Edgar Bangkok
01-11-2008, 09:37
sabato 1 novembre 2008
Si tratta in realta' della medesima applicazione antivirus fasulla che si sta diffondendo in queste ore grazie a links che appaiono su molte pagine di siti compromessi o comunque su pagine che sono utilizzate. loro malgrado, per distribuire links pericolosi.
Un primo caso lo possiamo trovare in una delle tante pagine Moodle che sono aggiornate quotidianamente come vediamo in questi dettagli. (alcune info in piu' sulla compromissione di siti Moodle le trovate su questo recente post)
Questo uno dei siti di E-Leasing coinvolti
(img sul blog) (http://edetools.blogspot.com/)
che viene sfruttato al suo interno per proporre vari links
(img sul blog) (http://edetools.blogspot.com/)
Come si vede i links sono aggiornati alla data odierna
Le pagine con links sono piu' di una ed aggiunte quotidianamente al sito Moodle.
Il link porta tramite successivi redirects a
http://i241.photobucket.com/albums/ff186/EdgarBangkok/Edetools/securityproscan2009/moodlefakeav.jpg
Un altro caso e' questo link presente in una pagina di Google Groups
(img sul blog) (http://edetools.blogspot.com/)
che linka a
(img sul blog) (http://edetools.blogspot.com/)
Questo un whois di uno dei siti che distribuisce il falso antivirus
(img sul blog) (http://edetools.blogspot.com/)
Il range IP relativo ai siti che distribuiscono questa applicazione fasulla comprende numerosi altri siti dubbi tra cui anche pagine che distribuiscono i soliti falsi filmati e codecs video fasulli contenenti varianti di malware Zlob.
Il file esegubile scaricato
http://i241.photobucket.com/albums/ff186/EdgarBangkok/Edetools/securityproscan2009/exeicon.jpg
viene poco riconosciuto dagli antivirus presenti in VT
http://i241.photobucket.com/albums/ff186/EdgarBangkok/Edetools/securityproscan2009/vt.jpg
mentre una volta in esecuzione si comporta come il 'vecchio' Antivirus 2009 Protection esaminato qui , di cui probabilmente utilizza gli stessi codici, come si puo' vedere confrontando le videate del software odierno in esecuzione
http://i241.photobucket.com/albums/ff186/EdgarBangkok/Edetools/securityproscan2009/scanner.jpg
con quelle di Antivirus 2009 Protection.
(img sul blog) (http://edetools.blogspot.com/)
Come sempre la rimozione del fake antivirus e' difficoltosa e richiede spesso interventi manuali sia cancellando files che chiavi aggiunte sul file registro.
Il consiglio rimane sempre quello di evitare di installare software di cui non si conosce la provenienza, tanto piu; se proposto automaticamente da qualche pagina web ed inoltre dare una occhiata in rete tramite un motore di ricerca per acquisire qualche info in piu' prima di installare un programma la cui rimozione potrebbe poi comportare notevoli problemi.
Edgar :D
fonte: http://edetools.blogspot.com/
Si tratta in realta' della medesima applicazione antivirus fasulla che si sta diffondendo in queste ore grazie a links che appaiono su molte pagine di siti compromessi o comunque su pagine che sono utilizzate. loro malgrado, per distribuire links pericolosi.
Un primo caso lo possiamo trovare in una delle tante pagine Moodle che sono aggiornate quotidianamente come vediamo in questi dettagli. (alcune info in piu' sulla compromissione di siti Moodle le trovate su questo recente post)
Questo uno dei siti di E-Leasing coinvolti
(img sul blog) (http://edetools.blogspot.com/)
che viene sfruttato al suo interno per proporre vari links
(img sul blog) (http://edetools.blogspot.com/)
Come si vede i links sono aggiornati alla data odierna
Le pagine con links sono piu' di una ed aggiunte quotidianamente al sito Moodle.
Il link porta tramite successivi redirects a
http://i241.photobucket.com/albums/ff186/EdgarBangkok/Edetools/securityproscan2009/moodlefakeav.jpg
Un altro caso e' questo link presente in una pagina di Google Groups
(img sul blog) (http://edetools.blogspot.com/)
che linka a
(img sul blog) (http://edetools.blogspot.com/)
Questo un whois di uno dei siti che distribuisce il falso antivirus
(img sul blog) (http://edetools.blogspot.com/)
Il range IP relativo ai siti che distribuiscono questa applicazione fasulla comprende numerosi altri siti dubbi tra cui anche pagine che distribuiscono i soliti falsi filmati e codecs video fasulli contenenti varianti di malware Zlob.
Il file esegubile scaricato
http://i241.photobucket.com/albums/ff186/EdgarBangkok/Edetools/securityproscan2009/exeicon.jpg
viene poco riconosciuto dagli antivirus presenti in VT
http://i241.photobucket.com/albums/ff186/EdgarBangkok/Edetools/securityproscan2009/vt.jpg
mentre una volta in esecuzione si comporta come il 'vecchio' Antivirus 2009 Protection esaminato qui , di cui probabilmente utilizza gli stessi codici, come si puo' vedere confrontando le videate del software odierno in esecuzione
http://i241.photobucket.com/albums/ff186/EdgarBangkok/Edetools/securityproscan2009/scanner.jpg
con quelle di Antivirus 2009 Protection.
(img sul blog) (http://edetools.blogspot.com/)
Come sempre la rimozione del fake antivirus e' difficoltosa e richiede spesso interventi manuali sia cancellando files che chiavi aggiunte sul file registro.
Il consiglio rimane sempre quello di evitare di installare software di cui non si conosce la provenienza, tanto piu; se proposto automaticamente da qualche pagina web ed inoltre dare una occhiata in rete tramite un motore di ricerca per acquisire qualche info in piu' prima di installare un programma la cui rimozione potrebbe poi comportare notevoli problemi.
Edgar :D
fonte: http://edetools.blogspot.com/