PDA

View Full Version : Evil Javascript mutates to evade detection

Chill-Out
04-08-2007, 22:20
Fonte: Techworld.com
http://www.techworld.com/security/news/index.cfm?newsid=9703
xcdegasp
04-08-2007, 22:41
potevi sprecare anche due righe :D
lancetta
05-08-2007, 03:55
stanotte non riuscivo a postare.....comunque sotto quello che volevo dire
lancetta
05-08-2007, 03:56
doppio post
lancetta
05-08-2007, 03:57
*
lancetta
05-08-2007, 03:58
triplo post
lancetta
05-08-2007, 03:58
Vabbè connessione di merda stanotte...vado a letto è meglio
lancetta
05-08-2007, 13:16
La tecnica dell'iframe di cui si è ampiamente discusso se ho ben capito,solo che fanno notare che sono coinvolte anche vulnerabilità di ADODB, QuickTime, WinZip oltre ad altro software,ed in più una vulnerabilità del controllo activeX (quindi IE tanto per cambiare) di NCTAudio.Sconcertante il fatto che con le tecniche che stanno usando attualmente nessun antivirus è in grado facilmente di rilevarle,poichè le variabili di reindirizzamento e di script sono continue,quindi difficili da catalogare in un database di firme virali.La riflessione è sempre la solita:tenete aggiornato tutto il parco software oltre al sistema operativo e cercate di navigare con browser che non faccia uso di activeX(in pratica evitare IE).Aggiungo la obbligatorietà a questo punto della situazione attuale,di navigare con account limitato.....Ormai non basta andare solo su siti fidati,ma comunque ci vuole testa,evitando di cliccare su tutto quello che capita ;)

Saluti :cool:
xcdegasp
05-08-2007, 16:35
Io sto adottando un nuovo livello difensivo... ho installato linkscan (che scansionando il sito che si sta visualizzando avverte di pericolosità e le blocca) e un'estensione di firefox che mi indica se il sito host è windows o linux :)
lancetta
05-08-2007, 17:05
Io sto adottando un nuovo livello difensivo... ho installato linkscan (che scansionando il sito che si sta visualizzando avverte di pericolosità e le blocca) e un'estensione di firefox che mi indica se il sito host è windows o linux :)

come sta a falsi positivi?
xcdegasp
05-08-2007, 20:54
come sta a falsi positivi?

lo installato da soli due giorni il linkscan ho bisogno ancora di tempo per capirne la reale efficacia...
mi segna una cosa strana sul sito www.emulesecurity.net e trova conferma nel antirootkit della sophos che rileva dei file settati come hidden nella cache di firefox (su quel sito sei obbligato ad abilitare i javascript per navigarlo)...

probabilmente enetec è in vacanza e non mi ha risposto :)
lancetta
06-08-2007, 00:05
effettivamente è tanto che non vado sul sito di enetec,speriamo non abbia problemi,considerando che come accessi è molto visitato.......
Chill-Out
07-08-2007, 10:35
potevi sprecare anche due righe :D

giusto ma in questi giorni vado di frettissima, sorry. Sottoscrivo inoltre quanto detto da Lancetta sopra, aggiungendo che è diventa d'obbligo utilizzare il browser all'interno di una sandbox.

@xcdegasp a quale estensione ti riferisci? Grazie.
xcdegasp
07-08-2007, 12:27
linkscan è un prodotto da installare interamente e poi installa la sua estensione in FF per poter operare prima che l'utente clicki o legga la pagina..
il link del prodotto è questo: http://www.explabs.com/

sto ancora verificando quanto sia attendibile...
Chill-Out
07-08-2007, 21:47
linkscan è un prodotto da installare interamente e poi installa la sua estensione in FF per poter operare prima che l'utente clicki o legga la pagina..
il link del prodotto è questo: http://www.explabs.com/

sto ancora verificando quanto sia attendibile...

Grazie, non avevo capito che ti riferivi a LinkScanner, lo stò testando anch'io spesso capita che i js offuscati non li vede.
Ciao