Siti .IT compromessi (agg. 28 luglio)

Continua la presenza in rete di siti compromessi con inclusione di semplice file di testo al loro interno in folders, sul sito attaccato, sempre con il medesimo percorso
Si tratta di siti sviluppati in DotNetNuke che presentano pagine come quella che vediamo in questo attuale screenshot

dove notiamo il file txt incluso.

Come gia' visto in passato il sistema per includere il file e' quello di utilizzare una vulnerabilita' presente da tempo su versioni non recenti della piattaforma di sviluppo.

In questa schermata,sempre riferita allo stesso sito IT compromesso visto prima si puo' notare come il file TXT incluso appaia nel menu dell'interfaccia di amministrazione dei contenuti DNN in buona compagnia di un file ASP con doppia estensione che, come vedremo alla fine del post, e' una delle conseguenze 'pericolose' di questo genere di attacchi.

Per capire come mai quasi quotidianamente troviamo online siti IT sviluppati in DNN che presentano inclusi files testo di hacking (e molto spesso allegata shell comandi in codice asp con doppia estensione di file immagine), facciamo qualche ricerca piu' approfondita.

Ecco come si presenta un reverse IP di un range esteso per una ventina di indirizzi, appartenenti a noto hoster italiano che ospita siti sviluppati in DNN proprio su una serie di IP contigui.

Abbiamo circa 8.000 ( ottomila ) URL rilevate che , anche se non tutte fossero appartenenti a siti DNN, rappresentano comunque un numero notevole di siti da analizzare.

Passiamo ora tramite il tool Webscanner a 'tentare' il download di un eventuale codice presente all'indirizzo corrispondente a quello dell'interfaccia sensibile all'exploit.

Se il codice della pagina e' raggiungibile, il software CURL utilizzato da Webscanner provvedera' a scaricare il sorgente e creare la relativa lista delle url potenzialmente sensibili all'attacco.

Ecco il risultato per il primo (ed unico almeno al momento) IP analizzato e facente (piccola) parte del range degli 8.000 siti presenti nel range del reverse IP eseguito in precedenza.

Come possiamo notare, una volta opportunamente filtrati i risultati, otteniamo 68 siti che presentano l'interfaccia di amministrazione remota dei contenuti che e' attivabile da browser.

Essendo disponibile l'interfaccia e' molto probabile che se non tutti, una buona parte di questi 68 siti, siano vulnerabili un upload di files da remoto.

Il problema piu' serio non sta tanto nel fatto che si includa un file testo ma che , con l'uso della doppia estensione, si possano uploadare codici malevoli di vario genere, shell comandi compresa, come vediamo in questo screenshot di sito DNN compromesso ormai da qualche mese.

Edgar