[NEWS] Utilizzo di MYBLOG.IT per diffondere links a malware , pharmacy ecc...

[Edgar Bangkok]

martedì 18 agosto 2009


AVVISO ! Ricordo che anche se alcuni links sono lasciati in chiaro negli screenshot, evitate di visitare i siti elencati se non avete preso tutte le precauzioni del caso (sandboxie, noscript, pc virtuale ecc....) !!!! dato che alcune delle pagine linkate presentano contenuti con malware attivo o sono comunque di dubbia affidabilita'.

Erano da poco tempo online ma nelle ultime ore sono aumentati di numero, i blog fasulli creati su myblog.it (servizio free gestito da Virgilio) che contengono la loro interno migliaia di links, tutti a siti che propongono dai links a pharmacy sino a pagine che distribuiscono files eseguibili malware. Ecco qualche dettaglio:

Questi i parziali risultati di una attuale ricerca in rete

http://i241.photobucket.com/albums/ff186/EdgarBangkok/edetools%202009%201/myblog/ricerca.jpg

che mostrano una indicizzazione dei blog fasulli avvenuta solo da poche ore da parte del motore di ricerca


Caricando uno di questi blog si nota come si tratti di un blog creato in data odierna

http://i241.photobucket.com/albums/ff186/EdgarBangkok/edetools%202009%201/myblog/blogmagicman.jpg

che esaminato nel sorgente mostra piu' di mille !!! links

http://i241.photobucket.com/albums/ff186/EdgarBangkok/edetools%202009%201/myblog/magicmansource.jpg

a tutti i generi di siti pericolosi o comunque poco affidabili

http://i241.photobucket.com/albums/ff186/EdgarBangkok/edetools%202009%201/myblog/links.jpg

Abbiamo ad esempio questo falso motore di ricerca che propone , anche in lingua italiana, tutti i generi di siti di pharmacy

http://i241.photobucket.com/albums/ff186/EdgarBangkok/edetools%202009%201/myblog/link1listalinksancheit.jpg

oppure questo link a falso sito di filmati porno
(img sul blog)
in diverse versioni

http://i241.photobucket.com/albums/ff186/EdgarBangkok/edetools%202009%201/myblog/obfumultivideo.jpg

che propone il download di un eseguibile visto da VT come
(report vt sul blog)
tra l'altro con riconoscimento abbastanza basso.

Siamo quindi di fronte ad un nuovo tentativo, ben riuscito, di utilizzare un servizio free , che evidentemente presenta qualche punto debole a livello di gestione dei blog (creazione o modifica del singolo blog) o che comunque permette l'inserimento di links in maniera massiccia (qualche migliaio) all'interno dei blogs creati.

Un test di registrazione come nuovo utente da' al momento un risultato di non disponibilita' del servizio,
(img sul blog)
ma non e' chiaro se cio' sia legato al problema dei falsi blog o sia solo un momentaneo periodo di OFFline del servizio.

Edgar :D

fonte: http://edetools.blogspot.com/2009/08/utilizzo-di-myblogit-per-diffondere.html

[Edgar Bangkok]

mercoledì 19 agosto 2009

AVVISO ! Ricordo che anche se alcuni links sono lasciati in chiaro negli screenshot, evitate di visitare i siti elencati se non avete preso tutte le precauzioni del caso (sandboxie, noscript, pc virtuale ecc....) !!!! dato che alcune delle pagine linkate presentano contenuti con malware attivo e poco riconosciuto.


Continua numerosa la presenza su MYBLOG.IT di pagine create appositamente per diffondere links a siti malware, pharmacy o comunque di dubbia affidabilita'

Ecco alcuni ulteriori dettagli sul sistema di links nascosti presenti a centinaia nelle pagine blog create di recente
I link presenti sui 'fake blogs' come primo passaggio redirigono su questo sito ( dominio PL) hostato su

http://i241.photobucket.com/albums/ff186/EdgarBangkok/edetools%202009%201/myblog/redirectwhois.jpg

che presenta centinaia di pagine come questa

http://i241.photobucket.com/albums/ff186/EdgarBangkok/edetools%202009%201/myblog/redirectpl2009-08-19_082748.jpg

che in maniera automatica (javascripts) puntano a differenti siti tutti 'rigorosamente' con contenuti pericolosi, o in alternativa con pagine di falsi motori di ricerca che propongono siti di pharmacy, siti di vendita di video hard ecc...

E' importante ricordare che linkandosi a questi siti viene quasi sempre eseguito un controllo dell'IP di provenienza del visitatore e di conseguenza modificata la risposta da parte del sito che distribuisce i links che per certi ranges IP propone solamente una pagina di falso motore di ricerca.

Vediamo ora alcuni nuovi ed aggiornati esempi di quanto e' possibile scaricare seguendo i collegamenti presenti in maniera nascosta sui falsi blog:

Questo falso sito (whois Olanda) di filmati hard (anche in questo caso con attivato il riconoscimento dell'IP di provenienza e conseguente download attivo solo per determinati ranges)

http://i241.photobucket.com/albums/ff186/EdgarBangkok/edetools%202009%201/myblog/hardtube.jpg

Il falso codec (scaricato da server tedesco) risulta essere ad una analisi VT

http://i241.photobucket.com/albums/ff186/EdgarBangkok/edetools%202009%201/myblog/vthardtube.jpg

anche questa volta sempre poco riconosciuto.

Ecco ancora un nuovo player online

http://i241.photobucket.com/albums/ff186/EdgarBangkok/edetools%202009%201/myblog/2tubedirect.jpg

con eseguibile proposto come Flash plugin , che ad una analisi VT risulta essere
(report VT sul blog)

Ancora un altro esempio di player che copia il layout di player in alta definizione (HD)

http://i241.photobucket.com/albums/ff186/EdgarBangkok/edetools%202009%201/myblog/3hddownload.jpg

con un eseguibile (scaricato da server con Spagna) e visto da VT come
(report VT sul blog)

Come si vede, un completo campionario, aggiornato in tempo reale, di quanto di meglio si puo' trovare in rete al fine d distribuire malware e con eseguibili che quasi sempre mutano il loro codice frequentemente allo scopo di evitare il riconoscimento da parte dei softwares AV.

Ricordo inoltre che, anche nei casi visti ora, lo scopo finale di queste inclusioni di links in maniera nascosta e' sempre quello di favorire l'indicizzazione delle centinaia di collegamenti presenti per proporli ai primi posti dei risultati di una ricerca in rete mentre per chi visitasse questi blog non sembrerebbero, almeno al momento, esserci problemi , in quanto tutti i links al sito PL di redirect risultano invisibili al visitatore e non cliccabili.

Edgar :D

fonte: http://edetools.blogspot.com/2009/08/utilizzo-di-myblogit-per-diffondere_19.html