Distribuzione malware attraverso codici di redirects su siti compromessi IT (28 settembre)

AVVISO IMPORTANTE! Ricordo che anche se alcuni links sono lasciati in chiaro negli screenshot, evitate di visitare i siti elencati se non avete preso tutte le precauzioni del caso ! Si tratta di pagine e siti dai contenuti poco affidabili (possibile presenza di malware, exploit ecc....) che distribuiscono anche eseguibili poco riconosciuti dai software AV.

Ecco una ricerca in rete che punta ad uno dei tanti siti compromessi presenti in rete allo scopo di proporre ricerche in rete con link a malware.

Si tratta di sito IT indicizzato da qualche ora da parte di Google e che ancora una volta evidenzia la tecnica utilizzata da chi vuole distribuire links a malware, di solito attraverso falsi install, players o plugin, che sarebbero necessari per visualizzare filmati presenti su sito di contenuti porno.

Come si nota da questa attuale ricerca, il sito in questione viene proposto da Google sia con link a pagine legittime, che links con riferimenti a termini porno, ma tutto questo utilizzando come chiave di ricerca il solo indirizzo web del sito.

Cliccando su uno dei risultati, sia che si tratti di pagine del sito, che di testo relativo ai contenuti per adulti , non succede niente di particolare, venendo visualizzata una pagina del sito.

La stessa cosa naturalmente accade anche accedendo direttamente al sito senza utilizzare i links proposti dai risultati di ricerca

Ecco invece che se inseriamo come chiave di ricerca, oltre alla url del sito anche un termine come ' sex … porno ....'

i risultati proposti, se cliccati, ci reindirizzano direttamente a questa pagina di falsi filmati video dal layout ormai noto da parecchio tempo.

In pratica, solo una ricerca in rete per termini 'particolari' vedra' il reindirizzamento al sito malware che propone questo download di fake installer di player flash, mentre per chi visita il sito avendo cercato in rete con argomenti relativi ai contenuti dello stesso, o direttamente digitando l'url nel browser, verranno proposte le legittime pagine trovate da Google.

Attraverso questo sistema chi vuole distribuire malware ottiene il vantaggio di avere un hosting free di links a files pericolosi, ma anche, di non rendere visibile ai frequentatori del sito compromesso i link al malware.

Per quanto si riferisce al file fake linkato abbiamo questa sequenza di redirects

che partendo da ricerca Google giunge a sito con whois

che ospita le false pagine di links a filmati video.

L'eseguibile proposto in automatico per il download mostra, ad una analisi VT, un basso riconoscimento dei contenuti pericolosi.

con


In questo precedente post veniva analizzata una tecnica simile ma utilizzata per proporre links a siti di pharmacy.

Edgar