Distribuzione eseguibili malware attraverso forum IT (24 gennaio)

Anche se e' da qualche tempo che non viene trattato dal blog, l'argomento relativo a links a falsi siti di filmati online (quasi sempre di genere porno) utilizzando post creati allo scopo su forum poco o per niente amministrati, e' sempre di attualita'

Questo un odierno forum IT dove notiamo una lunga sequenza di post aggiornati in tempo reale (in media dai 3 ai 5 al minuto) e comprendenti differenti links a fake sito di filmati porno

Ecco un tipico post con immagine cliccabile

e lunga serie di termini relativi al medesimo argomento porno trattato con lo scopo di creare il maggior numero di link attraverso una ricerca in rete.

E' interessante analizzare il link proposto con Fiddler ottenedo

con un primo redirect utilizzando tinyurl seguito a sua volta da un redirect gestito attraverso URL che punta a Google.
Si tratta di un tipico caso di 'Google Search URL Redirection' gai visto in passato.
A sua volta verremo rediretti, senza che appaia alcun riferimento a Google nel browser, ad altro sito che successivamente puntera' ad uno dei tanti layout di gestione filmati video in parte gia' visti altre volte

e

ma anche con differente presentazione del fake player che parrebbe essere aggiornata.

da cui

Naturalmente sara' necessario scaricare il programma di installazione del FAKE player flash che in realta' dimostrera' essere


Questo un whois del sito di falsi filmati:

Da notare come in questi casi sfruttando differenti e multipli redirect, e post su forum pubblicati ad intervalli di tempo molto breve, chi vuole distribuire malware disponga di tutto l'occorrente per proporre eseguibili non facilmente individuabili dai sofwares AV e con possibilita' di utilizzare indirizzi web continuamente variati che rendono difficoltoso anche un blacklisting degli stessi.

Edgar