Pharmacy hacking ai danni di sito italiano di P.A. ed altri siti sul medesimo IP (9 settembre)

La ricerca in rete di siti colpiti da pharmacy hacking permette di evidenziare sempre nuovi siti IT compromessi, tra cui alcuni appartenenti a P.A. Italiana.

La pericolosita' di questo genere di hacking e' comunque fortunatamente bassa in quanto, come gia' evidenziato in precedenti post, si tratta di links nascosti al visitatore e visibili solo dal motore di ricerca e per di piu' abbiamo collegamenti a pagine di vendita di medicinali e non a contenuti malevoli.

Rimane comunque il fatto che l'azione di pharmacy hacking, rivela vulnerabilita' o  la possibilita' di includere codici in siti che potrebbero quindi anche essere utilizzati per diffondere malware, phishing ecc.....

Vediamo un attuale caso ai danni di sito di Comune IT, che evidenzia ancora una volta come, effettuando un reverse IP dell'indirizzo del sito colpito, si possano trovare altri siti compromessi con contenuti di pharmacy sul medesimo server.

Questo il sito  

dove si nota come, con User Agent Google Bot attivo, parte della pagina visualizzi termini e links a siti con pagine o con codici di redirects a vendita online di medicinali.  

Nel dettaglio vediamo due links, entrambi che puntano a siti IT compromessi  costruiti in Wordpress, e su differenti IP.

Il primo con homepage 

e whois

Il secondo con homepage

e whois

In entrambi i siti abbiamo un codice incluso che in maniera automatica redirige su 

con whois Canada.

Tornando al sito comunale dffettuando un reverse IP sull'indirizzo su cui e' ospitato

e scaricando i sources dei domini trovati, con tool Autoit e come user agent il Bot di Google, abbiamo diversi siti con pagine con contenuti di pharmacy

cosa che conferma una estesa azione di pharmacy hacking.

Edgar

Inclusione in grande numero di codici htm su siti .IT con IP appartenente a stesso hoster gia' analizzato il mese scorso (8 settembre)

Sempre lo stesso personaggio (o gruppo) segnalato in diversi precedenti posts parrebbe essere l'autore di una nuova inclusione di codice html su un notevole numero di siti IT ospitati dallo stesso hoster, ma diverso IP range, gia' visto QUI.

Si tratta di ben 156 siti rilevati da un reverse IP su 

che includono una semplice pagina, dal layout gia' visto in alcuni casi simili il mese scorso.

Questo il report generato da script Autoit

Si nota anche la presenza di una pagina

derivata da precedente azione di hacking.

L'IP rilevato evidenzia che si tratta dello stesso hoster che compariva in una precedente analisi di siti compromessi a fine agosto, ma su differente IP.

Sempre in riferimento al caso precedente si nota come ancora una novantina di siti presentino la pagina inclusa.

C'e' da considerar, comunque, che essendo pagine incluse e nascoste non e' facile che chi amministra il sito colpito si accorga della presenza delle stesse, ed inoltre, almeno nel caso odierno, parecchi dei domini che includono la pagina di hacking parrebbero appartenere a siti in costruzione, in manutenzione o  non attivi. 

In ogni caso si tratta di azioni di hacking che, anche se non alterano le funzionalita' dei siti colpiti (le homepages sono raggiungibili senza problemi), evidenziano comunque vulnerabilita' che potrebbero essere usate a supporto di phishing, distribuzione malware ecc..... 

Edgar

Nuovo 'mass defacement' ai danni di siti IT (7 settembre)

Una sessantina di siti IT rilevati con reverse IP su

presentano questa mattina (ora thai) la homepage sostituita da questa pagina di hacking

Ecco il report eseguito con script Autoit che mostra i siti colpiti

mentre qui vediamo l'header delle pagine scaricate che presenta probabile time riferito a poche ore fa per l'azione di hacking.

Edgar