Discussione Quanto fa schifo la sicurezza delle vecchie edizioni di Windows?

czonta96

Utente Electrum
17 Gennaio 2022
196
60
121
199
Lo dirò sempre, Microsoft è una cattiva azienda che ha al primo obiettivo fare soldi, e non la vera sicurezza dei suoi aquirenti. Quest'oggi durante un test di cui i dettagli sono privati, ho effettuato un bypass di Avast a dir poco ridicolo contro un PC Windows 7. Quest'OS, nonostante equipaggiato con Avast 21, una reputabile suite di sicurezza, è stato fregato con un semplice script in Power$hell. Come è ben risaputo, a volte gli AV hanno qualche difficoltà (nessuna colpa) a rilevare del contenuto nefasto negli script, dato che se ritoccati o autoprodotti, è molto più facile creare nuove signature. E dato che Windows 7 incorpora nativamente Power$hell, perché non abusarne, per incorporare un bell'exploit RCE ad esempio? Avast ha rilevato un generico comportamento sospetto da parte di powershell.exe, ma non mi ha fermato, limitandosi a segnalare. Questo perché powershell.exe è parte di Windows, e di conseguenza l'AV non ha saputo bene come comportarsi, anche a detection avvenuta.

Come ben sapete, Microsoft ha cessato il supporto a Windows 7 nel 2020. A partire da quell'anno, l'OS non vedrà più una nuova feature di sicurezza, o una patch di aggiornamenti critici, e le aziende, giustamente non sono sempre pronte per migrare immediatamente ad una nuova edizione dell'OS. Questo causa un'enorme falla di sicurezza a cui non è possibile ovviare nell'immediato, dato che spesso in queste aziende sono esposti servizi critici come SMB, o RDP. Ovviamente SMB non è esposto per bellezza, ma perché magari ne hanno bisogno? Come ovviare dunque, alle falle di sicurezza che si aprono continuamente, a causa dell'avidità di denaro di Microsoft? E cosa fare, se siete un ente, una società o un'azienda che fa gola alle ransomware gang?

La soluzione è molto più semplice di quel che credete. Dimenticatevi Microsoft, dimenticatevi tutte le vecchie edizioni di Windows che non sono più mantenute, e quindi vulnerabili.
Tutto quello che basterebbe fare, è migrare a Linux. Negli ultimi anni, quest'OS è migliorato drasticamente, offrendo una comoda GUI (in alcune edizioni) adatta per l'utente medio, tutti gli strumenti per la produttività in ufficio (libreoffice.org), quindi perché continuare a seguire un venditore che vuole spennare i suoi clienti, quando si può optare per la filosofia dell'open source, e andare dritti a cosa ci interessa? Scegliere Linux nella propria azienda comporta le seguenti cose:

Pro
- Attack surface ridotto, drasticamente, rispetto a Windows;
- Gratuito: ottenerne una copia non costa nulla;
- Mantenuto coerentemente e gratuitamente;
- Personalizzabile e adattabile a seconda delle proprie esigenze. Supporta qualsiasi cosa.
- Gli aggiornamenti di sistema non arrivano mai automatici e in momenti scomodi. Per aggiornare Linux e proteggersi dalle vulnerabilità, basta andare sul terminal e digitare "sudo apt get-update && get upgrade".

Contro
- Potrebbe essere obbligatorio un mini-corso per i dipendenti, dato che non è sempre intuitivo capire come gestirlo in alcune situazioni. Ma in ogni caso non bisogna pagare o reclutare nessun "coach". Con poche guide presenti su Google, si imparano rapidamente le basi dell'utilizzo, anche per persone che non lo hanno mai visto.

Le persone sono ancora troppo abituate allo stile braindead di Windows, che guida letteralmente in ogni singola operazione? Era tutto un trucco per far spendere soldi. In realtà dovete imparare almeno a fare qualcosa quando siete di fronte a un PC, che piaccia o meno.
Preferite una grande sicurezza a costo Zero, oppure una scarsa sicurezza ad alto costo? La risposta è automatica, non servono ulteriori chiacchiere.
1663022466444.png
 

Riky.exe

Moderatore
24 Novembre 2009
867
83
217
571
Lo dirò sempre, Microsoft è una cattiva azienda che ha al primo obiettivo fare soldi, e non la vera sicurezza dei suoi aquirenti. Quest'oggi durante un test di cui i dettagli sono privati, ho effettuato un bypass di Avast a dir poco ridicolo contro un PC Windows 7. Quest'OS, nonostante equipaggiato con Avast 21, una reputabile suite di sicurezza, è stato fregato con un semplice script in Power$hell. Come è ben risaputo, a volte gli AV hanno qualche difficoltà (nessuna colpa) a rilevare del contenuto nefasto negli script, dato che se ritoccati o autoprodotti, è molto più facile creare nuove signature. E dato che Windows 7 incorpora nativamente Power$hell, perché non abusarne, per incorporare un bell'exploit RCE ad esempio? Avast ha rilevato un generico comportamento sospetto da parte di powershell.exe, ma non mi ha fermato, limitandosi a segnalare. Questo perché powershell.exe è parte di Windows, e di conseguenza l'AV non ha saputo bene come comportarsi, anche a detection avvenuta.

Come ben sapete, Microsoft ha cessato il supporto a Windows 7 nel 2020. A partire da quell'anno, l'OS non vedrà più una nuova feature di sicurezza, o una patch di aggiornamenti critici, e le aziende, giustamente non sono sempre pronte per migrare immediatamente ad una nuova edizione dell'OS. Questo causa un'enorme falla di sicurezza a cui non è possibile ovviare nell'immediato, dato che spesso in queste aziende sono esposti servizi critici come SMB, o RDP. Ovviamente SMB non è esposto per bellezza, ma perché magari ne hanno bisogno? Come ovviare dunque, alle falle di sicurezza che si aprono continuamente, a causa dell'avidità di denaro di Microsoft? E cosa fare, se siete un ente, una società o un'azienda che fa gola alle ransomware gang?

La soluzione è molto più semplice di quel che credete. Dimenticatevi Microsoft, dimenticatevi tutte le vecchie edizioni di Windows che non sono più mantenute, e quindi vulnerabili.
Tutto quello che basterebbe fare, è migrare a Linux. Negli ultimi anni, quest'OS è migliorato drasticamente, offrendo una comoda GUI (in alcune edizioni) adatta per l'utente medio, tutti gli strumenti per la produttività in ufficio (libreoffice.org), quindi perché continuare a seguire un venditore che vuole spennare i suoi clienti, quando si può optare per la filosofia dell'open source, e andare dritti a cosa ci interessa? Scegliere Linux nella propria azienda comporta le seguenti cose:

Pro
- Attack surface ridotto, drasticamente, rispetto a Windows;
- Gratuito: ottenerne una copia non costa nulla;
- Mantenuto coerentemente e gratuitamente;
- Personalizzabile e adattabile a seconda delle proprie esigenze. Supporta qualsiasi cosa.
- Gli aggiornamenti di sistema non arrivano mai automatici e in momenti scomodi. Per aggiornare Linux e proteggersi dalle vulnerabilità, basta andare sul terminal e digitare "sudo apt get-update && get upgrade".

Contro
- Potrebbe essere obbligatorio un mini-corso per i dipendenti, dato che non è sempre intuitivo capire come gestirlo in alcune situazioni. Ma in ogni caso non bisogna pagare o reclutare nessun "coach". Con poche guide presenti su Google, si imparano rapidamente le basi dell'utilizzo, anche per persone che non lo hanno mai visto.

Le persone sono ancora troppo abituate allo stile braindead di Windows, che guida letteralmente in ogni singola operazione? Era tutto un trucco per far spendere soldi. In realtà dovete imparare almeno a fare qualcosa quando siete di fronte a un PC, che piaccia o meno.
Preferite una grande sicurezza a costo Zero, oppure una scarsa sicurezza ad alto costo? La risposta è automatica, non servono ulteriori chiacchiere.
1663022466444.png

Interessante test, hai pensato di svolgerlo con altri anti-virus? Diciamo che Avast non lo installerei in un computer che utilizzo quotidianamente/con dati sensibili al suo interno, opterei decisamente per altre soluzioni.
Ti andrebbe di eseguire questo test con un antivirus come BitDefender? Sarei curioso del risultato.
Inoltre, posso dirti che molte aziende optano per Windows per una semplice compatibilità per programmi.
Prendi ad esempio un Geometra che ha bisogno necessariamente della suite di Autocad, come potrebbe fare dato che non esiste una versione (se non con qualche workaround non alla mano per tutti) per Linux? Questo è uno dei tanti programmi e credo che sarebbe un lavoraccio renderli compatibili tutti con Linux.
Attento però, con questo non voglio dirti che Windows sia migliore di Linux o il contrario, era semplicemente per dire che in alcune circostanze si è obbligati ad utilizzare OS come Windows o MacOS :)
 

czonta96

Utente Electrum
17 Gennaio 2022
196
60
121
199
Interessante test, hai pensato di svolgerlo con altri anti-virus? Diciamo che Avast non lo installerei in un computer che utilizzo quotidianamente/con dati sensibili al suo interno, opterei decisamente per altre soluzioni.
Ti andrebbe di eseguire questo test con un antivirus come BitDefender? Sarei curioso del risultato.
Inoltre, posso dirti che molte aziende optano per Windows per una semplice compatibilità per programmi.
Prendi ad esempio un Geometra che ha bisogno necessariamente della suite di Autocad, come potrebbe fare dato che non esiste una versione (se non con qualche workaround non alla mano per tutti) per Linux? Questo è uno dei tanti programmi e credo che sarebbe un lavoraccio renderli compatibili tutti con Linux.
Attento però, con questo non voglio dirti che Windows sia migliore di Linux o il contrario, era semplicemente per dire che in alcune circostanze si è obbligati ad utilizzare OS come Windows o MacOS :)
Ma allora usare Linux come main e Windows in una VM, per risolvere il problema della compatibilità coi programmi?
 

Riky.exe

Moderatore
24 Novembre 2009
867
83
217
571
Ma allora usare Linux come main e Windows in una VM, per risolvere il problema della compatibilità coi programmi?
Il problema è che non si dispone sempre di macchine con processori in grado di virtualizzare così bene Windows, quindi si andrebbe ad appesantire un computer che già di per se aprendo programmi come AutoCAD sarebbe allo stremo, quindi immagina un PC che utilizza Linux come OS primario che in più deve virtualizzare un ambiente Windows con sopra aperti programmi di grafica :alesisi:
 
  • Mi piace
Reazioni: 0xGhost

czonta96

Utente Electrum
17 Gennaio 2022
196
60
121
199
Ultima modifica:
L'unico AV che mi ha dato problemi è Symantec EDR. Se vede un file senza digital sign, o comunque con digital sign non valida o spoofata che cerca di connettersi a un indirizzo IP, restituisce un messaggio di allerta anche se su virus total ha ricevuto 0/67, ogni volta che si tenta di aprirlo. Non è una detection questo messaggio di allerta, è proprio un comportamento standard del programma (simile a SmartScreen.exe di Defender, ma che fa più attenzone alle firme piuttosto che limitarsi a verificare il MOTW). Gli altri AV li ho quasi tutti quanti arati nei test condotti in questi anni invece.. Per bypassare Symantec EDR dovrei firmare il sample con DigiCert, ma non mi va, costa troppo.
Messaggio unito automaticamente:

Comunque riguardo il problema della compatibilità dei programmi, so che per Linux esiste sempre una "variante" dedicata di un programma usato comunemente su Windows, ad esempio MS Office --> Libre Office/Open Office
Riguardo AutoCAD ho trovato una lista di varie alternative valide per Linux:
Non sono un geometra o un architetto, quindi non saprei dire bene fra quali di questi programmi elencati sia più adatto all'uso professionale, ma le alternative comunque ci sono, e offrono anche una vasta gamma di scelta a quanto pare, per fortuna. Alcune di queste non sembrano open source, ma comunque neanche AutoCAD lo è, ma penso che offrano un TRIAL. Altre sono direttamente accessibili