Linee guida PUP per il rilevamento nei prodotti G DATA

Questo articolo spiega secondo quali regole generiamo rilevamenti PUP (Possibly Unwanted Program)

Pubblichiamo queste linee guida per offrire ai nostri clienti e partner la possibilità di determinare se un software debba essere classificato come PUP (Possibly Unwanted Program). Gli analisti G DATA si attengono rigorosamente a queste linee guida quando classificano come PUP un software che analizziamo presso G DATA.

Il rilevamento, tuttavia, non si limita alle singole istanze del software in sé, ma include anche il comportamento dell’azienda che sta dietro al software. L’utilizzo di un software equivale a un contratto tra due parti, l’utente e lo sviluppatore/fornitore/distributore del software, in seguito indicato in questo documento come distributore.

Tutte le funzionalità di un software richiedono tempo e denaro per sviluppo, test e manutenzione.

Pertanto, è altamente improbabile che un software commerciale contenga funzionalità non necessarie.

Di conseguenza, si deve presumere che tutte le funzionalità riscontrate siano state aggiunte per scopi specifici.

Ciononostante, possono verificarsi errori, ma ci si aspetta che vengano corretti, soprattutto quando sono a svantaggio dell’utente. "Errori" ripetuti a svantaggio dell’utenza sono altamente irrealistici.

Se un software viola una o più delle seguenti regole, una classificazione da parte di G DATA come "potenzialmente indesiderato" è molto probabile. I clienti che desiderano comunque continuare a utilizzare tale software possono farlo in qualsiasi momento disattivando il rilevamento dei "programmi potenzialmente indesiderati" nelle suite antivirus di G DATA.

Frode

Qui definita come "inganno illecito o criminale con l’obiettivo di un guadagno finanziario o personale". La frode è sempre intenzionale; qualsiasi forma di frode comporta una classificazione PUP o peggio.

Esempi di comportamento software fraudolento:

  • Fingere di essere un software o un servizio Microsoft o di un altro fornitore legittimo, pur non essendolo.

  • Visualizzazione di un conto alla rovescia falso per una falsa offerta a tempo limitato.

  • Registrazione che si rivela un acquisto o un abbonamento.

  • Visualizzazione di un comportamento diverso in ambienti virtuali rispetto all’hardware reale.

  • Avvisi o pop-up falsi che non si basano su fatti.

Fuorviamento

Qui definito come "trasmettere un’idea errata o un’impressione falsa". Il fuorviamento dell’utente non deve necessariamente avvenire in modo intenzionale, ma può anche essere il risultato di una scelta lessicale inadeguata, ad es. a causa di una traduzione scadente. Se tuttavia accertiamo che le informazioni fuorvianti siano intenzionali, classifichiamo il software come potenzialmente indesiderato.

L’intenzionalità può essere difficile da dimostrare, ma alcuni esempi in cui è possibile riscontrare informazioni volte a fuorviare l’utenza sono

  • Il comportamento del software (afferma di ottimizzare il PC, ma non lo fa)

  • Finestre di dialogo e testi nell’interfaccia grafica utente (GUI) dell’applicazione che, ad es., nascondono il fatto che il software raccoglie in larga misura dati personali

  • Storia del rivenditore o del software

  • Altri software dello stesso produttore e sito web/webshop

  • Campagne limitate, ad es., a:

    • Tempo

    • Regione

    • Ambiente software/hardware

Scopo e utilità

Gli scopi di un software possono essere suddivisi in 2 categorie: scopo a beneficio dell’utente e scopo a beneficio del rivenditore.

Affinché un software sia sostenibile, deve avere un’utilità per l’utente; in caso contrario, nessuno sarà disposto a utilizzarlo. D’altra parte, il software deve apportare un certo beneficio al distributore, altrimenti lo sviluppo del software sarebbe stato uno spreco di tempo e denaro. Nella maggior parte dei casi, il software è progettato per generare una qualche forma di reddito.

Per un contratto equo, i vantaggi per entrambe le parti devono essere bilanciati.

Se tuttavia l’equilibrio si sposta eccessivamente a favore del distributore, aumenta la probabilità che questo software sia potenzialmente indesiderato.

  • Il software deve avere un’utilità per l’utente.

  • Ogni funzionalità dovrebbe avere un’utilità per l’utente.

  • Se una funzionalità non apporta un beneficio diretto all’utente, deve essere motivata per iscritto.

  • Il prezzo pagato dall’utente deve essere chiaro e non deve penalizzare l’utente.

Pubblicità

Anche le offerte che il software presenta durante/dopo l’installazione, l’esecuzione o la disinstallazione sono considerate pubblicità.

La pubblicità può essere suddivisa in 2 categorie:

Pubblicità che promuove il software/servizio

  • L’affiliate marketing in genere promuove il software.

    • È responsabilità del partner di distribuzione mantenere allineati gli affiliati; le violazioni di queste linee guida da parte degli affiliati portano anche a un giudizio di "potenzialmente indesiderato" per lo sviluppatore e il distributore del software.

    • Gli affiliati non possono essere usati come scusa per installazioni indesiderate.

    • Gli affiliati non devono violare alcuna delle regole pubblicitarie elencate di seguito nella sezione relativa alla pubblicità attraverso il software/i servizi:

  • Autopromozione in altri software dello stesso fornitore.

Pubblicità attraverso il software/il servizio

  • Il partner di distribuzione si assume la piena responsabilità per la pubblicità mostrata all’utente.

  • La pubblicità deve essere conforme alla legge nella regione dell’utente.

  • Gli annunci non devono essere fraudolenti o fuorvianti.

  • Gli annunci non devono essere offensivi.

  • Gli annunci non devono essere minacciosi.

  • Gli annunci non devono promuovere applicazioni potenzialmente indesiderate note.

  • Gli annunci non devono ostacolare o interferire con il funzionamento del computer e/o di altri software.

  • Il software pubblicizzato deve poter essere installato solo con il consenso esplicito dell’utente.

Monitoraggio dell’ambiente di sistema

Il rilevamento dell’ambiente può essere utilizzato legittimamente per fornire la lingua corretta e i file corretti per il sistema operativo.

Tuttavia, viene spesso utilizzato da software potenzialmente indesiderato per determinare quale comportamento offensivo possa essere eseguito senza essere rilevato. Questo equivale all’uso di un defeat device, come nello scandalo dei diesel Volkswagen. Se viene rilevato che il software è in esecuzione in un ambiente di test, il software si comporta in modo diverso rispetto ai PC di potenziali clienti.

Esempi di ambienti rilevati:

  • Macchina virtuale (VMWare, VirtualBox, …​)

  • Software antivirus

  • Anti-spyware

  • Regione (geo IP, lingua, ora del giorno, …​)

Esempi di azioni divergenti

  • Installazione di una versione di prova solo su hardware reale, installazione della versione completa su macchine virtuali.

  • Visualizzazione della pubblicità solo su hardware reale, nessuna visualizzazione su computer virtuali.

  • Installazione di estensioni del browser invasive o di altri moduli software solo su hardware reale, non su macchine virtuali

Installazione

Esistono pochissimi casi d’uso legittimi per le funzionalità di installazione silenziosa dei comuni programmi di installazione come Inno Setup. Il caso legittimo più comune è la distribuzione da parte di un amministratore di rete. In questo caso, tuttavia, le EULA del software in questione devono indicare esplicitamente che il software è destinato all’uso aziendale.

Nella maggior parte dei casi, le funzionalità di installazione silenziosa vengono utilizzate affinché aziende collegate possano installare il software senza il consenso dell’utente.

  • Per le versioni di prova non esistono casi d’uso legittimi per un’installazione silenziosa.

  • Per i software destinati ai consumatori in genere non esistono casi d’uso legittimi per l’installazione silenziosa.

  • Con l’installazione silenziosa viene annullato il consenso a tutte le finestre di dialogo di installazione, alla EULA e alle informative sulla privacy. Poiché tali consensi sono nulli, non esiste un contratto valido tra l’utente e il distributore.

EULA (End User License Agreement)

La EULA (accordo di licenza con l’utente finale) non deve contenere nulla di sorprendente né elementi che violino la legge del Paese in cui il software deve essere utilizzato. Tutti i punti sorprendenti o inappropriati sono inammissibili. Esempi di tali punti sono:

  • Utilizzo di malware falsi per dimostrare il rilevamento di malware.

  • Impiego di miner per criptovalute.

  • Raccolta e/o commercio di dati personali

Tutto ciò che fornisce alla parte distributrice vantaggi aggiuntivi deve essere dichiarato esplicitamente durante il processo di installazione al di fuori della EULA; per esempi vedere quanto sopra.

Informativa sulla privacy

Per l’informativa sulla privacy devono essere rispettati determinati principi fondamentali.

L’informativa sulla privacy

  • Deve essere conforme al GDPR e alla DSGVO, se il software deve essere utilizzato in Europa.

  • Non deve contenere nulla di sorprendente.

  • Non deve dichiarare informazioni personalmente identificabili come "pseudonime" o "anonime". L’uso di informazioni personalmente identificabili non deve essere nascosto.

Tutti i contenuti inammissibili devono essere indicati esplicitamente nelle finestre di dialogo di installazione. Ciò significa che qualsiasi raccolta aggiuntiva di dati che non è necessaria per il funzionamento dell’applicazione deve prevedere un opt-in (l’utente deve attivarla esplicitamente) e deve essere spiegata nella finestra di dialogo di installazione in modo tale che chiunque possa comprenderla e comprendere le conseguenze derivanti. Esempi di raccolte di dati che, se utilizzate, dovrebbero essere spiegate correttamente:

  • Raccolta e/o commercio di PII (informazioni personalmente identificabili).

  • Raccolta e/o condivisione di informazioni hardware.

  • Raccolta e/o commercio di informazioni sull’uso/installazione di software di terze parti.

  • Raccolta e/o commercio di siti web visitati.

  • Raccolta e/o commercio di credenziali di accesso per servizi di terze parti

Versioni di prova/versioni complete

La tipologia del software deve essere resa chiara durante l’installazione. Ciò significa che deve essere esplicitamente chiarito se si tratta di una versione completa o di una versione di prova e quali caratteristiche e funzionalità sono presenti e quali limitazioni esistono.

Le versioni di prova non hanno diritto ad alcuna forma di compenso da parte dell’utente, fatta eccezione per le informazioni di contatto, e non devono essere monetizzate in alcun modo finché l’utente non decide di effettuare un upgrade alla versione completa.

Avvio automatico

Le voci di avvio automatico devono essere giustificate e necessarie per il funzionamento dell’applicazione.

Esempi di possibili voci di avvio automatico sono:

  • Avvio automatico

  • Servizio

  • Attività pianificata

Esempi di legittime voci di avvio automatico sono:

  • Esecuzione di un servizio antivirus

  • Controllo degli aggiornamenti software

Esempi di non legittime voci di avvio automatico:

  • Scansione per l’aggiornamento dei driver a ogni avvio del sistema.

  • Più attività pianificate per il controllo del pulitore del registro.

  • Servizio installato per un downloader di software.

Esecuzione

Durante l’esecuzione, un software deve funzionare come promesso, per soddisfare le aspettative dell’utente e offrire un’utilità. Qualsiasi funzionalità che non soddisfi questi obiettivi deve essere motivata.

Esempi di beneficio distributivo giustificato:

  • Promemoria occasionale che il software è in fase di prova.

  • Vantaggio promozionale della versione completa.

  • Visualizzazione appropriata di pubblicità in software supportati da pubblicità.

Esempi di vantaggi distributivi non giustificati:

  • Verifica della presenza di software concorrenti.

  • Visualizzazione nella versione di prova di pubblicità per fornitori terzi o per altri software dello stesso fornitore.

  • Pubblicità per altri software dello stesso fornitore camuffata da funzionalità.

Disinstallazione

La disinstallazione deve essere facile da trovare ed eseguire.

  • Deve essere completa e non deve lasciare sul sistema file, voci di avvio automatico o manipolazioni del registro.

  • L’azione predefinita per la disinstallazione deve essere disinstallare.

  • Non deve essere più difficile dell’installazione

Sito web/Webshop

Il sito web e/o il webshop rappresentano l’azienda e il software. Deve essere veritiero e chiaro e non deve offuscare/nascondere informazioni.

Esempi di pratiche non ammissibili per sito web/webshop:

  • Visualizzazione di una matrice di prodotti, ma tutti i link ai vari prodotti conducono allo stesso prodotto.

  • Utilizzo di conti alla rovescia veloci per mettere pressione al cliente.

  • Utilizzo di conti alla rovescia falsi.

  • Il numero di unità rimanenti è inventato (non esiste una "scorta limitata" per i download di software).

  • Il conto alla rovescia si ferma senza che il periodo dell’offerta termini.

  • L’applicazione è sempre in offerta oppure gli "eventi" di vendita sono obsoleti.

  • Aggiunta predefinita di altri prodotti al carrello.

Reputazione

La storia e la reputazione di un’azienda distributrice e del suo software possono fornire indicazioni sull’attuale atteggiamento dell’azienda distributrice e sul comportamento del software.

A seconda della storia, un distributore ha un diverso livello di credibilità.

Un fornitore ottiene una bassa credibilità se:

  • È un autore recidivo di PUP.

  • Finge ignoranza rispetto ai criteri PUP.

  • "Sperimenta" nuove violazioni.

  • Introduce programmi di affiliazione aggressivi.

  • Dà priorità al profitto rispetto all’utilità.

  • Utilizza nomi di prodotto molto generici, che potrebbero non contenere nemmeno un nome aziendale duraturo, oppure fa pubblicità al nome aziendale con il prodotto stesso.

  • Viene descritto dall’utenza come fuorviante o persino fraudolento.

  • Comunica in modo rude, minaccioso o offensivo.

  • Tenta di aggirare il rilevamento.

  • Finge ignoranza sulle tecnologie di base.

I fornitori sono in grado di ottenere un’elevata credibilità all’interno del settore se …​

  • hanno corretto tutte le violazioni PUP in passato oppure non hanno mai avuto violazioni PUP

  • Mettono in primo piano l’utilità per l’utente.

  • Rispettano standard dell’industria del software come la CSA