Quindi, in altre parole, chi utilizza un account limitato sembrerebbe al sicuro da rootkit e malware. Niente più software antivirus.
In realtà la questione non sta proprio così. É vero, gran parte dei rootkit e dei malware attuali verrebbero tagliati fuori, ma non è vero che si possa essere al sicuro.
Un programma lanciato da account limitato può avere accesso alle zone di memoria di tutti gli altri processi che vengono lanciati con diritti dello stesso account limitato in uso. Una volta ricavato l’handle del processo con l’API OpenProcess() e flag PROCESS_VM_WRITE è possibile andare a scrivere nelle zone di memoria degli altri processi con diritti simili.
Lo scopo del rootkit è quello di nascondersi agli occhi degli utenti. Lo faccia in modo complesso (DKOM, SSDT/IDT hooking), lo faccia a livello più semplice e completo (rootkit user mode con diritti administrator) o lo faccia a livello di account limitato (modifica solo dei processi lanciati da account limitato) può comunque farlo. Certo, è più facile l’individuazione – basta lanciare uno scanner antivirus con permessi administrator (RunAs) o avere comunque un monitor antivirus in realtime che dovrebbe partire con diritti di SYSTEM – ma se nessuno pensasse di fare una scansione il rootkit svolgerebbe comunque il proprio lavoro.
Senza considerare – ipotesi più rara e “fantascientifica” – che se un giorno venisse scoperto un bug in qualche processo di sistema che viene lanciato con diritti di amministratore o ancora più alti, anche da account limitato potrebbe partire una privilege escalation. Blaster e Sasser, per un certo senso, insegnano.
Ecco perché, seppure un account limitato riduca *drasticamente* il rischio di infezioni, uno scanner antimalware/antivirus/HIPS o qualunque software sia sarebbe comunque consigliato.
Nel caso della news riportata ad inizio articolo, Haxdoor non avrebbe funzionato con account limitato e gli utenti sarebbero stati tutti più felici probabilmente.
