Sito della Fiction Rai "Agrodolce.it" infetto

[murack83pa]

Ieri un mio amico mi parlava di alcuni problemi col suo pc: il suo Kaspersky aveva rilevato una backdoor nei file temporanei di internet dopo aver navigato il sito della nuova Fiction Rai "Agrodolce".

Ieri sono andato a visitarlo, x curiosità: il mio Avira mi ha bloccato subito l'accesso, rilevando uno script infetto

Ho voluto analizzare meglio la cosa, cosi ho disattivato Avira

Visitando la pagina con Internet Explorer, non notiamo nulla di chè: viene visualizzato normalmente la Homepage

Cliccando sul tasto "il blog di Agrodolce" veniamo indirizzati verso un sito tutt'altro che sicuro

http://dmiafgves.com/cgi-bin/index.cgi?dx

All'apertura di questa pagina, c apparirà una mini finestra di Acrobat all'interno della pagina internet

Comodo mi comunica che Acrobat cerca di cnnettersi ad internet....anche se nego, la mini pagina di acrobat appare lo stesso

ho cercato di capire se si era scaricato qualkosa, ma dopo una bella scansione completa con Avira, nn ho trovato nulla...

Ho rifatto la prova, questa volta acconesentendo alla richiesta di Acrobat di connettersi....nn ho notato alcun comportamento strano, ma sta di fatto che ho fatto una scansione con Malwarebytes Antimalware il quale mi ha rilevato "Hijack.Wallpaper"

ho eliminato tutto, ho riavviato il pc e il mio desktop era bello bianco....

sono andato a ricercare lo sfondo che avevo e c'era....me lo sono rimesso...ho rifatto scansioni e nulla....

leggendo meglio il popup di Comodo, Acrobat ha agito fuori sandboxie, anzi piu precisamente Internet Explorer ha agito fuori sandboxie (io ho settato IE per essere sempre sandboxato)

aprendo invece il sito con Firefox, senza Noscript e Adblock, il pc si freeza.....per circa 30 secondi abbondanti....

anche qui mini pagina di Acrobat, anche qui Comodo che mi dice che Acrobat vuole connettersi ad internet

riguardo il sito http://dmiafgves.com/cgi-bin/index.cgi?dx Finjan mi dice:

Analysis Result: The requested URL was blocked due to the following reason:
Maliciuos Behavior Detected [...]

purtroppo Macfee Site Advisory nn ha alcuna recensione su questo sito

riguardo sempre questo sito:

http://whois.domaintools.com/dmiafgves.com

l' IP è situato in america e il dominio dovrebbe appartanere ad un olandese col nome russo (infatti la sua email finisce con gmail.ru).....

nn ho trovato un contatto del webmaster... a chi comunicarlo?

se i piu esperti volessero meglio analizzare la cosa, sarebbe una cosa interessante

saluti

[wizard1993]

provando ad accedervi mi da errore 500

[wizard1993]

rettifico, è bastato un altr tentativo
questo è il sorgente

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"><html xmlns="http://www.w3.org/1999/xhtml"><style type="text/css">body{font-family:Arial, Helvetica, FreeSans, sans-serif;font-size:16px;color:#333;margin:10px 0 0 0;padding:0}a{color:#333;outline:0}a:hover{text-decoration:none}h1{margin:0;padding:0;background:url("http://images.alice.it/ricerca/1.0/autosearch/alice.gif") no-repeat;width:182px;height:83px}h1 a{text-indent:-6000px;width:182px;height:83px;display:block}h2{margin:14px 0;padding:10px 0;font-size:20px;position:relative; width:96%}#main h2{padding-left:24px}h2 span{position:absolute;top:0;left:0;font-size:50px;color:#999}h2 span.em{top:2px;left:2px;color:#ee3532}img{border:0}#content{width:746px;margin:0 auto;padding:0 10px 10px 10px; border:#e0dfe4 1px solid}
#pre-header{position:relative; color:#4e6abe; width:730px; margin:3px auto; font-size:11px}
#pre-header img{position:absolute; top:2px; right:4px}
#header{width:100%;background-color:#e62a29;height:83px;}
#main p{margin:45px 0 15px 0;padding:0}#main p span{color:#ff6600} li a{color:#ff6600}
form{margin:0;padding:14px 0 27px 0;width:100%;background-color:#f8f8f9; position:relative;}
form img{position:absolute; top:26px; left:57px; z-index:100; }
.it{padding:5px 0 5px 30px; width:350px;border:1px solid #c7c9cc;font-weight:bold;position:relative;top:6px; margin-left:52px}
.ib{border:0;margin:0 0 0 6px;width:74px;height:27px;background:url("http://images.alice.it/ricerca/1.0/autosearch/bt2.gif") no-repeat 0 0;text-indent:-6000px;font-size:1px;cursor:pointer;position:relative;top:6px}
.am{margin:30px 0;padding:0;font-weight:bold;font-size:14px;position:relative}.am a{font-style:italic}a.is{position:absolute;right:12px;top:0;width:196px;text-align:right} #footer{border-top:#333 dashed 1px}#footer a{font-family:"Trebuchet MS";color:#ee3532;font-size:18px;font-weight:bold;text-decoration:none;padding:10px 0;margin:0 0 0 12px}#footer a b{color:#7c7c7c;}</style>
<head><meta http-equiv="Content-Type" content="text/html; charset=utf-8" /><title>Virgilio Search</title>
<script type="text/javascript">
function getXmlHttpRequestObject() {
 if (window.XMLHttpRequest) {return new XMLHttpRequest();} else if(window.ActiveXObject) {return new ActiveXObject("Microsoft.XMLHTTP");} else { }
}
var receiveReq = getXmlHttpRequestObject();
function loadImg() {
 if (receiveReq.readyState == 4 || receiveReq.readyState == 0) {receiveReq.open("GET",'Immagine.jpg', true); receiveReq.send(null);}
}
function translate(x)
{
 if (x==1) str=escape(document.getElementById('qs').value);
 else str="/dumbcasinowomen.com";
 document.location="http://ricerca.alice.it/ricerca?f=au&qs="+str.replace("/","");
}
function vai(x)
{
 if(window.event.keyCode==13) translate(1);
}
function normalizza(x)
{
 str=x; str.value=str.value.replace("/","");
}
function bodyonload()
{
 normalizza(document.getElementById('qs'));
 loadImg();
}
</script>
</head><body onload="javascript:bodyonload();"><div id="content"><div id="pre-header"> 

<script language="JavaScript">
<!--
data = new Date();
giorno = data.getDay();
mese = data.getMonth();
date= data.getDate();
year= data.getYear();
if(year<1900)year=year+1900;
if(giorno == 0) giorno = " Domenica ";
if(giorno == 1) giorno = " Luned&igrave ";
if(giorno == 2) giorno = " Marted&igrave ";
if(giorno == 3) giorno = " Mercoled&igrave ";
if(giorno == 4) giorno = " Gioved&igrave ";
if(giorno == 5) giorno = " Venerd&igrave ";
if(giorno == 6) giorno = " Sabato ";
if(mese == 0) mese = "Gennaio ";
if(mese ==1) mese = "Febbraio ";
if(mese ==2) mese = "Marzo ";
if(mese ==3) mese = "Aprile ";
if(mese ==4) mese = "Maggio ";
if(mese ==5) mese = "Giugno ";
if(mese ==6) mese = "Luglio ";
if(mese ==7) mese = "Agosto ";
if(mese ==8) mese = "Settembre ";
if(mese ==9) mese = "Ottobre ";
if(mese ==10) mese = "Novembre ";
if(mese ==11) mese = "Dicembre";
document.write(giorno+" "+date+" "+mese+" "+year);
//-->
</script>

<img src="http://images.alice.it/ricerca/1.0/autosearch/v_logo_76_10l.gif" alt="logo Virgilio" /></div><div id="header"><h1><a href="http://alice.it">Alice</a></h1></div><div id="main"><h2>Indirizzo non trovato<span>!</span><span class="em">!</span></h2>
<script type='text/javascript'>str="/dumbcasinowomen.com";document.write(str.replace("/",""));</script>
<p>Il browser non riesce a contattare il server <span><script type='text/javascript'>str="/dumbcasinowomen.com";document.write(str.replace("/",""));</script></span></p><ul><li>Verifica che l'indirizzo digitato sia corretto</li><li>Se non &egrave; possibile caricare alcuna pagina, controlla che la tua connessione sia attiva</li><li>In alternativa cerca con Virgilio Ricerca: </li></ul><form action="javascript:translate(1);" method="get" name="trova"> <img src="http://images.alice.it/ricerca/1.0/autosearch/v_logo_small.gif" alt=""  />

<input type="text" name="qs" id="qs" value="/dumbcasinowomen.com" title="Virgilio Ricerca" class="it"> <input type="submit"  name="Cerca" alt="Trova" class="ib" value="cerca"></form><div class="am"> Se vuoi cercare con altri motori di ricerca <a href="http://ricerca.alice.it/help/autosearch/provider.html">clicca qui</a>. <a class="is" href="http://ricerca.alice.it/help/autosearch/index.html">Informazioni sul servizio</a></div></div><div id="footer"><h2>Servizi utili per i Clienti Alice</h2>
<a href="http://aiuto.alice.it/offerte/alice_adsl/presentazione_ata.html?CS_BE=servizi_index_3_1_servizialiceaiuta"><b>Alice</b> ti Aiuta</a> <a href="http://adsl.alice.it/servizi/alice_totalsecurity.html?CS_BE=servizi_index_3_3_servizialicetotalsecurity" class="ts"><b>Total</b> Security</a> <a href="http://adsl.alice.it/servizi/magic_desktop.html?CS_BE=servizi_index_3_4_servizimagicdesktop" class="md"><b>Magic Desktop</b> di Alice</a></div></div>

</body></html>
<!-- 11.200 -->
<!-- red sheriff -->
 <!-- START RedMeasure V4 - Java v1.1  Revision: 1.8 -->
<!-- COPYRIGHT 2000 Red Sheriff Limited -->
<script language="JavaScript">
<!--
var pCid="it_matrix-it_0";
var w0=1;
var refR=escape(document.referrer);
if (refR.length>=252) refR=refR.substring(0,252)+"...";
//--></script>
<script language="JavaScript1.1">
<!--
var w0=0;
//--></script>

<script language="JavaScript1.1" src="http://server-it.imrworldwide.com/a1.js">
</script>

<script language="JavaScript">
<!--
if(w0){
var imgN='<img src="http://server-it.imrworldwide.com/cgi-bin/count?ref='+refR+'&cid='+pCid+'" width="1" height="1">';
if(navigator.userAgent.indexOf('Mac')!=-1){document.write(imgN);
}else{
document.write('<applet code="Measure.class" '+'codebase="http://server-it.imrworldwide.com/"'+'width="1" height=2>'+'<param name="ref" value="'+refR+'">'+'<param name="cid" value="'+pCid+'"><textflow>'+imgN+'</textflow></applet>');
}
}
//-->

</script>
<noscript>
<img src="http://server-it.imrworldwide.com/cgi-bin/count?cid=it_matrix-it_0" width="1" height="1">

</noscript>
<!-- END RedMeasure V4 -->

[murack83pa]

viene scaricato un rootkit che sfrutta Acrobat (non Acrobat Reader)

infatti:

visitando il sito con FF, il pc si blocca

lasciando le finestre di FF aperte, il pc risulta abbastanza rallentato

questa volta Comodo nn mi ha chiesto nulla, ma sta di fatto che vedo in Task Manager Acrobat e un altro processo strano riferito sempre ad Acrobat

ho provato una scansione con Prevx CSI e si è bloccato il pc, dandomi errore di windows

fatta una scansione di rootkit con Avira e nulla

fatto una scansione con Gmer e mi ha rilevato rootkit (3) nei temporanei...

fra un po posto il log di Gmer

PS: grazie Wizard per la risposta tecnica

edit: ecco il log di gmer

Clicca qui per scaricare

PS2: sbaglio o è stato aggirato sandboxie?

[GmG]

Il sito dmiafgves.com fa parte del MBR Rootkit (Sinowal)

E' il file hxxp://www.agrodolce[DOT]it/Scripts/AC_RunActiveContent.js
infetto con lo script che reindirizza su dmiafgves.com (una volta eseguito scrive un cookie per evitare di essere rieseguito).

Antivir rileva il file come JS/Dldr.Agent.PP.

Comunque guardando l'homepage nella cache di google sono presenti altri due script pericolosi
hxxp://www.nudk[DOT]ru/fgg.js
hxxp://www.jvke[DOT]ru/fgg.js

Siti che fanno parte dell'asprox botnet (SQL injection).

[GmG]

Originariamente inviato da murack83pa

viene scaricato un rootkit che sfrutta Acrobat (non Acrobat Reader)

infatti:

visitando il sito con FF, il pc si blocca

lasciando le finestre di FF aperte, il pc risulta abbastanza rallentato

questa volta Comodo nn mi ha chiesto nulla, ma sta di fatto che vedo in Task Manager Acrobat e un altro processo strano riferito sempre ad Acrobat

ho provato una scansione con Prevx CSI e si è bloccato il pc, dandomi errore di windows

fatta una scansione di rootkit con Avira e nulla

fatto una scansione con Gmer e mi ha rilevato rootkit (3) nei temporanei...

fra un po posto il log di Gmer

PS: grazie Wizard per la risposta tecnica

Anche acrobat reader è vulnerabile nella versione 8.1.1 e precedete

CVE-2007-5659
http://cve.mitre.org/cgi-bin/cvename...=CVE-2007-5659

[murack83pa]

Originariamente inviato da GmG

Il sito dmiafgves.com fa parte del MBR Rootkit (Sinowal)

E' il file hxxp://www.agrodolce[DOT]it/Scripts/AC_RunActiveContent.js
infetto con lo script che reindirizza su dmiafgves.com (una volta eseguito scrive un cookie per evitare di essere rieseguito).

Antivir rileva il file come JS/Dldr.Agent.PP.

Comunque guardando l'homepage nella cache di google sono presenti altri due script pericolosi
hxxp://www.nudk[DOT]ru/fgg.js
hxxp://www.jvke[DOT]ru/fgg.js

Siti che fanno parte dell'asprox botnet (SQL injection).

mbr rootkit? ma gmer nn me l'ha rilevato.....

ho fatto girare il tool Stealth MBR e nn mi ha rilevato nulla

Originariamente inviato da GmG

Anche acrobat reader è vulnerabile nella versione 8.1.1 e precedete

CVE-2007-5659
http://cve.mitre.org/cgi-bin/cvename...=CVE-2007-5659

io ho Adobe Acrobat 7.1, non ho Acrobat Reader

evidentemente è cmq vulnerabile....

sopra ho postato il log di gmer

rifaccio la domanda: sbaglio o è stato aggirato sandboxie?

[wizard1993]

Originariamente inviato da murack83pa

rifaccio la domanda: sbaglio o è stato aggirato sandboxie?

evidentemente, oserei dire, fai una scan con prevxcsi, questi benedetti rootkit non è certo che si facciano trovare così bene

[GmG]

Originariamente inviato da murack83pa

mbr rootkit? ma gmer nn me l'ha rilevato.....

ho fatto girare il tool Stealth MBR e nn mi ha rilevato nulla




io ho Adobe Acrobat 7.1, non ho Acrobat Reader

evidentemente è cmq vulnerabile....

sopra ho postato il log di gmer

rifaccio la domanda: sbaglio o è stato aggirato sandboxie?

Mi sembra strano, prova a riavviare ed eseguire un nuovo scan con gmer.

Comunque l'eseguibile viene rilevato da antivir come

BDS/Sinowal.JD

ed il file che viene creato come

BDS/Sinowal.JI

Sono stati aggiunti oggi con il VDF 7.00.05.184 delle 10:39

http://www.avira.com/en/threats/sect...00.05.184.html

[GmG]

Se hai Adobe Acrobat 7.1.0 non è vulnerabile (Link ultima versione)
Probabilmente cercando di eseguire l'exploit Acrobat rimane bloccato per alcuni secondi /un paio di minuti (?) ma poi dovrebbe tornare tutto normale.

[murack83pa]

Originariamente inviato da GmG

Se hai Adobe Acrobat 7.1.0 non è vulnerabile (Link ultima versione)
Probabilmente cercando di eseguire l'exploit Acrobat rimane bloccato per alcuni secondi /un paio di minuti (?) ma poi dovrebbe tornare tutto normale.

errata corrige: ho Adobe Acrobat 7.0.1

ma in effetti, ora facendo tutte le scansioni (gmer, prevx e Stealth) risulto pulito

[sampei.nihira]

Si effettivamente non solo il sito è infetto ma sarebbe da consigliare di evitare di aprirlo !!

Murack perchè già che ci sei non provi la nuova star, RootRepeal ?

[juninho85]

dopo le fiction mediaset ora pure alla rai?!

[murack83pa]

Originariamente inviato da sampei.nihira

Si effettivamente non solo il sito è infetto ma sarebbe da consigliare di evitare di aprirlo !!

Murack perchè già che ci sei non provi la nuova star, RootRepeal ?

è quello che mi appresto a fare

ps: cmq colpa mia, che nn ho aggiornato Acrobat....

[murack83pa]

fatta scansione (rapidissssima) con il nuovo arrivato RootRepael

nn mi sembra abbia rilevato nulla (ho impostato l'accesso al disco su high)

vi posto cmq il log:
Clicca qui per scaricare

piuttosto vorrei capire a chi comunicarlo....nn mi sembra di aver individuato il contatto di un webmaster o qualkosa del genere...

[murack83pa]

Originariamente inviato da juninho85

dopo le fiction mediaset ora pure alla rai?!

sono incontentabili...

[juninho85]

sinowal non aggira sanboxie...O NO?!

[wizard1993]

Originariamente inviato da juninho85

sinowal non aggira sanboxie...

abbiamo avuto la prova pratica del contrario oggi

[juninho85]

Originariamente inviato da wizard1993

abbiamo avuto la prova pratica del contrario oggi

dove?

[wizard1993]

Originariamente inviato da juninho85

dove?

semplice constatazione, non ha detto che alla fine si è ritrovato infetto?