Parole chiave -> porn inurl:.it.

La quantita' di siti italiani compromessi che ospitano al loro interno malware sotto forma, in genere, di link a siti porno contenenti un vasto campionario di files pericolosi, da quanto risulta da ricerche effettuate in rete, sembra in continuo aumento.

A questo punto, non ci si deve neanche sforzare ad effettuare ricerche utilzzando complicate opzioni o stringhe di ricerca ma bastano due semplici parole chiave : inurl:.it porn.

Il numero di link trovati arriva e supera tranquillamente le 930.000 (novecentotrentamila) pagine su dominio .it.

Anche se non tutti i link trovati chiaramente corrispondono a siti con problemi, e' evidente che il numero di pagine e' elevato.

Qui di seguito alcuni esempi di siti con problemi, senza entrare nei dettagli di come possa essere stato compromesso il sito:

Un sito di Bred and Breakfast



ed una pagina contenuta nello stesso che punta a questo sito con malware zlob



Un sito di consulenze sul lavoro

e relativo forum chiaramente oggetto di attacco con molti links a siti porno e con malware


Un portale di una ditta che esegue stampe ed editoria



e la relativa pagina con javascript offuscato


Un portale di una associazione di editori di software videoludico


e la “solita' pagina del fake Pornotube con link di solito a varianti del malware zlob ( poco riconosciuto dai software antivirus) a cui punta una pagina del sito


ed il whois della pagina Pornotube che punta ad un server in paese dell 'Est Europa.

E tanto per rendere la cosa un po divertente il sito aggiornato usato da un Istituto italiano di ricerca di Frascati

che hosta il link a questa pagina; che si tratti di un nuovo tipo di esperimenti ...?


Come si vede il fake pornotube imperversa....


Lo sopo di questa enorme quantita' di pagine con links, inserite all'interno di normali siti internet , e' sicuramente quello di aumentare la probabilita' che una ricerca in rete porti a linkare chi la ha eseguita a pagine pericolose contenenti ogni genere di malware ed inoltre con questo sistema i malintenzionati hanno sempre la disponibilta' di links apparentemente provenienti da siti affidabili e che per questo possono ingannare chi naviga in rete.

Tra l'altro se non verifica periodicamente e con attenzione il contenuto completo dell'intero sito , e' anche probabile che chi lo gestisce ignori completamente l'esistenza di queste pagine inserite ma non direttamente visibili consultando il sito web compromesso.

Questa e' la situazione attuale, a causa del probabile alto numero di server web e di siti vulnerabili made in Italy, e sembra ormai essere praticamente al di fuori di ogni possibile controllo in quanto anche filtrando per data le ricerche solo nelle ultime 24 ore i links trovati sono sull'ordine del migliaio (per la precisione piu' di 3000 ma per sicurezza possiamo considerare solo una parte come possibile numero di pagine di siti o servers web compromessi) ottenendo comunque numeri veramente elevati.

Continua

Edgar

Tre interessanti mail di phishing Poste IT

La particolarita' di queste tre mail ricevute in rapida sequenza risulta nell'utilizzo di servers questa volta italiani.

Esaminiamo in dettaglio le 3 mails.

Tutte e tre presentano il 'solito' messaggio del bonus da 99 EURO sotto forma di immagine jpg con link sito di phishing.

La prima mail al momento non e' piu', o ancora, attiva in quanto il tentativo di caricamento dell'immagine jpg da un server con whois USA non funziona.
Comunque anche se l'immagine non e' caricata si puo' cercare di esaminare il messaggio codificato in html che contiene il link al sito di phishing.

Questo link e' http://www.poste-italiane-spa.com/ e, stranamente, visto quello che succede di solito, e' hostato da provider .IT
Questo il whois
e questo il source della pagina che appare tentando di caricare l'url in questione.

La seconda e la terza mail hanno anche loro una url che porta a server italiano

e precisamente http://xxx.air-express-transporter.com/

Interessante notare che air-express compare nella lista dei siti fake di Artists Against 419

che elenca siti fasulli di vario genere creati per compiere truffe online.

Le immagini usate per rappresentare i messaggi sono invece trasferite da serve USA http://tirnaveni.org/immagine.gif la cui home e' quantomeno strana presentano una sola foto in alta risoluzione e non una struttura di normale homepage.

Questa volta sembra che i siti del tentativo di phishing siano hostati da server italiani e non come succede quasi sempre da server esteri.

Sicuramente la maggiore facilita' di contattare il provider dovrebbe quindi permettere di bloccare facilmente questa nuova serie di phishing ai danni di poste IT.

Edgar

Dashboard e login ad altro blog uasando proxy server - Aggiornamenti

Questa mattina ho eseguito alcuni test per vedere se il problema evidenziato ieri nell'uso di blogger contemporaneamente all'uso di un proxyserver continua.

Ho avuto la conferma del problema in quanto loggandomi con le mie credenziali a blogger mentre avevo il "solito' proxyserver attivo e' comparsa la dashboard di un altro blog e relative pagine collegate.

A questo punto sembra prendere corpo l'ipotesi suggerita da Sbronzo di Riace in un suo commento e cioe' la gestione della cache del proxyserver.

A conferma di questo , il blog visualizzato questa mattina e' sempre thai (il proxy server e' di provider thailandese) ed e' diverso da quello visualizzato ieri.(la cache contiene ora dati diversi rispetto alla volta precedente)


Si tenga anche conto, che molti provider thai utilizzano di default l'uso di proxyserver quando ci si collega a internet tramite il loro accesso e che quindi l'uso del proxy e' obbligato e non opzionale.
Inoltre , avendo avuto lo scorso anno proprio questo provider mi ricordo che avevo problemi, specialmente con il Browser Opera, a visualizzare le pagine web quando queste venivano modificate (es. mappe meteo); in pratica nonostante tutti i tentativi di refresh della cache e reload della pagina, il server mi restituiva sempre la vecchia pagina non aggiornata.( questo con Opera browser e con proxy di questo provider thai).

Comunque, ecco la dashboard che mi viene proposta loggandomi a blogger.


Il primo problema di sicurezza, o almeno di visibilita' di dati che si vuole tenere riservati e' , come si vede per chi carica la differente dashboard la visualizzazione della mail che permette al blogger di loggarsi e che si potrebbe voler tenere nascosta e non rendere pubblica.
Inoltre non e' escluso che altri dati privati risultino visualizzabili anche solo visionando le pagine collegate alla dashboard e all'amministrazione del blog.

Le prove da fare sarebbero adesso quelle di testare un po di proxy servers sparsi "per il mondo" e non solo thai per vedere se questo fastidioso problema esiste anche con altri server proxy.

Inoltre e' chiaro che, a questo punto, risulta assolutamente necessario non accedere a blogger usando un serve proxy visto che non c'e' la sicurezza che i dati personali utilizzati per amministrare il blog rimangano riservati e non diventino di pubblico dominio.

Continua

Edgar