Javascripts offuscati malevoli su siti Aruba. Vecchi e nuovi siti (agg.29 luglio)

I reports presentano questa volta in chiaro le urls dei siti coinvolti per permettere a chi li amministra e visitasse il blog di esserne informato e provvedere alla loro bonifica.

Ricordo che si tratta di script probabilmente attivi e quindi pericolosi e che vanno analizzati solo prendendo tutte le precauzioni del caso.(sandboxie, pc virtuale, noscript ecc....)

Ieri sera (28/7) Maverick (del blog maipiugromozon) mi segnalava questo IP 62.149.130.146 dove aveva rilevato un sito compromesso chiedendomi di fare alcune scansioni per verificare la presenza di altri siti con codice javascript offuscato incluso

Questi i risultati di alcune parziali scansioni relative a diversi IP sempre per il medesimo hoster:

Evidenzio il fatto che sono scansioni 'parziali' dato che il numero totale di siti trovati con reverse IP potrebbe essere minore di quelli realmente presenti su specifico IP e quindi alcuni siti compromessi potrebbero non apparire sul report generato da Webscanner

Su IP 62.149.140.94 abbiamo

che risultano compromessi con inclusione di javascript offuscato, simile come contenuti a quelli gia' rilevati nei mesi scorsi

Su IP 62.149.140.93 troviamo invece questi siti con evidenza di codice java incluso offuscato

A questo punto pero', visti i precedenti attacchi ad inizio 2010 (ma rilevati gia' dall'anno scorso) subiti da siti hostati sempre su Aruba, proviamo una ulteriore analisi prendendo come base una lista di quelli compromessi con inclusione javascript e datata 28 gennaio 2010 (ed aggiornamento il 5 aprile 2010)

I risultati della scansione mostrano che un buon numero di siti e' ancora (o piu' probabilmente nuovamente ?) compromesso.


Ad esempio analizzando i codici javascript presenti in questo specifico report, solo quello di beachsolaire(dot)it e' leggermente diverso

ed una sua una datazione, utilizzando gli header della pagina, ci restituisce il 19 marzo come ultima modifica del sito e forse della probabile inclusione. (l'header potrebbe indicare che comunque la pagina non e' piu' stata aggiornata dopo quella data)

Per tutti gli altri vecchi siti, presenti in report, che risultano compromessi con codice java simile a quello trovato attualmente,

gli header di pagina mostrano una data recente

Tra l'altro una analisi VT dello script su beachsolaire(dot)it restituisce

mentre lo script java offuscato presente sulle altre pagine analizzate mostra

con differenze sulla rilevazione del malware.

Questa invece la provenienza degli IP dei 'vecchi siti compromessi' che continuano ad esserlo a tutt'oggi e che sono distribuiti in maniera abbastanza estesa su diversi indirizzi.

Se ripetiamo l'analisi degli script sui siti acquisiti nelle scansione dei 'nuovi IP' rilevati da Maverick ad esempio su IP 62.149.140.93, abbiamo anche in questo caso alcune differenze sui codici java scripts offuscati e, guarda caso, anche sulle date presenti negli header di pagina, che confermerebbero date diverse, e recenti, per l'inclusione dello script.

Rilevante e' come questo script

sia visto da VT

a differenza di questo (prendendo per buona la data dell'header riferibile a ieri)

che VT rileva molto poco.

Faccio comunque presente che si tratta solo di una analisi del codice della pagina in formato testo ed inviato a VT, con tutti i limiti di una scansione del genere.

Tutto questo fa comunque pensare che oltre a nuovi siti attaccati ci sia anche una parte di vecchie pagine che erano presenti nei report di attacchi ad inizio anno, che attualmente sono, almeno in parte, nuovamente prese di mira da chi vuole distribuire links a malware.

Da evidenziare anche le diverse risposte AV ad una analisi VT dei sorgenti delle pagine dei siti compromessi.

Edgar

Siti .IT compromessi (agg. 28 luglio)

Continua la presenza in rete di siti compromessi con inclusione di semplice file di testo al loro interno in folders, sul sito attaccato, sempre con il medesimo percorso
Si tratta di siti sviluppati in DotNetNuke che presentano pagine come quella che vediamo in questo attuale screenshot

dove notiamo il file txt incluso.

Come gia' visto in passato il sistema per includere il file e' quello di utilizzare una vulnerabilita' presente da tempo su versioni non recenti della piattaforma di sviluppo.

In questa schermata,sempre riferita allo stesso sito IT compromesso visto prima si puo' notare come il file TXT incluso appaia nel menu dell'interfaccia di amministrazione dei contenuti DNN in buona compagnia di un file ASP con doppia estensione che, come vedremo alla fine del post, e' una delle conseguenze 'pericolose' di questo genere di attacchi.

Per capire come mai quasi quotidianamente troviamo online siti IT sviluppati in DNN che presentano inclusi files testo di hacking (e molto spesso allegata shell comandi in codice asp con doppia estensione di file immagine), facciamo qualche ricerca piu' approfondita.

Ecco come si presenta un reverse IP di un range esteso per una ventina di indirizzi, appartenenti a noto hoster italiano che ospita siti sviluppati in DNN proprio su una serie di IP contigui.

Abbiamo circa 8.000 ( ottomila ) URL rilevate che , anche se non tutte fossero appartenenti a siti DNN, rappresentano comunque un numero notevole di siti da analizzare.

Passiamo ora tramite il tool Webscanner a 'tentare' il download di un eventuale codice presente all'indirizzo corrispondente a quello dell'interfaccia sensibile all'exploit.

Se il codice della pagina e' raggiungibile, il software CURL utilizzato da Webscanner provvedera' a scaricare il sorgente e creare la relativa lista delle url potenzialmente sensibili all'attacco.

Ecco il risultato per il primo (ed unico almeno al momento) IP analizzato e facente (piccola) parte del range degli 8.000 siti presenti nel range del reverse IP eseguito in precedenza.

Come possiamo notare, una volta opportunamente filtrati i risultati, otteniamo 68 siti che presentano l'interfaccia di amministrazione remota dei contenuti che e' attivabile da browser.

Essendo disponibile l'interfaccia e' molto probabile che se non tutti, una buona parte di questi 68 siti, siano vulnerabili un upload di files da remoto.

Il problema piu' serio non sta tanto nel fatto che si includa un file testo ma che , con l'uso della doppia estensione, si possano uploadare codici malevoli di vario genere, shell comandi compresa, come vediamo in questo screenshot di sito DNN compromesso ormai da qualche mese.

Edgar

Ancora phishing CARIFE (agg. 27 luglio)

Sembra che al momento, almeno sulle mie mailbox di riferimento per il phishing, CARIFE e Mediolanum siano attualmente le banche piu' colpite.
Ecco la nuova mai ricevuta

che questa volta passa per un messaggio di avviso proprio su quello che e' invece il suo scopo finale, e cioe' far cadere chi la riceve nella trappola di un falso sito CARIFE.

Piu' interessante il lato tecnico di questo phishing che, differentemente dagli ultimi visti ai danni di CARIFE usa un diverso sito di redirect hostato su

Si tratta di sito compromesso, che a riprova dell'attacco subito mostra come contenuti nel subfolder che a sua volta ospita il sito di phishing , questa pagina

che non lascia dubbi sull'attacco subito.

Da notare che, anche se con sito di redirect diverso dall'ormai noto sito canadese. Abbiamo sempre il medesimo file di redirect (fol.html) che punta sempre a serve USA come nei precedenti casi di phishing CARIFE

Inoltre i contenuti del file di redirect vengono modificati molto spesso, visto che a distanza di un decina di ore si e' passati da

a

pur rimanendo sempre lo stesso nome di file fol.html

Il sito clone di CARIFE mostra inoltre medesimi contenuti dei precedenti ed anche la prova dello stesso codice html scaricato dal sito originale della banca attraverso HTTRACK

I logs sul sito che ospita il phishing confermano la provenienza in buona parte italiana dei visitatori del sito di phishing come si vede da un parziale report filtrato per IP italiani

Edgar