Ritorna Waledac ? Anche indirizzi IT nelle mail distribuite dal malware Aggiornamento (4 gennaio 2011)

AVVISO ! Ricordo che anche se alcuni links sono lasciati in chiaro negli screenshot, evitate di visitare i siti elencati se non avete preso tutte le precauzioni del caso ! Si tratta di links ad eseguibili pericolosi e poco riconosciuti dai softwares AV.

Un breve aggiornamento al riguardo della distribuzione di malware a supporto di botnet.

Come rilevato ieri continua attraverso diversi domini in fast-flux la distribuzione di un eseguibile che viene fatto passare come install di flash player

Una analisi VT vede oggi un quasi nullo riconoscimento del malware

mentre e' sempre presente il codice che in maniera automatica invia mails di spam con relativo links alle pagine che a loro volta propongono il file.

Questa come si presenta attualmente la mail inviata catturando il traffico in uscita dal PC

e dove vediamo un nuovo indirizzo di sito compromesso

con whois

e che redirige in automatico al sito fast-flux

Anche adesso si rileva la presenza tra le mails inviate alcune su dominio IT segno che anche utenti internet italiani potrebbero ricevere le mails pericolose.


Al momento della sua esecuzione il fake install di flash player tenta anche il download di un ulteriore eseguibile che vediamo evidenziato nella lista dei files scaricati durante il test del malware.

Edgar