Un altro interessante esempio di pagine nascoste con link a falsi antivirus

Precedentemente abbiamo visto come , attraverso pagine nascoste, all'interno di siti compromessi, si reindirizzi una ricerca web su falsi siti antivirus.

Quello che vediamo adesso e' un altro esempio che dimostra come in queste ultime settimane ci sia stato un notevole aumento di links a falsi AV che sono andati a sostituire i links precedenti a siti con falsi video porno in genere malware Zlob e varianti.

In questo sito IT abbiamo inoltre ben evidente il codice usato per creare un risultato selettivo in base al fatto che si apra la pagina nascosta attraverso una ricerca in rete o con link diretto.
Riconoscere se la pagina con javascript offuscato e' raggiunta da una ricerca in rete o richiamata direttamente consente, tra l'altro, a chi gestisce questo genere di attacchi, di mascherare meglio la presenza dei links pericolosi presenti nelle pagine nascoste all'interno dei siti colpiti.

Ecco la homepage del sito su dominio .IT che ospita le pagine nascoste con links a falso AV

ed ecco una delle pagine interne al sito

Si tratta come sempre di un testo con centinaia di termini 'porno' di vario genere che servono a favorirne una ricerca in rete.
Nel codice della stessa troviamo un javascript debolmente offuscato

che una volta decodificato

ci mostra come attraverso una verifica del referrer usato si venga reindirizzati su sito di falsi Av
o in alternativa venga creata una semplice pagina che imita quella usuale di “pagina non trovata”.

Il sito del falso software antivirus invece presenta , come sempre, la possibilita' attraverso un valore chiave inserito nella url, di visualizzare differenti layout di falso scanner AV
Qui ne vediamo due diversi esempi.

Che differiscono per la grafica utilizzata nel logo dell'applicazione.
Anche in questo caso alcuni softwares Av non riconoscono il falso programma.

Edgar