Referrer Spoofing per campagna di spam ai danni di Blogger Stats

Da un po di tempo anche questo blog utilizza il servizio di statistiche che Blogger ha integrato tra i vari tools messi a disposizione.

Questa una schermata di recenti statistiche di accesso al blog dove notiamo la presenza di alcuni links particolari.

Normalmente i links presenti dovrebbero essere riferiti ad indirizzi web da cui provengono i visitatori del blog. ( links da pagine web, su post di forums ecc...)

In questi casi notiamo invece la presenza ai primi posti, delle 'statistiche di provenienza dei visitatori' del blog, di ben tre differenti links gestiti da servizi di URL shortening, e che puntano sia a pagine di dating

che di vendita di software.


Si tratta di una ennesima 'trovata' degli spammers che per attuare una piu' facile indicizzazione da parte dei motori di ricerca dei loro siti, creano falsi referrer (referrer spoofing)
La tecnica (chiamata 'Referrer spam' o 'Referrer bombing') consiste nel fare ripetute richieste al blog utilizzando un falso referrer che punta al sito che lo spammer vuole pubblicizzare.

Visto che a loro volta i logs di accesso, tra cui le statistiche, possono anche essere, in alcuni casi, indicizzate dai motori di ricerca, avremo ulteriori links disponibili in rete, ai siti gestiti dagli spammers.

Interessante notare come il primo dei links 'fasulli' proposto come maggiore provenienza del numero di visitatori a questo blog (in un intervallo giornaliero) sia quello relativo ad una short url generata dal noto servizio bit.ly.

In questo caso bit.ly avverte di una anomala gestione dell'indirizzo 'corto' creato evidenziando che lo stesso potrebbe essere un link anche pericoloso e bloccando di conseguenza il redirect relativo.

Un altro link gestito ad esempio da tinyurl punta invece direttamente allo spam, (cosi' come quello di http://tki.me)

La situazione piu' paradossale la si raggiunge proprio ora, mentre sto scrivendo il post, quando , per supportare questo genere di spam, viene usato un servizio offerto da Google e precisamente 'Google URL Shortener'

ossia goo.gl

Tra l'altro i links a stanno aumentando abbastanza velocemente in questi minuti facendo pensare ad un attacco di spam tuttora in corso e ben definibile come 'Referrer bombing'.

Da notare anche che un attacco del genere, oltre alla possibile pericolosita' dovuta alla diffusione di links che potrebbero anche puntare a pagine con link a malware, porta ad una completa inattendibilita' delle statistiche in quanto i risultati sono falsati dalla presenza di links con riferimento a siti da cui non deriva alcun reale interesse ai contenuti del blog.

(continua)

Edgar

WordPress spam links injection e WordPress upgrade

Approfitto del rilascio di un nuovo aggiornamento di WordPress alla versione 2.6.2 per ritornare un attimo sulla presenza ancora in quantita' rilevante di blogs WP che presentano segni di una ' spam links injection”

Ricordo che WordPress e' una piattaforma blog, attualmente distribuita con la licenza GNU General Public License, scritta in PHP e che usa come database MySQL.
L'ultima versione e appunto la 2.6.2, rilasciata l' 8 Settembre 2008.

E' interessante notare che a distanza di mesi dai problemi di vulnerabilita' che avevano portato alla comparsa su pagine WP di links specialmente a siti di Pharmacy, ci siano in rete ancora centinaia, se non migliaia di blogs che presentano questo tipo di attacco.

Una breve ricerca in rete rende possibile trovare anche blogs su dominio .IT che presentano centinaia di collegamenti a siti di vendita di viagra e derivati, e che utilizzano una tecnica di occultamento dei links che vedremo ora.

Questa ' una delle tante pagine presenti in rete di blog che utilizza WordPress dove possiamo vedere che non esiste alcuna traccia della presenza di links a siti di Pharmacy


Dato che lo scopo di chi gestisce questo tipo di attacchi e' quello di inserire il maggior numero di links , in questo caso a siti di Pharmacy, rendendo pero' nascosta il piu' possibile la compromissione delle pagine del blog per ovvi motivi (es. maggiore durata dell'efficacia dell'attacco), si cerca di limitare al minimo la possibilita' che chi gestisce il sito scopra l'accaduto.

Per fare questo, una delle pratiche messe in atto dall'attacco a blog WP e' quella di sfruttare una qualche vulnerabilita' per inserirsi come amministratore nascosto del blog e aggiungere links a siti di Pharmacy ma visibili solo ad un motore di ricerca al momento che lo stesso indicizza le pagine.

Uno dei modi per 'smascherare' questo tentativo di occultamento e' quello di 'spacciarsi' per Google Spider al momento di vistare il blog.

Se, ad esempio usando Firefox con l'addon User Agent Switcher andiamo a modificare la stringa che definisce lo User Agent utilizzato sostituendola con una stringa di testo che faccia sembrare che a visitare il sito visto sopra sia GoogleBot le cose cambiano

Come vediamo il codice del blog appare ora contenente molti links a siti di Pharmacy (vendita falsi medicinali, surrogati del viagra ecc....)


Ma c'e' di piu', come si vede i links presenti sono nascosti comunque dalla visione sulla pagina utilizzando la proprieta' display su 'none'
Infatti disabilitando questa opzione ecco il risultato visibile sulla pagina del blog esaminato

Come se non bastasse questo, vengono anche letti i cookies relativi per fare in modo che se si visita nuovamente la pagina non vengano piu' abilitati i links presenti e viene letto anche il referrer relativo a chi visita la pagina per fare in modo che se richiamata direttamente non vengano attivati i links presenti ma siano utilizzabili solo se si giunge sul blog attraverso una ricerca in rete.

Il trucco dello user agent potrebbe comunque non sempre funzionare se ad esempio esiste una verifica di reverse IP quando andiamo ad interrogare il sito 'spacciandoci' per Google


Ecco un esempio di messaggio che in pratica ci dice “..... affermi di essere un importante motore di ricerca, ma non credo sia proprio cosi' .....”

Edgar

'Acute frecce incoccano Truci i Selvaggi sulla tesa corda'.Links a pharmacy su noti siti IT (17 aprile)

La frase nel titolo del post  anche se a prima vista non ha niente a che fare con la distribuzione di medicinali online,  e' invece una delle stringhe di testo ricorrente in alcuni noti siti IT compromessi con lo scopo di linkare a distribuzione di viagra e derivati.

Non si tratta di testo totalmente random come si potrebbe pensare leggendo la frase ma invece lo stesso potrebbe essere stato 'copiato' dal libro 'Volere e' potere'

pubblicato nel 1869 da Michele Lessona (vedi Wikipedia e che Google Books).

Questo e' l'attuale contenuto di un sito IT compromesso con links a pharmacy

Il fatto di includere testi copiati in maniera random da pubblicazioni e libri anche non attuali e' una consuetudine abbastanza diffusa per creare contenuti casuali in mails di spam, in files malware o comunque files di cui si vuole generare contenuto casuale.

Qui vediamo ad esempio del testo relativo al noto scritto di William Shakespeare e cioe' Romeo e Giulietta (The Most Excellent and Lamentable Tragedy of Romeo and Juliet)

testo incluso probabilmente come supporto per creare differenti codici di checksum dei contenuti di file zip, visto che tra due files compressi scaricati in tempi diversi il testo e' costantemente cambiato

Ritornando ai vari siti che presentano inclusi testo tratto da libro in lingua  italiana  e links, troviamo anche  quello di nota squadra  di calcio del campionato italiano di serie A.

In effetti nel sito e' stato incluso su decine di pagine non solo il testo citato nel titolo del post ma una lunga serie di frasi e tutte allo scopo di creare ulteriori riferimenti da usare quando il motore di ricerca indicizza i contenuti delle pagine web.

Come sempre tutte queste aggiunte al codice originale della pagina compromessa sono visibili solo se si utilizza uno 'user agent' che faccia riferimento ad un bot di motore di ricerca

mentre la stessa pagina viene visualizzata dal browser in maniera corretta senza ulteriori 'aggiunte' se la si visita normalmente.

In altre parole chi gestisce la distribuzione di links a pharmacy vuole che solo il crawler del motore di ricerca veda i links ai siti di vendita online di viagra mentre un 'normale' visitatore del sito (e molto spesso chi lo amministra e/o ne aggiorna i contenuti) non si accorgera' dei links inclusi nel codice.

La cosa interessante che le stesse stringhe di testo, esempio quelle viste nel sito della squadra di calcio “.........Truci i Selvaggi sulla tesa corda'............”, le ritroviamo in altri siti sia IT che esteri tutti legati a distribuzione di viagra tramite link inclusi in maniera fraudolenta. 

Questo un report ottenuto con script Autoit

 che evidenzia come la frase in questione compaia inclusa in molte pagine su siti IT e non, e faccia riferimento a links di vendita di viagra e derivati.

Naturalmente oltre all'user agent viene utilizzato il referrer relativo ad una ricerca in rete mirata a trovare i siti di pharmacy, per cui, chi giunge sul sito compromesso attraverso referrer generato dal motore di ricerca e contenente stringhe di testo collegate ai medicinali, verra' rediretto in maniera del tutto automatica ai siti di vendita.

In dettaglio avremo, piu' che un redirect dal sito compromesso al sito finale, un reindirizzamento su sito che gestira' ulteriore link random a diversi siti di pharmacy.

Questo garantisce una migliore efficacia dei links in quanto si possono gestire eventuali messe OFF-line dei siti finali di pharmacy ed inoltre aumenta l'offerta di differenti prodotti.

Qui vediamo ad esempio come a partire da sito compromesso di universita' italiana si passi a sito di redir intermedio, evidenziato in giallo, che propone a sua volta i links

tra cui uno a sito di pharmacy anche in lingua italiana e che, come si vede, non si limita assolutamente alla vendita di viagra ma propone una vasta scelta tra farmaci di vario tipo selezionabili dal menu' laterale presente nella homepage.

Edgar

Terremoto ad Haiti, pagine che distribuiscono falsi AV e un avviso FBI su possibili truffe online legate al disastroso evento

Non sono passate che poche ore dal disastroso terremoto ad Haiti, che stanno comparendo in rete, centinaia di siti compromessi che ospitano false pagine di news al riguardo del terremoto, alla richiesta di aiuti ecc....

Anche in questo caso ci sono alcuni siti .IT che, compromessi, sono coinvolti nella distribuzione dei links.

Ecco cosa succede attualmente effettuando una ricerca in rete

Si tratta di molti siti compromessi come questo sito brasiliano che si occupa di Formula-1, e che al suo interno ospita pagine con questo layout

(da notare anche la foto non relativa al terremoto)

Il sorgente della pagina mostra un codice java script

che, tra le altre cose effettua una verifica del referrer di provenienza e redirige su questo fake scanner AV online se visitatore con SO Windows

(notare anche in questo caso la geo-referenziazione dell'IP )


Il fake scanner distribuisce un eseguibile poco riconosciuto dai diversi software AV

Sullo stesso server e' hostata anche una differente pagina di fake AV con altro layout

A supportare queste tecniche di ottimizzazione dei risultati di ricerca chiaramente in maniera malevola, ci pensano anche decine di links inseriti in pagine su siti IT, come queste risultanti da ricerca in rete.
Si tratta di pagine di sito IT che ospita al suo interno, inclusi nel codice html, e visibili solo se si usa un user-agent Googlebot, molti links riferiti al terremoto che ha colpito Haiti.

In parallelo alla comparsa di queste pagine e links ci aspetta ora anche la possibilita che vengano registrati nomi di dominio ingannevoli, a tema il “terremoto di Haiti”, per attuare azioni sia di distribuzione malware ma anche di spam e di phishing legato all'evento.

Questo un avviso emesso dall' FBI USA


che evidenzia i probabili rischi e propone alcuni consigli al riguardo:

Ecco una breve traduzione del testo:

.............. L'FBI ricorda agli utenti di Internet che ricevono appelli a donare soldi a seguito del terremoto in Haiti di verificare con cura prima di rispondere a tali richieste.
In passato le catastrofi naturali hanno indotto le persone con intenti criminali a sollecitare presunti contributi per una organizzazione di beneficenza e / o una buona causa.
Pertanto, prima di fare una donazione di qualsiasi tipo, gli utenti Internet dovrebbero rispettare alcune regole, tra cui:

- Non rispondere a mail spam ponendo attenzione anche ad eventuali link contenuti in tali messaggi.

-Essere scettici al riguardo di persone che rappresentano se stessi come vittime, superstiti o funzionari e che chiedono donazioni via e-mail o tramite siti di social networking.

-Verificare la legittimita' delle organizzazioni non-profit utilizzando diverse risorse in rete che confermino l'esistenza dell'organizzazione ed il suo status di non-profit, piuttosto che a seguito di un presunto collegamento al singolo sito proposto da chi chiede l'offerta..

-Siate prudenti di e-mail che pretendono di mostrare le immagini delle zone sinistrate in file allegati in quanto i file possono contenere virus. Aprire gli allegati provenienti solo da mittenti noti ma comunque verificare.

- Versare i contributi direttamente alle organizzazioni conosciute piuttosto che fare affidamento sugli altri per fare la donazione a vostro nome, per garantire che i contributi vengano ricevuti e utilizzati per gli scopi previsti.

- Non fornire dati personali o di conto a chi sollecita contributi: fornire tali informazioni puo' compromettere la vostra identita' e rendere vulnerabili al furto della stessa..
Avvisare le autorita' competenti se si pensasse di essere caduti vittima di uno dei casi visti ora..........

Si tratta sicuramente di una serie di consigli utili, anche se ovvi, da tenere sempre ben presenti e non solo in questo specifico caso.

Questo il link all'avviso originale FBI.


Vedi anche AGGIORNAMENTO del 15/1

Edgar

Sito con particolari pagine di 'Referer spamming' ai danni di blogs Blogspot (23 maggio)

Il 'Referer spamming' ai danni di blogs Blogspot  non e' certo una novita' (vedi post del 1 febbraio 2011) ma da qualche giorno sembra nuovamente molto attivo attraverso un dominio 'dedicato' in maniera mirata proprio a colpire i blogs Blogspot.

Come vedremo, la notevole differenza tra le precedenti azioni di spamming di referer e quella odierna e' dovuta al fatto che si tratta di  pagine web che attraverso script producono un vero e proprio  'bombardamento di referer”  ai danni di una lista variabile di indirizzi Blogspot inclusa nel codice delle stesse e per di piu' utilizzando il PC di chi le visita.

Per iniziare ecco una breve descrizione del piu' comune 'Referer spamming':

Traducibile sommariamente in lingua italiana anche come 'spam dei log o delle statistiche' od in maniera piu' divertente come 'bombardamento di referer”,  il 'Referer spamming'  e' uno spamdexing (spamming dedicato ai motori di ricerca) che consiste nel fare  ripetute richieste ad un sito Web utilizzando una URL di referer, che punta al sito che lo spammer vuole pubblicizzare.

Per completezza ricordo che il 'referer' (scritto a volte anche come 'referrer') e' semplicemente l'URL di un elemento che conduce all'elemento corrente: ad esempio, il referer di una pagina HTML puo' essere un'altra pagina HTML. In sostanza, esso rappresenta la fonte dalla quale un utente e' venuto a conoscenza di una pagina. Il referer e' parte integrante di una request HTTP inviata dal browser al webserver. (fonte Wikipedia).

Un gestore di statistiche relative a sito WEB potra' quindi, tramite il referer, identificare da quale sito e pagina e' giunto il visitatore.

Poiche' molti siti pubblicizzano le statistiche degli accessi e comunque dette statistiche possono essere anche indicizzate dai motori di ricerca e' evidente quindi lo scopo di far apparire nelle liste delle statistiche l'URL da diffondere che sara' cosi' piu' facilmente elencata dai risultati di una  ricerca in rete tramite Google, Bing ecc......

Tra l'altro questa campagna di spamming dedicata a blogs Blogspot, non risparmia neanche le statistiche di questo blog, come vediamo da un attuale parziale screenshot delle stesse:

Anche se con una percentuale di 'fake accessi” molto ridotto rispetto ad esempio a referer legittimi derivati da ricerche Google, ecco infatti il sito 'topblogstories.com' comparire ben posizionato ai primi posti dei Referring Sites di questo blog.

In dettaglio 'topblogstories.com' e' un sito dai contenuti porno il cui layout delle pagine che propone sembra essere solo costituito di links a foto porno tratte da sito con whois Ucraino e links ad altre pagine dello stesso sito 'topblogstories.com'   (forms e pulsanti di scelta presenti non parrebbero essere attivi o meglio re-linkano altre pagine dello stesso sito 'topblogstories.com'  ).

Un whois mostra 

'topblogstories.com'  sfrutta anche la geo-localizzazione degli IP poiche' con IP Thai abbiamo 

mentre es. forzando via proxy un IP italiano 

con evidente diverso testo, a seconda dell'IP utilizzato.

Che si tratti di una azione di spamming dei referer recente lo vediamo analizzando il  dominio usato:

Come si nota la data di registrazione risale a pochi giorni fa mentre il Registrant  e' a nome di  Annette Sciverit.

Ora, se andiamo a ricercare in rete riferimenti ad Annette Sciverit  troviamo che la stessa appare come registrant es di  

con

 cosa che conferma come si tratti di una azione di spamming dei referer gestita dai medesimi personaggi che gestiscono pharmacy ecc.....

Piu' interessante e' comunque esaminare le pagine linkate dal 'Referer spamming' nelle statistiche del blog, pagine che rivelano un codice particolare e mai visto in precedenti azioni che hanno anche colpito questo blog.

Il codice della pagina mostra infatti questo script

 che riporta una lunga lista di riferimenti ad URL blogspot, lista che ad ogni nuovo caricamento della pagina cambia seguendo un ordine alfabetico.

Es a due successivi caricamenti della pagina abbiamo

seguito da 

ecc.........

Come si nota differenti URLS sempre tutte di blogs Blogspot che vengono utilizzate per attuare un vero e proprio  'bombardamento di referer' ai danni appunto dei blogs presenti nella lista e sfruttando PC e connessione Internet di chi sta visitando il sito 'topblogstories.com'.

Analizzando in dettaglio il codice possiamo notare come lo script sfrutti una immagine nascosta sulla pagina

che possiamo vedere in chiaro alterando il codice html della pagina stessa

immagine che riproduce il logo Google, ed e' tratta da sito Google.

Lo script presente richiama la funzione che tenta di leggere una immagine su uno dei blog in elenco, a brevi intervalli di tempo (codice in giallo).

Lo scopo non e' tanto quello di sostituire l'immagine dal logo Google con quella che potrebbe essere presente sul blog colpito,  ma piuttosto quello di segnalare al gestore di statistiche del blog preso di mira, che lo stesso viene visitato da 'topblogstories.com'.

Inoltre la funzione presente viene eseguita ad ogni caricamento della pagina e quindi poiche' la lista di URL varia, avremo di conseguenza un nuovo indirizzo blogspot da colpire  ogni volta che la pagina viene visitata.

Qui vediamo sommariamente riassunto come si sviluppa l'esecuzione dello script  partendo da una delle pagine proposte e di cui e' stato modificato il sorgente per evitare un eventuale spam ai danni di utenti blog Blogspot.

I codice cosi' modificato e' stato hostato su servizio free web e la pagina caricata nel browser.

Ecco la pagina con source modificato

 dove e' stato sostituito il link a reali blog con un link a questo blog 

Caricando la pagina nel browser e attribuendo un referer di fantasia (ma non troppo),

se gli script sono abilitati,  viene generato un vero e proprio 'bombardamento di referer' attraverso il richiamo del sito linkato (quello es .di questo blog) in maniera continua ed a brevi intervalli di tempo.

Come vediamo da questa sessione Fiddler catturata al momento dell'esecuzione dello script ogni volta che lo script richiama il sito Blogspot,  l'URL e' diversa nella parte random generata dall'omonima funzione.

Contemporaneamente le statistiche del blog hanno registrato un accesso da parte di utenti con provenienza il fake referer usato (notate come in pochi secondi si siano create ben 12 'visite fake' al blog)

Chiaramente quando realmente in azione lo script su una delle pagine di 'topblogstories.com' caricate , il gestore delle statistiche del blog vedra' un accesso da parte del sito 'topblogstories.com'   o meglio vedra' il referer relativo a 'topblogstories.com' ed andra' cosi' ad incrementare il numero di visite da parte del sito porno con conseguente maggiore 'visibilita'' ai motori di ricerca proprio del sito 'topblogstories.com'.

E' probabile che lo spamming di referer odierno non sia solo gestito tramite gli script inclusi nel codice delle pagine del sito porno ma in definitiva si tratta di un ingegnoso sistema che sfrutta i visitatori del sito porno ed i loro PC come involontari esecutori di ulteriore 'Referer Spamming' ed il tutto in maniera assolutamente trasparente per chi visita il sito.

Che attualmente ci sia una diffusione abbastanza elevata di questo spamming lo possiamo vedere da diversi commenti anche sul forum di Blogger

Uno dei danni piu' rilevanti generati dall'odierno 'Referer spamming'  e' quindi una certa inattendibilita' delle statistiche relative al blog colpito, in quanto i risultati sono falsati dalla presenza di riferimenti a 'topblogstories.com'.

Appare invece meno chiaro quale possa essere l'interesse a creare queste statistiche alterate in quanto la maggior parte dei report, almeno per quanto si riferisce a quelli Blogspot, sono accessibili solo dopo aver effettuato il login alla pagina di amministrazione del blog e quindi visibili solo a chi lo gestisce.

In altre parole, ed al momento, non parrebbero esistere evidenti segnali di una indicizzazione di report statistici Blogspot comprendenti anche il link al sito porno in questione, da parte dei motori di ricerca.

Edgar