Se si fa clic sul collegamento "Analisi statica" per il file nella pagina Comodo Valkyrie, si noterà che uno dei motivi per contrassegnare il file è stato "Rilevamento dell'array di funzioni di callback TLS". Potrebbe esserci un motivo legittimo per l'inclusione di quel codice all'interno dell'eseguibile che hai caricato sul sito, ma il codice di richiamata TLS può essere utilizzato dagli sviluppatori di malware per contrastare l'analisi del loro codice da parte dei ricercatori antivirus rendendo il processo di debug del codice più difficile. Ad esempio, da
Detect debugger con callback TLS :
Il callback TLS è una funzione chiamata prima dell'esecuzione del punto di ingresso del processo. Se si esegue l'eseguibile con un debugger, il callback TLS verrà eseguito prima dell'interruzione del debugger. Ciò significa che è possibile eseguire controlli anti-debug prima che il debugger possa fare qualsiasi cosa. Pertanto, il callback TLS è una tecnica anti-debugging molto potente.
TLS Callbacks in the Wild discute un esempio di malware che utilizza questa tecnica.
Lenovo ha una cattiva reputazione per quanto riguarda il software che ha distribuito con i suoi sistemi. Ad esempio, dall'articolo di Ars Technica del 15 febbraio 2015 i PC Lenovo vengono forniti con adware man-in-the-middle che interrompe le connessioni HTTPS :
Lenovo sta vendendo computer preinstallati con adware che dirottano sessioni Web crittografate e potrebbero rendere gli utenti vulnerabili agli attacchi HTTPS man-in-the-middle che sono banali per gli aggressori, hanno detto i ricercatori della sicurezza.
La minaccia critica è presente sui PC Lenovo che dispongono di adware di una società chiamata Superfish installata. Per quanto sfavorevole come molte persone trovano software che inietta annunci nelle pagine Web, c'è qualcosa di molto più nefasto nel pacchetto Superfish. Installa un certificato HTTPS radice autofirmato che può intercettare il traffico crittografato per ogni sito Web visitato dall'utente. Quando un utente visita un sito HTTPS, il certificato del sito viene firmato e controllato da Superfish e si presenta erroneamente come certificato ufficiale del sito Web.
Un attacco man-in-the-middle sconfigge la protezione che avresti altrimenti visitando un sito utilizzando HTTPS anziché HTTP, consentendo al software di curiosare su tutto il traffico web, incluso il traffico tra l'utente e le istituzioni finanziarie come le banche.
Quando i ricercatori hanno scoperto il software Superfish su macchine Lenovo, Lenovo inizialmente ha affermato "Abbiamo studiato a fondo questa tecnologia e non abbiamo trovato prove a sostegno di problemi di sicurezza". Ma la società ha dovuto ritirare tale affermazione quando i ricercatori della sicurezza hanno rivelato come il software Superfish ha reso i sistemi Lenovo aperti a compromessi da malfattori.
In risposta a questa debacle, il Chief Technical Officer (CTO) di Lenovo, Peter Hortensius, ha poi dichiarato "Quello che posso dire al riguardo oggi è che stiamo esplorando una vasta gamma di opzioni che includono: la creazione di un'immagine PC più pulita (il sistema operativo e software che è sul dispositivo immediatamente pronto per l'uso) ... "Forse quell'opzione è stata scartata. Ad esempio, vedi l'articolo di settembre 2015 Lenovo catturato in prima persona (terza volta): spyware preinstallato trovato nei laptop Lenovo da Swati Khandelwal analista di sicurezza presso The Hacker News , che discute del software "Lenovo Customer Feedback Program 64" che hai trovato su il tuo sistema.
Aggiornamento :
Per quanto riguarda gli usi legittimi per i callback di Thread Local Storage (TLS), c'è una discussione TLS nella Wikipedia Thread Local Storagearticolo. Non so con che frequenza i programmatori lo utilizzino per usi legittimi. Ho trovato solo una persona che menziona il suo uso legittimo per la capacità; tutti gli altri riferimenti ad esso trovati sono stati utilizzati dal malware. Ma ciò potrebbe essere semplicemente dovuto al fatto che l'utilizzo da parte degli sviluppatori di malware ha maggiori probabilità di essere scritto rispetto ai programmatori che scrivono del loro utilizzo legittimo. Non penso che il suo utilizzo da solo sia una prova conclusiva che Lenovo sta cercando di nascondere funzioni nel software che i suoi utenti potrebbero trovare allarmanti se sapessero tutto ciò che il software ha fatto. Ma, date le pratiche note di Lenovo, non solo con Superfish, ma successivamente con il suo uso della piattaforma binaria di piattaforma Windows (WPBT) per "Lenovo System Engine"
Lenovo ha utilizzato la funzionalità antifurto di Windows per installare crapware persistenti , penso che ci sia motivo di essere un po 'diffidenti e molto meno propensi a dare a Lenovo il vantaggio del dubbio rispetto a quanto potrei fare con altre società.
Sfortunatamente, ci sono molte aziende che cercano di guadagnare di più dai loro clienti vendendo informazioni sui clienti o "accedendo" ai loro clienti ad altri "partner". E a volte ciò avviene tramite adware, il che non significa necessariamente che l'azienda stia fornendo informazioni di identificazione personale a tali "partner". A volte un'azienda potrebbe voler raccogliere informazioni sul comportamento dei propri clienti in modo da poter fornire maggiori informazioni agli operatori di marketing sul tipo di cliente che l'azienda è in grado di attrarre piuttosto che informazioni che identificano un individuo.
Se carico un file su VirusTotal e trovo solo uno o due dei molti programmi antivirus che utilizza per scansionare i file caricati che contrassegnano il file come contenenti malware, spesso li considero come rapporti falsi positivi , se il codice è ovviamente in circolazione da un po 'di tempo, ad esempio, se VirusTotal ha segnalato di aver scansionato il file in precedenza un anno fa, e altrimenti non ho motivo di diffidare dello sviluppatore del software e, al contrario, qualche motivo per fidarmi dello sviluppatore, ad esempio, a causa di una buona reputazione di lunga data. Ma Lenovo ha già offuscato la sua reputazione e 12 dei 53 programmi antivirus che segnalano il file caricato sono circa il 23%, che considero una percentuale preoccupantemente alta.
Tuttavia, dal momento che la maggior parte dei fornitori di antivirus di solito fornisce poche, se del caso, informazioni specifiche su ciò che porta un file a essere contrassegnato come un particolare tipo di malware e esattamente cosa significa una particolare descrizione di malware in termini di funzionamento, è spesso difficile accertare esattamente cosa devi preoccuparti quando vedi una descrizione particolare. In questo caso potrebbe anche essere che la maggior parte di loro stia vedendo un callback TLS e contrassegni il file solo su quella base. Vale a dire, è possibile che tutti e 12 stiano presentando un reclamo falso positivo sulla stessa base errata. E a volte prodotti diversi condividono le stesse firme per identificare il malware e quella firma può anche verificarsi in un programma legittimo.
Per quanto riguarda il risultato "W32 / OnlineGames.HI.gen! Eldorado" riportato da un paio di programmi su VirusTotal è un nome simile a
PWS: Win32 / OnLineGames.gen! Bsenza informazioni specifiche su ciò che ha portato alla conclusione che il file è associato a W32 / OnlineGames.HI.gen! Eldorado e quale comportamento è associato a W32 / OnlineGames.HI.gen! Eldorado, vale a dire quali chiavi e file di registro ci si dovrebbe aspettare per trovare e come si comporta il software con quella particolare descrizione, non concluderei che il software ruba le credenziali di gioco. Senza altre prove, penso che sia improbabile. Sfortunatamente, molte delle descrizioni dei malware che vedrai sono solo descrizioni generiche simili che hanno poco valore nel determinare quanto dovresti essere preoccupato quando vedi quella descrizione allegata a un file. "W32" è spesso associato all'inizio di molti nomi da alcuni produttori di antivirus. Il fatto che condividano questo e "OnlineGames" e "gen" per "generico"
Rimuoverei il software, dal momento che lo giudicherei per utilizzare le risorse di sistema senza alcun vantaggio per me e, se giochi ai giochi online, potresti reimpostare le tue password come precauzione, anche se dubito che il software Lenovo abbia rubato le credenziali di gioco online o sta eseguendo la registrazione dei tasti. Lenovo non ha una reputazione eccezionale per il software che include nei propri sistemi, ma non ho visto alcuna notizia secondo cui avrebbe distribuito software che avrebbe funzionato in questo modo. E la perdita periodica della connettività di rete potrebbe anche essere al di fuori del tuo PC. Ad esempio, se anche altri sistemi nella stessa posizione riscontrano periodicamente una perdita di connettività, penso che ci sia più probabilmente un problema su un router.