|
|||||||
|
|
|
 |
|
|
Strumenti |
26-04-2008, 03:37
|
#1 |
|
Senior Member
Iscritto dal: Sep 2007
Messaggi: 467
|
[NEWS] Recente javascript presente su altre pagine .it
26 aprile 2008
La presenza del javascript pericoloso sul sito “Le chicche di Cala” , peraltro prontamente bonificato, ha posto il dubbio che esistessero altre pagine in rete con il medesimo problema. Il test e' stato fatto eseguendo una ricerca con il mio tool Webscanner sul medesimo IP del sito di Cala. La ricerca ha individuato un altro sito vvv.mrprofit.it che contiene nella pagina di avvio lo script pericoloso. Come si vede dai risultati chi si connette al sito non puo' vedere lo script in quanto la pagina iniziale redirige su magazine/default.php appena viene caricata. (immagine sul blog) Nello screenshot potete vedere il frammento di codice javascript che ho utilizzato per la ricerca confrontato con quello che era presente sul sito di Cala. Sarebbe ora interessante estendere la ricerca al altri range IP, magari del medesimo hoster italiano, per verificare se esistono altri siti con il problema visto. Edgar  fonte: http://edetools.blogspot.com/2008/04...icerca-di.html |
|
|
|
26-04-2008, 05:17
|
#2 |
|
Senior Member
Iscritto dal: Sep 2007
Messaggi: 467
|
Aggiornamento scansione
Sto estendendo la scansione del range IP ed al momento parrebbero essere compromessi altri 6 siti ma c'e' da rilevare che per ora siamo solo ad una piccola percentuale di pagine analizzate sul totale hostato nel range , che penso raggiunga qualche migliaio di siti.
Questi i siti che danno positivita', al frammento di codice javascript visto prima, nel parziale report di Webscanner, tra cui ad esempio abbiamo il sito della cantante e showgirl italiana Sabrina Salerno (immagine del report sul blog) Inoltre, visto che sembra di essere come a pesca, nella rete di Webscanner, e rimasto anche 'impigliato' questo sito vvv.fondiesicav.info che presenta codice offuscato definito dal NOD32 come trojan downloader. Per chi volesse analizzare gli script raccomando sempre la massima attenzione in quanto si tratta di codici potenzialmente pericolosi. Edgar
Ultima modifica di Edgar Bangkok : 26-04-2008 alle 05:52. |
|
|
|
|
26-04-2008, 07:48
|
#3 |
|
Senior Member
Iscritto dal: Oct 2007
Città: Roma
Messaggi: 9809
|
ma perchè vvv. e non www. ???
per evitare che sia linkabile uhm... |
|
|
|
|
26-04-2008, 08:25
|
#4 |
|
Senior Member
Iscritto dal: Sep 2007
Messaggi: 467
|
Esatto
Visto che non si tratta di link del tutto sicuri ... per evitare eventuali links non voluti e' sempre meglio alterare l'url
 Edgar |
|
|
|
|
26-04-2008, 10:52
|
#5 | |
|
Bannato
Iscritto dal: Oct 2007
Città: Palermo
Messaggi: 4623
|
Quote:
il webguard di avira nn ha dato segno... xò quando ho abilitato lo script della pagina con ff, si è avviato java... se ho cpt bene (scusate la mia ignoranza), dovrebbe compararire quel codice %64.....giusto? o no? perchè io l'ho cercato nella homepage ma nn c'era... 
|
|
|
|
|
|
26-04-2008, 11:17
|
#6 |
|
Senior Member
Iscritto dal: Jan 2007
Messaggi: 308
|
E' la gang del MBR rootkit!
Attenzione quindi
__________________
maipiugromozon.blogspot.com |
|
|
|
|
26-04-2008, 11:26
|
#7 | |
|
Bannato
Iscritto dal: Oct 2007
Città: Palermo
Messaggi: 4623
|
Quote:
forse con ff è bloccato, e solo con internet explorer si installa il trojan mebroot... a questo proposito mi ricordo ai tempi della destra.info che chi aveva, mi sembra, firefox, anche senza no script, nn si infettava...se ricordo bene... ps: forse è stato rimosso? almeno su vvv.mrprofit.it infatti ero in account limitato con sandboxie.....cmq per si e per no ho riavviato e fatto il controllo con lo stealth della gmer ed è tutto ok
Ultima modifica di murack83pa : 26-04-2008 alle 11:28. |
|
|
|
|
|
26-04-2008, 11:44
|
#8 | |
|
Senior Member
Iscritto dal: Sep 2007
Messaggi: 467
|
codice
Quote:
in pratica abbiamo mrprofit.it (con il java) che carica ----> a sua volta magazine/default.php senza il codice java Se vuoi visualizzare il codice scegli una delle altre pagine che vedi sull elenco nel blog ma attento che contengono il codice java probabilmente ancora attivo e pericoloso Edgar |
|
|
|
|
|
26-04-2008, 11:46
|
#9 | |
|
Bannato
Iscritto dal: Oct 2007
Città: Palermo
Messaggi: 4623
|
Quote:
 piu tardi provo e complimenti x il lavoro, molto importante, che fai, grazie 
|
|
|
|
|
|
26-04-2008, 15:16
|
#10 |
|
Bannato
Iscritto dal: Sep 2006
Città: Non vivo da nessuna parte
Messaggi: 347
|
Access to the URL has been denied!
Warning: The content of this website is part of a unwanted category: Malware Requested URL: http://www.chicchedicala.it/ Generated by AntiVir WebGuard 8.0.13.0, WCDB 7.0.426.1230 se vado sul sito chicche di cala ottengo ancora questo messaggio sia con firefox che con IE ed ho svuotato la cache dei browser e questo nonostante che il sito sia o dovrebbe essere bonificato |
|
|
|
|
26-04-2008, 16:50
|
#11 |
|
Senior Member
Iscritto dal: Oct 2007
Città: Roma
Messaggi: 9809
|
ma un attimo: su avira ho visto che c'è qualche protezione che di default non è attiva. non è che attivandola poi può far qualcosa?
|
|
|
|
|
28-04-2008, 08:36
|
#12 |
|
Senior Member
Iscritto dal: Mar 2006
Messaggi: 22121
|
__________________
Questa opera è distribuita secondo le regole di licenza Creative Commons salvo diversa indicazione. Chiunque volesse citare il contenuto di questo post deve necessariamente riportare il link originario. |
|
|
|
|
28-04-2008, 08:40
|
#13 | |
|
Bannato
Iscritto dal: Mar 2004
Città: Galapagos Attenzione:utente flautolente,tienilo a mente
Messaggi: 29033
|
Quote:
|
|
|
|
|
|
|
| Strumenti | |
|
|
Tutti gli orari sono GMT +1. Ora sono le: 11:12.
