HEUR:Trojan.Script.Iframer su hwupgrade.it

[igiolo]

Salve,
è tutto il gg che il motore euristico di kaspersky mi segnala

HEUR:Trojan.Script.Iframer

su un ads del sito


http://adsy.publy.it/www/delivery/afr.
php?zoneid=500&cb=INSERT_RANDOM_NUMBER_H
ERE&ct0=http://adclick.g.doubleclick.net/
aclk%253Fsa%253DL%2526ai%253DBx_iHPhQDT-
ClMtHD0AWK0pHEBva2xogCAAAAEAEg_s2qDjgAWO
ad4eIjYP3y_IPcELIBEHd3dy5od3VwZ3JhZGUuaX

Che dite falso allarme vero?
saluti

[GmG]

Originariamente inviato da igiolo

Salve,
è tutto il gg che il motore euristico di kaspersky mi segnala

HEUR:Trojan.Script.Iframer

su un ads del sito


http://adsy.publy.it/www/delivery/afr.
php?zoneid=500&cb=INSERT_RANDOM_NUMBER_H
ERE&ct0=http://adclick.g.doubleclick.net/
aclk%253Fsa%253DL%2526ai%253DBx_iHPhQDT-
ClMtHD0AWK0pHEBva2xogCAAAAEAEg_s2qDjgAWO
ad4eIjYP3y_IPcELIBEHd3dy5od3VwZ3JhZGUuaX

Che dite falso allarme vero?
saluti

No. Nel file c' è uno script maligno [sito].in/stream?1 che reindirizza ad un sito con vari exploit java, pdf e scarica il trojan zbot
http://www.virustotal.com/file-scan/...2d9-1325590599

[sampei.nihira]

GmG il link di VT è inefficiente.
*** Contrordine adesso è OK. ***
Il blocco dei contenuti di Opera previene il tutto.

[Paolo Corsini]

Grazie della segnalazione; sembra essere legato ad un servizio banner esterno. Stiamo indagando

[GmG]

Originariamente inviato da sampei.nihira

GmG il link di VT è inefficiente.
*** Contrordine adesso è OK. ***
Il blocco dei contenuti di Opera previene il tutto.

Link sistemato

[sampei.nihira]

Originariamente inviato da GmG

Link sistemato

A mi pareva......più veloce della luce !!

[igiolo]

a tutt'ora rompe ancora..hmm...sfrutta cosa,giusto per far capire a me mortale?
Così imparo qualcosa..

riposto nel caso kaspersky mi ridia allarmi.
ciao

[igiolo]

no c'è ancora qualche banner malizioso

http://adsy.publy.it/www/delivery/af...l%253D//packed

su + pagine diverse..

[sampei.nihira]

Originariamente inviato da igiolo

no c'è ancora qualche banner malizioso

http://adsy.publy.it/www/delivery/af...l%253D//packed

su + pagine diverse..

Premesso che ovviamente ciò non dovrebbe accadere (in teoria) in pratica si verifica ovviamente molto poco, più il sito web è controllato, occorre per gli utenti prendere sempre delle contromisure.
Noterai che con Opera + il blocco dei contenuti,in questo caso la minaccia è bloccata sul nascere.
Non ho verificato con altri browser.
Noterai inoltre che il browser è sotto tutela sandboxie.......:



Uploaded with ImageShack.us

[GmG]

Originariamente inviato da igiolo

a tutt'ora rompe ancora..hmm...sfrutta cosa,giusto per far capire a me mortale?
Così imparo qualcosa..

riposto nel caso kaspersky mi ridia allarmi.
ciao

Praticamente la pagina che viene caricata oltre a mostrare il banner carica anche un javascript da un sito maligno che cerca di identificare il software in uso e relative versioni di :

browser (Firefox, Internet explorer, etc.)
Plugin quali Oracle Java, Adobe Reader, Adobe Flash player
Sistema operativo

per sfruttare falle nei suddetti software per eseguire un programma maligno.

In generale le vulnerabilità più sfruttate recentemente sono

per JAVA CVE-2011-3544 (JRE 7 / JRE 6 Update 27 e versioni precedenti)

per Flash Player CVE-2011-2140 / CVE-2011-2110 / CVE-2011-0611 (versione 10.3.183.5 e precedenti)

Se hai le versioni più recenti di browser e plugin puoi stare relativamente al sicuro.

Il sito in questione sfrutta vulnerabilità per java (penso la CVE-2011-3544), pdf (ma non so che versioni di Adobe Reader), windows mdac (vecchissima vulnerabilità risolta con patch già nel 2006) e probabilmente altre

[Chill-Out]

Occhiata veloce <iframe src="hxxp://yahti.in/stream?1" name="Twitter"

sbaglio o vai dritto su Twitter ?

[GmG]

Originariamente inviato da Chill-Out

Occhiata veloce <iframe src="hxxp://yahti.in/stream?1" name="Twitter"

sbaglio o vai dritto su Twitter ?

la prima volta che viene richiamato rimanda a

tr12909.uni[DOT]me/i/fors-gloom
g1omx313559.uni[DOT]me/i/fors-gloom

Poi se viene richiamato reindirizza su Twitter.

[Chill-Out]

Originariamente inviato da GmG

la prima volta che viene richiamato rimanda a

tr12909.uni[DOT]me/i/fors-gloom
g1omx313559.uni[DOT]me/i/fors-gloom

Poi se viene richiamato reindirizza su Twitter.

Al momento

HTTP 404 NOT FOUND

[GmG]

Pare che adsy.publy[dot]it/www/delivery/afr.php sia stato ripulito.

Non contiene più lo script a yahti[dot]in/stream?1

[Chill-Out]

Originariamente inviato da GmG

Pare che adsy.publy[dot]it/www/delivery/afr.php sia stato ripulito.

Non contiene più lo script a yahti[dot]in/stream?1

Si, l'iframe è sparito

[igiolo]

ci siamo ancora a dietro..


http://www.securelist.com/en/descrip...Script.Iframer



sempre adsy.it

[GmG]

Confermo ho informato Paolo Corsini

Iframe malevolo contenuto in afr.php
trafficprogress[DOT]org/stream?1

che reiderizza a noavastandsophosandfuckoffallavs[DOT]uni[DOT]me/[...]

[Unax]

127.0.0.1 adsy.publy.it

[igiolo]

Originariamente inviato da GmG

Confermo ho informato Paolo Corsini

Iframe malevolo contenuto in afr.php
trafficprogress[DOT]org/stream?1

che reiderizza a noavastandsophosandfuckoffallavs[DOT]uni[DOT]me/[...]

cioè lo scopo?
Noavast ecc?

[GmG]

E' il nome del sito malevolo.
A volte i cybercriminali prendono in giro le compagnie di antivirus con vari messagi in esegubili, script, nomi di file e di siti etc.
come in questo caso