Distribuzione malware attraverso falso aggiornamento Chrome (11 gennaio 2013)

Si tratta di una pagina di fake aggiornamento del noto browser Google Chrome 

con  hosting su server USA.

Come si vede, cliccando sul link del fake update viene proposto un eseguibile

 che, fortunatamente, e' ampiamente riconosciuto dai softwares AV 

Si tratta di malware non recentissimo che una analisi online mostra  eseguire diverse 'attivita' tipiche dei codici trojan. 

Interessante notare anche come l'URL della pagina del fake aggiornamento Chrome, mostri un indirizzo di dominio che punta ad  agriturismo italiano ( hosting su server IT )

mentre l'effettivo hosting del trojan e' puntato dal sottodominio  su server usa con differente IP

Questo si puo' spiegare con la tecnica di DNS sub-domain hijacking molto usata ad esempio dai phishers e dai siti di pharmacy e che nel caso attuale mostra questi DNS Records 

In breve si tratta di creare,  accedendo all'amministrazione dei DNS  del sito legittimo, dei fake  sottodimini dello stesso   facendoli puntare a differente IP e relativo host del malware

Edgar

Ancora intensa distribuzione in rete di links a BlackHole 2.0 Aggiornamenti.(11 gennaio 2013)

Nel post di ieri abbiamo visto come sia sempre molto intensa la distribuzione di spam con links di redirect al noto BlackHole.

Questa una mail individuata in data odierna (su mailing list online) che mostra come vengano anche utilizzati messaggi di spam con testi estremamente ridotti ma non per questo meno 'pericolosi' in quanto possono incuriosire chi li riceve facendo cliccare sul link presente.

Ecco la semplice mail 

il cui testo 

informa di fotografie che ci riguardano, disponibili per la visione.

Naturalmente chi cliccasse sul link verrebbe rediretto su questa pagina di uno dei tanti siti compromessi 

che a sua volta punta a dominio .ru leggermente differente da quello visto ieri ma con i medesimi contenuti malevoli BlackHole

come si puo' rilevare effettuando una analisi dei contenuti.

Edgar

Ancora intensa distribuzione in rete di links a BlackHole 2.0 (10 gennaio 2013)

Poche righe per documentare la nuova ed intensa diffusione di links a BlackHole exploit nella versione 2 attraverso spam con mails come questa

tratta dal blog http://blog.dynamoo.com

Una odierna ricerca in rete mostra la notevole quantita' di fake pagine con link al malicious payload come 

ed anche

ed ancora

tutte in data attuale e tutte con stesso indirizzo di redirect a pagina su dominio RU ma differenti IP

Questa la pagina con codice BlackHole

Una analisi del source della stessa mostra che alcuni softwares AV su VT rivelano il contenuto malevolo presente

mentre la conferma del malware linkato viene anche da altre analisi online disponibili in rete

Altre info su BlackHole exploit 2 le potete trovare qui

Edgar