250 milhões de endereços. Recebia $500 por cada milhão de mensagens. Segundo Eric Allman State of the Spam em USENIX Spammers de topo recebem, cada um, $100K/mês Legislação não intimida os maiores spammers comerciais. Nota: ROKSO=Register of Known Spam Operations Prof RG Crespo Software de Telecomunicações Virus-II : 43/48 SPAM - arquitectura (3) Estudos revelam que 80% de PCs se encontram comprometidos. Exemplo: Bobax (bot que ataca por buffer overflow no MS LSASS) detectado em mais de 100K nós. Apenas 4% dos nós comprometidos, conhecidos, não são Windows. Nota: maior parte dos utilizadores domésticos e empresas prefere Windows. Cerca de 8% do SPAM provém de nós não Windows. Nota: servidores, com maior tempo de ligação, preferencialmente não Windows. Maior número de nós comprometidos nos EUA e na China. A maior parte dos nós comprometidos envia pequenas quantidades de SPAM. Nota: ISP mantêm listas negras, que cortam acesso a nós com elevado SPAM. Listas de nós comprometidos são designados por RBL-Realtime Blackhole List. CONCLUSÂO: SPAM vai continuar, a única solução possível é adoptar estratégias de diminuição do problema! Prof RG Crespo Software de Telecomunicações Virus-II : 44/48

23 SPAM - arquitectura (4) Extracto de um recente Date: Tue, 25 Mar :30: From: Programa de envio de s <vlecbm@fetnet.net> [...] Subject: 50 Euros - Programa de envio de s COMPLETO Até o dia 26/03/2008, você poderá adquirir o melhor programa de envio de s do mercado em PORTUGAL e outros países, em um dos 5 novos pacotes com desconto exclusivo. Com o Magic Seven, você envia s para qualquer provedor, sem limite de quantidade e sem bloqueios, com IP protegido, com velocidade de até s por hora. [...] Por vezes a mensagem não é enviada directamente à vitima. Ela é enviada a um utilizador inexistente, com From substituído pela vítima. O servidor de envia à vítima um aviso com conteúdo da mensagem rejeitada. Prof RG Crespo Software de Telecomunicações Virus-II : 45/48 SPAM recolha de endereços Spammers recolhem endereços ( harvest ) em diversos locais Varrimento de páginas WWW por web crawlers Respostas a ofertas e concursos afixados na Web. Virus que consultam agendas de utilizador. Endereços de autores em artigos (Journals, imprensa,...) NB pessoal! recebia diariamente à volta de 40 Spam, e o número saltou para mais de 100 quando em 2007 publiquei um artigo no Computer Networks Mensagens enviadas para UseNet. Listas recolhidas por outros Spammers. Prof RG Crespo Software de Telecomunicações Virus-II : 46/48

24 SPAM combate (1) 1. Disfarce endereços- address munging (nomeadamente em páginas Web) Substituição de separadores por texto Substituição de texto por imagens. 2. Silêncio: se responder à opção remove me, está a fornecer ao Spammer informação crucial Seu endereço de é real. O seu correio é lido por humanos. 3. Instalação de filtros Razor o primeiro de grande divulgação (1988) SpamAssassin adoptado no servidor WWW Apache, adaptativo por métodos estatísticos. Prof RG Crespo Software de Telecomunicações Virus-II : 47/48 SPAM combate (2) Um bom filtro deve evitar: Falsos positivos ( válido catalogado como SPAM) devem ser inferiores a 0.02% Falsos negativos (SPAM catalogado como válido) devem ser inferiores a 8% Efeitos negativos do SPAM: Sobrecarga de tráfego e nas caixas de correio. Perda de tempo dos receptores na determinação e eliminação de mensagens. Prejuízo nos que caem no conto do vigário. Nota [2008]: aumento do mercado asiático, aliado a um combate mais eficaz no mercado ocidental a spammers não acompanhado pelos administradores de sistemas asiáticos, tem levado ao aumento da percentagem de SPAM em língua oriental. Prof RG Crespo Software de Telecomunicações Virus-II : 48/48