Distribuzione fake AV.Sempre estremamente basso il riconoscimento e probabile alta diffusione di siti compromessi con link al falso scanner AV online

AVVISO IMPORTANTE! Ricordo che anche se alcuni links sono lasciati in chiaro negli screenshot, evitate di visitare i siti elencati se non avete preso tutte le precauzioni del caso ! Si tratta di links a pagine/siti dai contenuti spesso poco affidabili (possibile presenza di malware, exploit ecc....)

L'intensaita' della distribuzione dei fake Av come 'Win 7 Internet Security 2011', 'Win 7 Home Security' ecc... vista nei precedenti post merita ancora qualche ulteriore chiarimento sia riguardo al basso riconoscimento del falso antivirus, che alla intensa 'campagna' di distribuzione dello stesso tramite siti compromessi e non solo IT.

Iniziamo col verificare attualmente lo stato di riconoscimento del falso software antivirus scaricando l'eseguibile proposto attualmente da uno dei tanti siti IT

attivi nell'ospitare i codici inclusi

ricordando sempre i limiti di una scansione on-line on-demand di VT (es. la possibilta' che un software Av si comporti in maniera differente e riconosca il malware al momento della sua esecuzione sul reale PC dove si trova installato rispetto al test VT (differente ambiente di test, esecuzione con differenti parametri di setup ecc...))

Come si vede dall'attuale report VT ( analisi delle ore 14 UTC, quindi le 16 IT del 6 giugno)

il numero di softwares che riconoscono il file come pericoloso rimane stabile a 3 (tre !) se confrontato con il report eseguito circa 24 ore fa (serata d ieri ora thai)

con la sola differenza che Kaspersky viene sostituito da McAfee che prende il suo posto nel report.

Appare quindi evidente che l'azione di modifica dei sorgenti del malware allo scopo di evitare il riconoscimento da parte dei reali softwares AV e gli 'aggiornamenti' quasi ogni ora dei links al falso scanner AV online,come visto in una analisi precedente, siano tuttora presenti..

Come gia' scritto in precedenti post e' pensabile che non solamente siti IT siano coinvolti in questa elevata distribuzione di fake AV e quindi vediamo di analizzare se e quanto sono presenti nei risultati di una ricerca in rete anche altri domini non IT.

Per fare questo esaminiamo il sorgente della pagina presente sul sito IT, che linka al fake AV tramite il sito compromesso visto prima:

Possiamo notare decine di keywords (che sono normalmente indicizzate dal crawler del motore di ricerca) e quindi eseguiamo una ricerca per siti non IT utilizzando queste parole chiave :

Come c'era da aspettarsi i risultati sono centinaia, e cliccando su uno scelto a caso tra i tanti, viene presentato lo stesso indirizzo visto nel caso del precedente relativo al sito IT.

Un whois del sito mostra IP

Visto che abbiamo utilizzato solo un numero limitato di parole chiave e' da pensare che in realta' i siti che vengono utilizzati per fornire un link al fake Av siano migliaia e tutti probabilmente con i links aggiornati in temo reale all'ultima versione del fake AV.

La riprova che si tratta di inclusioni recenti la abbiamo anche analizzando la cache dei risultati Google da cui si puo' vedere che le date risalgono, anche per i link piu' datati, solo a qualche giorno fa.

Edgar

Un altro 'aggressivo' falso antivirus (ora come Win 7 Internet Security 2011) distribuito attualmente da siti .IT compromessi (6 giugno)

AVVISO IMPORTANTE! Ricordo che anche se alcuni links sono lasciati in chiaro negli screenshot, evitate di visitare i siti elencati se non avete preso tutte le precauzioni del caso ! Si tratta di links a pagine/siti dai contenuti spesso poco affidabili (possibile presenza di malware, exploit ecc....)

A distanza di qualche giorno da questo post, che evidenziava la presenza di una distribuzione do fake AV tramite codici inclusi su siti IT legittimi, e dai successivi aggiornamenti, ecco la situazione attuale che vede tornare ad un basso riconoscimento (in pratica quasi nullo) del malware, quando analizzato con Virus Total.

Una analisi degli 'email updates' ricevuti settando le opportune parole chiave in 'Google Alerts' mostra che i siti compromessi (anche se non nelle ultime ore) sono parecchi e continuano a proporre links ad eseguibili sempre aggiornati a dimostrazione di una 'campagna' di distribuzione malware molto attiva e che, almeno per il momento, continua coinvolgere decine di siti IT.

Questi solo alcuni dei siti proposti da una recente e-mail 'G.Alerts' in cui si evidenzia l'appartenenza sempre a medesimo range IP di hosting, come gia' visto nei precedenti posts:

e

e

ed anche


Chiaramente le pagine incluse (anche se in numero minore) possono essere trovate attraverso altri motori di ricerca come vediamo in una attuale ricerca Bing,

dove cliccando sul risultato abbiamo medesimo reindirizzamento a fake scanner AV e relativo eseguibile.

Alternativamente al 'click' sul risultato di ricerca possiamo, attraverso l'utilizzo di opportuno referer, attivare lo script presente


che redirige su

da cui scarichiamo l'eseguibile, che analizzato con VT mostrava ( e continua a mostrare al momento di scrivere il post)

con la conferma del quasi nullo riconoscimento:


Per verificare se trattasi sempre del medesimo fake AV visto qui, proviamo ad eseguire il file scaricato in Vbox Linux ottenendo


Come si nota confrontando lo screenshot con quello ottenuto nella precedente analisi , pur rimanendo identico il nome del file eseguibile, abbiamo un diverso nome di fake AV proposto e precisamente ' Win 7 Internet Security 2011' a differenza del precedente 'Win 7 Home Security'

Si tratta in ogni caso della 'ennesima' variante del medesimo fake AV che in maniera particolarmente 'aggressiva' si installa sul PC bloccando di fatto ogni tentativo di connessione alla rete dei browsers e l'esecuzione di programmi quali Task-manager ecc....

Edgar

Un altro 'aggressivo' falso antivirus distribuito attualmente anche da siti .IT compromessi. Alcuni approfondimenti (3 giugno)

Nel precedente post, ed anche in alcuni dei giorni scorsi, abbiamo visto come la tecnica di inclusione di codici all'interno di siti legittimi ed in maniera nascosta, sia molto attiva e porti a linkare in preferenza false applicazioni antivirus.

Non si tratta delle tradizionali applicazioni di fake AV visite in passato che, a parte produrre qualchee falso messaggio di presenza malware, erano bonificabili dal PC abbastanza facilmente, ma di programmi curati nei minimi dettagli sia come layouts proposti, che come azione che possiamo definire 'aggressiva' suPC colpito (blocco dei browsers, della navigazione internet, delle applicazioni quali task manager, ecc....) ed inoltre con codici continuamente aggiornati allo scopo di eludere eventuali controlli da parte dei reali AV.

Alla base di queste distribuzioni 'in tempo reale, c'e' l'utilizzo, come abbiamo visto di tecniche di SEO poisoning che rendono le ricerche in rete sempre piu' soggette a rischi da parte di chi seguisse i links sia testuali che immagine proposti es da Google.

Sia che si tratti di pagine statiche HTML incluse nel sito compromesso che di pagine generate al momento in ogni caso abbiamo sempre un sistema che garantisce il redirect (o piu' redirects) che puntano nei casi odierni a falsi scanner AV che a loro volta distribuiscono la 'rogue application' AV.

Come si puo' pensare, e' essenziale che per una azione continuata nel tempo, il falso AV cambi spesso sia il codice ma anche l'indirizzo internet di distribuzione del file (garanzia di evitare black-listing del dominio usato ecc....) cosa che possiamo verificare utilizzando uno script gia' usato nei giorni scorsi nell'analisi di casi di phishing.
L'unica differenza e' stata una aggiunta al codice per far accettare anche un 'referer' allo scopo di simulare l'accesso alla pagina inclusa come se si provenisse da una ricerca Google.

In altre parole se apro un link a pagina inclusa da browser vedro' solo il layout della pagina

mentre se invio insieme alla richiesta anche un referer ( es come 'google.com' ) verra' attivato lo script relativo al redirect al fake sito di scanner AV.

In pratica abbiamo passato allo script questo elenco di URLS di indirizzi di pagine incluse che sono ospitate sia sul sito visto questa mattina che su altri 2 (sempre stesso range IP di hoster ligure)

ed abbiamo attivato un referer 'google.com'

ottenendo, scansionando gli indirizzi web in questione ad intervalli di 10 minuti, questo report che vediamo relativamente ad uno dei 3 domini analizzati:

Come si nota, riassumendo parte dei risultati, esiste una variazione molto frequente (circa ogni 50... 60 minuti) e tuttora attiva, sia della url che del dominio linkato a cui punta lo script scaricato dall'applicazione Autoit.

Altra particolarita' e' che, sia per pagine indicizzate gia' da qualche mese o piu'


che per quelle catalogate dal crawler del motore di ricerca da pochi minuti


, il dominio che punta al fake AV risulta sempre essere aggiornato, indipendentemente dalla data della pagina inclusa, situazione che permette quindi anche alle pagine piu' 'datate', di linkare comunque siti malware attuali.

Purtroppo non avendo evidentemente accesso ai contenuti del sito e/o al server colpito non e' possibile verificare meglio come vengano attuate queste continue variazioni degli indirizzi coinvolti nella distribuzione del malware.(presenza di kit SEO inclusi, codici modificati da remoto ...ecc...)

Quella che comunque e' certa, e' la presenza di centinaia di riferimenti a pagine incluse per singolo dominio, trovati da una ricerca in rete.

Queste ad esempio le righe di dettaglio di un molto parziale report relativo ai risultati di una ricerca Google sempre sul sito IT compromesso visto questa mattina (ogni riga corrispponde a una pagina visualizzata).

Edgar