Un 'catalogo.PDF' molto particolare. (25 marzo)

Segnalata in rete su diversi siti che si occupano di catalogare attacchi di hacking, distribuzione malware ecc... come ad esempio

ma anche

una azione di hacking ai danni di sito di editore IT, che mostra particolari caratteristiche.

Si tratta infatti di sito compromesso ma che non evidenzia evidenti modifiche al layout, presentando solamente un logo 'dubbio' incluso in basso nella homepage

ed in altre pagine

e che parrebbe essere attribuibile agli hackers che hanno compromesso il sito.

Piu interessante e' quello che succede attualmente cliccando sulla opzione presente in ogni pagina, per scaricare il catalogo in formato PDF

Viene infatti proposto un file PDF ,

tra l'altro di dimensioni abbastanza ridotte per un catalogo, che pero' non puo' essere eseguito dal reader PDF.

In effetti se esaminiamo i contenuti del fake PDF troviamo

che evidenziano trattarsi di codice di shell php.
Per conferma basta ridenominare il file PDF in php ed eseguirlo opportunamente per ottenere

cosa che conferma il codice di shell php.

Resta da vedere come mai a distanza di ameno due giorni dalla segnalazione on-line, il fake catalogo sia ancora distribuito dal sito anche se lo stesso sito parrebbe essere aggiornato nei vari argomenti, news ecc trattati e quindi attualmente attivo ed amministrato.

Per quanto si riferisce alla pericolosita' del fake PDF da una sommaria analisi non dovrebbero esserci grossi problemi per chi scaricasse il file in quanto lo stesso non viene eseguito dal PDF reader ed e' comunque ben individuato come shell php dai softwares AV su VT.

Da notare che comunque non tutti i softwares AV riconoscono il codice di shell php presente.

Da considerare anche che chi ha compromesso il sito avrebbe potuto linkare codice molto piu' pericoloso quale ad es. eseguibile malware, cosa che avrebbe potuto creare problemi per per chi avesse scaricato il fake catalogo, ed inoltre sino a bonifica del sito c'e' sempre la possibilta' che i contenuti del fake pdf vengano modificati nuovamente, passando a codice piu' pericoloso.

L'editore in questione e' stato avvisato via mail dell'hacking del sito.

Edgar

Ancora links a malware sotto forma di files .zip e con contenuti eseguibili mascherati da lunga sequenza di underscore. (24 marzo)

Negli ultimi due giorni si e' verificato sul blog un aumento evidente degli accessi a post riguardanti l'ormai ben noto spam, con link a malware, che ad intervalli piu' o meno regolari di qualche settimana, specialmente a partire da inizio 2012 (vedi ad esempio questo post e questo post ) ricompare in rete.

La conferma della probabile nuova distribuzione di spam pericoloso la abbiamo, anche se non in maniera diretta con la ricezione di mails, esaminando alcune segnalazioni comparse in rete come ad esempio questa

che evidenzia per il medesimo sito IT compromesso due differenti files in formato zip contenenti malware.

Qui invece un riferimento ad altro sito IT anche se su dominio .com che linka a file zip simile ai precedenti. (Da notare le date attuali per tutti i files rilevati.)

Si tratta di files in formato compresso, che contengono i consueti eseguibili mascherati da file PDF

e da lunga sequenza di caratteri underscore che nascondono, se la visualizzazione avviene in finestra ridotta, la reale estensione .exe (file eseguibile).

Una verifica tramite Virus Total mostra un riconoscimento non completo da parte dei software AV in quanto, attualmente, una ventina di software antivirus

parrebbero non rilevare i contenuti pericolosi.

Come sempre in questi casi, vale la regola di non aprire ed eseguire files allegati in mail di dubbia provenienza considerando anche che per chi ha un antivirus installato , specialmente nelle prime ore della distribuzione malware, non molti software AV, di solito, rilevano il contenuto pericoloso dei falsi documenti PDF (fattura.pdf, pagamento.pdf ecc...)

Da notare inoltre che sembra sempre trattarsi di spam mirato ad utenza Internet italiana in quanto i nomi dei files sono proposti in lingua italiana e con nomi che cercano di incuriosire chi li ricevesse per invogliare ad aprirli ed eseguirli.

Edgar

Continua la diffusione di Black-Hole Exploit anche attraverso siti IT (23 marzo)

AVVISO ! Anche se alcuni links sono lasciati in chiaro negli screenshot, evitate di visitare i siti elencati se non avete preso tutte le precauzioni del caso ! Si tratta di links ad exploit attivi e poco riconosciuto dai softwares AV

Imperva Data Security Blog ha pubblicato in passato alcune analisi sul Black-Hole Exploit ed info sui relativi toolkits presenti in rete.

Il toolkit e' un insieme di file PHP e HTML e comprende svariati codici di exploit (Java, PDF, browser, Adobe Flash Player ... etc) orientati ad uno specifico sistema operativo ed alle relative applicazioni vulnerabili dal lato client.
Questi toolkits sono di solito fortemente offuscati per evitare il rilevamento antivirus ed inoltre , come vedremo in un caso pratico di sito IT compromesso, ci sono sempre attivi dai 3 ai 4 link presenti nel codice malevolo incluso su siti compromessi, cosa che garantisce una certa affidabilita' nel puntare a pagina con exploits attivi.

Ecco una ricerca odierna orientata a domini .IT che ne rileva alcuni compromessi con inclusione del link al malware.

Prima di passare a qualche ulteriore dettaglio, vediamo uno screenshot (tratto sempre da Imperva Data Security Blog) che illustra in maniera chiara come si sviluppa un attacco del tipo Black-Hole

In pratica, partendo da un link alla pagina inclusa ricevuto via mail, nel nostro caso link su sito IT compromesso, si viene rediretti dagli script presenti (di solito piu' di uno), al sito contente ulteriore redirect a pagina BlackHole con exploits.
Nel caso di una vulnerabilita' presente ad uno o piu' exploit, la stessa verra' utilizzata per attivare ulteriore download di malware sul pc colpito, con tutte le conseguenze del caso.

Vediamo adesso passo dopo passo come si sviluppa l'attacco malware.

Questo il sito IT

che attualmente ospita la pagina inclusa, che, come vediamo, presenta il tipico layout con la scritta “WAIT Please Loading..” vista in attacchi Black-Hole

Il source ci mostra, in questo caso, tre script (ma potrebbero anche essere di piu')

con quello evidenziato in giallo attualmente attivo.

Notate come lo script punti ad ulteriore sito compromesso di cui vediamo la homepage

e con whois Canada

Sino a questo punto abbiamo quindi visto l'uso di due siti compromessi.

Il primo su dominio IT per linkare (tramite uno dei tre script) al sito canadese che ospita questo ulteriore codice

Si tratta dello script che punta al dominio

che ospita gli exploits attivi.

Verificandone la data di registrazione vediamo che e' quella di ieri, segno del continuo supporto al malware attraverso la creazione di sempre nuovi domini

I contenuti della pagina linkata sono in linea con i contenuti Black-Hhole Exploit mentre questo screenshot ci mostra come la stessa sia visualizzata quando l'addon NO-Script Firefox blocca i vari contenuti malevoli presenti.

Per curiosita' vediamo come una analisi VT del codice sorgente di detta pagina mostri solo


Edgar