Abbiamo precedentemente visto come un buon numero di siti Istituzionali Italiani venga attaccato scaricando sui forum, blogs o guest books, a volte presenti nei siti, decine di messaggi contenenti links a pagine porno, malware, di pharmacy ... ecc...
Esiste pero' un altro sistema per coinvolgere loro malgrado i Siti Istituzionali, di Enti Pubblici ecc.. con lo scopo di linkare pagine con contenuti per adulti o di altro discutibile genere.
Mi riferisco alla creazione di url ingannevoli che contengono al loro interno riferimenti esempio a links di siti comunali, a siti di Enti Pubblici, ecc....
Una ricerca con Google ci puo', come si vede, portare a questi risultati
oppure (riferimento a siti del governo italiano e di ministeri .gov)
Esaminiamo il primo caso, ricordando che ci sono una gran quantita' di risultati ottentuti con Google che conducono a queste pagine.
C'e' inoltre da distinguere quello che succede una volta cliccato sul link a seconda che il nostro browser abbia un blocco per l'esecuzione dei javascript, presnti nelle pagine che visiteremo, oppure no.
Vediamo tutti i passaggi che ci porteranno dal falso link del comune sino a scaricare un pericoloso eseguibile camuffato da plugin video. (notate che il nome del comune che appare nel risultato della ricerca e' preceduto dal .ru che ci dice gia' la reale provenineza della pagina che andremo a visualizzare)
La prima cosa che succede cliccando sul link , se gli script sono disabilitati, e' il caricamento di questa pagina
Come si vede ci sono decine di links in tema con la ricerca che avevamo fatto.La pagina al suo interno contiene questo script:
La seconda parte dello script offuscato contiene il codice di decodifica della prima parte.Una volta deoffuscato abbiamo
che utilizzato per decodificare la prima parte offuscata genera il codice
che ci linka questa nuova pagina intermedia (in lingua italiana)
che a sua volta linka automaticamente a pagine di filmati per adulti... proposti free...
Ora basta cliccare su una immagine qualsiasi per essere reindirizzati ad un altro sito di cui vediamo la schermata.
Abbiamo visualizzato un falso box di testo che ci invita a scaricare un falso plugin video senza il quale la visione dei filmati non e' possibile.
Il reale contenuto di questo eseguibile, playcodec4064.exe , non e' un plugin video ma malware, anche se vediamo che Virus Total elenca pochissimi antivirus che al momento rilevano il pericolo.
| File playcodec4064.exe received on 11.19.2007 02:44:26 (CET) | |||
| Antivirus | Version | Last Update | Result |
| AhnLab-V3 | 2007.11.17.0 | 2007.11.16 | - |
| AntiVir | 7.6.0.34 | 2007.11.18 | HEUR/Malware |
| Authentium | 4.93.8 | 2007.11.17 | - |
| Avast | 4.7.1074.0 | 2007.11.18 | - |
| AVG | 7.5.0.503 | 2007.11.18 | Downloader.Zlob.KF |
| BitDefender | 7.2 | 2007.11.19 | Trojan.Downloader.Zlob.ABAZ |
| CAT-QuickHeal | 9.00 | 2007.11.17 | - |
| ClamAV | 0.91.2 | 2007.11.19 | - |
| DrWeb | 4.44.0.09170 | 2007.11.18 | - |
| eSafe | 7.0.15.0 | 2007.11.14 | - |
| eTrust-Vet | 31.2.5304 | 2007.11.17 | - |
| Ewido | 4.0 | 2007.11.18 | - |
| FileAdvisor | 1 | 2007.11.19 | - |
| Fortinet | 3.11.0.0 | 2007.11.18 | - |
| F-Prot | 4.4.2.54 | 2007.11.18 | - |
| F-Secure | 6.70.13030.0 | 2007.11.19 | Trojan.Win32.DNSChanger.abj |
| Ikarus | T3.1.1.12 | 2007.11.19 | Win32.DnsChanger.MP |
| Kaspersky | 7.0.0.125 | 2007.11.19 | Trojan.Win32.DNSChanger.abj |
| McAfee | 5165 | 2007.11.16 | - |
| Microsoft | 1.3007 | 2007.11.19 | - |
| NOD32v2 | 2666 | 2007.11.19 | - |
| Norman | 5.80.02 | 2007.11.16 | - |
| Panda | 9.0.0.4 | 2007.11.18 | - |
| Prevx1 | V2 | 2007.11.19 | - |
| Rising | 20.18.61.00 | 2007.11.18 | - |
| Sophos | 4.23.0 | 2007.11.18 | Troj/Zlobar-Fam |
| Sunbelt | 2.2.907.0 | 2007.11.17 | - |
| Symantec | 10 | 2007.11.19 | - |
| TheHacker | 6.2.9.133 | 2007.11.17 | Trojan/Downloader.Zlob.eie |
| VBA32 | 3.12.2.5 | 2007.11.16 | - |
| VirusBuster | 4.3.26:9 | 2007.11.18 | - |
| Webwasher-Gateway | 6.0.1 | 2007.11.18 | Heuristic.Malware |
| Additional information | |||
| File size: 231570 bytes | |||
| MD5: 2048a5acfc38af84662d9f831f01bffb | |||
| SHA1: 0df8594a6869edc0d73a50ea789cd347922d3366 | |||
Come detto precedentemente se sul browser l'esecuzione degli script java e' pienamente abilitata veniamo direttamente linkati da Google alla pagina dei filmati porno senza passare per le pagine ed i siti intermedi che abbiamo visto sopra.
I whois delle pagine iniziali puntano a siti russi; range degli IP 82.204.219.0 - 82.204.219.255 appartenente a POCHTA_RU-NET Russia per la pagina iniziale
e IP 84.252.148.140 MCHOST Russia per la pagina internmedia
mentre la pagina dei filmati e' hostata in USA - Cernel. Inc cosi' come la pagina del falso plugin.
Come si vede i sistemi per cercare di diffondere malware si affidano molto spesso all'utilizzo di Google cercando di nascondere link pericolosi a fronte di ricerche apparentemente innocue.E' per questo che anche usando Google bisogna sempre prestare la massima attenzione a quello che appare nella url risultato della ricerca ed e' sempre utile abilitare la navigazione all'interno di una sandboxie per isolare preventivamente l'eventuale apertura di pagine pericolose.
In alternativa, o meglio, congiuntamente a Sandboxie e' bene attivare un blocco degli script (es. sotto Firefox tramite l'addon NoScritp ) dato che la maggior parte di queste pagine con malware utilizza script java per reindirzzare la nostra navigazione verso link pericolosi o per eseguire exploit che tentano di scaricare e lanciare codice malevolo.
Edgar
Nessun commento:
Posta un commento