www.MegaLab.it

Durante la prima serata di ieri, un coro di messaggi e proteste si sono riversati in rete. L'aggiornamento "5958 DAT" distribuito tramite la funzione di update automatico ha infatti trasformato i software di sicurezza editi da McAfee in veri e propri virus capaci di aggredire il sistema operativo, causando effetti collaterali che sono potuti arrivare fino al crash con schermata blu e l'impossibilità di accedere a Windows dopo il riavvio.

Il difetto è causato da un falso positivo: in seguito all'aggiornamento, l'antivirus ha iniziato a riconoscere erroneamente il file di sistema svchost.exe di Windows XP SP3 come il malware W32/wecorl.a, e, di conseguenza, a procedere a spostarlo in quarantena.

La rilevazione erronea si manifesta comunque solamente sullo specifico Windows XP: i sistemi governati da Windows Vista, Windows 7 o un prodotto della linea "server" non parrebbero essere stati colpiti.

McAfee ha prontamente sospeso la distribuzione dell'aggiornamento, rimpiazzandolo con la versione 5959, epurata dal grave bug. Il lasso di tempo intercorso ha però fatto sì che il sito di riferimento fosse soggetto ad una vera e propria invasione da parte degli utenti a caccia di spiegazioni

L'azienda di Santa Clara ha pubblicato una pagina nella quale spiega agli utenti che si trovassero tagliati fuori dal proprio PC come recuperare la situazione. Fondamentalmente, si tratta di avviare il sistema in modalità provvisoria, scompattare questo file nella cartella C:\Programmi\File Comuni\McAfee\Engine e infine ripristinare il file svchost.exe dalla console di VirusScan.

Sebbene sia la prima volta che un difetto di questo tipo interessi McAfee, molti altri antivirus hanno mostrato comportamenti simili in passato. Sul finire del 2008 ad esempio, il popolare AVG Free aveva precluso l'accesso a Windows a causa di un bug del tutto analogo, mentre nel 2006 era stato eTrust Antivirus di Computer Associates a fare le bizze.

Oggi come allora la domanda che ci si pone è sempre la stessa: come è possibile che un problema di questo calibro, rilevabile semplicemente installando il software su una workstation configurata con le impostazioni di default, passi inosservato ai collaudatori?