Siti italiani compromessi da javascript offuscati (aggiornamento 3 maggio 09)

Ricordo sempre che anche se alcuni links sono lasciati in chiaro negli screenshot, evitate di visitare i siti in questione se non avete preso tutte le precauzioni del caso (sandboxie, noscript, pc virtuale ecc....) !!!!

Sulla lista degli aggiornamenti di www.malwaredomainlist.com relativa all'elenco di siti compromessi appare l'indicazione di un sito .IT che presenta l'inserimento nel codice della homepage, ma non solo, di javascript offuscato che punta a pagina Mbroot.
Ricordo che il rootkit Mebroot, altrimenti noto come Torpig, Sinowal, o MBR, e' attivo da fine 2007 ed ultimamente e' in circolazione anche una nuova variante.

Dato che appare improbabile che su centinaia di siti presenti su un singolo IP uno solo sia stato vittima di un attacco per comprometterne il codice inserendo script offuscato, e' stata eseguita una analisi Webscanner sia dell'IP che ospita il sito compromesso che di alcuni IP contigui a quello del sito segnalato da www.malwaredomainlist.com.

Questo il sito attualmente compromesso da script offuscato presente su malwaredomainlist


Una scansione con webscanner a pero' portato a trovare ad esempio quest'altro sito su medesimo IP

mentre su altro IP contiguo al precedente abbiamo

Si tratta di siti compromessi che presentano tutti l'inserimento di questo script offuscato

non solo sulla home ma anche su altre pagine del sito e che deoffuscato ed analizzato con Wepawet viene classificato come


Edgar

Siti compromessi su servers italiani (aggiornamento 2 maggio 09)

Ricordo sempre che anche se alcuni links sono lasciati in chiaro negli screenshot, evitate di visitare i siti in questione se non avete preso tutte le precauzioni del caso (sandboxie, noscript, pc virtuale ecc....) !!!!

Su questo IP appartenente ad hoster italiano

troviamo, al momento di scrivere il post, diversi siti che presentano la homepage sostituita da pagine di hacking con i soliti proclami, ma anche un sito con codice offuscato sia nella home che nelle altre pagine e che punta ad exploit attivo.

Ecco un report Webscanner che evidenzia nei sorgenti scaricati dal server la presenza di codici di hacking di varia provenienza e probabilmente frutto di attacchi eseguiti in tempi diversi

Ed ecco alcune delle pagine visualizzate, che sostituiscono la homepage dei siti in questione


Estendendo poi la ricerca per verificare la presenza di codici pericolosi sotto forma di javascripts offuscati abbiamo alcune sorprese.

Ad esempio viene rilevato questo sito

di cui vediamo il source nella parte relativa al codice offuscato

Da una prima decodifica otteniamo

che punta a questa pagina, con ulteriore codice offuscato

e con whois

Ad una analisi con Wepawet abbiamo la conferma della presenza di exploit


con link a questo file eseguibile


Interessante notare che cambiando il valore numerico dell'indirizzo web della pagina che ospita l'eseguibile malware si ottengono files sia con diverso nome che codice

e che vengono variamente riconosciuti da VT

Ancora una volta vulnerabilita' evidenziate da siti compromessi solo con pagine di hacking, sono molto spesso utilizzate anche per azioni ben piu' pericolose quali ad esempio la distribuzione di malware attraverso script java offuscati come nel caso visto ora.

Edgar

Il falso PDF del phishing ai danni di Banca Intesa S.Paolo

Ricevuta mail di phishing che questa volta prende di mira il gruppo bancario Banca Intesa San Paolo


Come si nota subito dalla mail, questa non esiste un link a sito di phishing, ma viene proposto un allegato con alcune interessanti caratteristiche non molto comuni per phishing di questo tipo.

Intanto, come curiosita', possiamo notare in fondo al messaggio mail una scritta che vorrebbe rassicurare sulla autenticita' della mail stessa anche se in effetti il testo scritto in italiano non appare del tutto corretto.

Molto piu importante e' invece l'allegato codice htm che presenta una doppia estensione PDF.HTM e che cerca quindi di simulare il file come documento PDF.


Per fare questo si e' ingegnosamente creata una immagine di sfondo (evidenziata in giallo nello screenshot), per far apparire la pagina html allegata come se in effetti stessimo visualizzando un documento pdf attraverso il lettore pdf integrato del browser.

Ecco un dettaglio della immagine di sfondo che simula le barre presenti quando si usa il lettore Adobe Reader nel browser


L'immagine di sfondo

viene caricata dal sito www(dot)sanpaolo(dot)us hostato su Yahoo, sito che gestisce anche l'acquisizione dei dati inseriti dall'utente Banca Intesa S.Paolo che malauguratamente cadesse nel tranello del falso documento pdf.

Per quanto si riferisce al testo notiamo alcuni errori di italiano che dovrebbero mettere sull'avviso chi volesse compilare il modello.
L'immagine della carta di credito presente nel falso form e' invece acquisita dal reale sito monetaonline.it

Approfondendo un poco piu' l'analisi del sito che si occupa di gestire il phishing si puo' notare al suo interno, ad esempio, la presenza di questo folder temporaneo utilizzato probabilmente per gestire l'acquisizione dei dati di login inseriti nel falso pdf e dove si nota che ad ogni nuovo inserimento dati sul form viene generato un file temporaneo e modificata la data presente.

Basandosi su questo si potrebbe dedurre che al momento gia' almeno un centinaio di utenti hanno utilizzato il form allegato alla mail di phishing anche se chiaramente, si spera, potrebbe siano risposte con dati non reali.

Questo diverso sistema di proporre un form sotto forma di PDF fasullo allegato, tenta quindi di ingannare chi riceve la mail attraverso una procedura abbastanza inusuale rispetto alle abituali mail di phishing.

Visto che in generale si pone l'attenzione su siti online di phishing questo nuovo genere potrebbe quindi rappresentare un certo rischio per chi ricevesse la mail ed aprisse l'allegata pagina che in realta' abbiamo visto tenta di presentarsi come un documento PDF.

Edgar