[NEWS] Una homepage certamente particolare

[Edgar Bangkok]

La messa a punto del mio nuovo tool che consente di rendere automatico il download di codici sorgenti delle pagine web indicizzate dai motori di ricerca porta ogni giorno a nuove scoperte.
Quello che vedremo adesso e' uno dei tanti siti che in maniera del tutto nascosta hostano links o , in certi casi, pagine con contenuti in genere porno che linkano quasi sempre a siti che distribuiscono malware sotto forma di falsi codec e plugin video necessari alla visione di falsi filmati hard.
Si tratta del sito di un hotel in Firenze che , nonostante l'apparenza del tutto normale, contiene nella homepage piu' di 500 links a pagine con falso player di filmati porno che in realta' redirige su siti con malware.
La quantita' di collegamenti e' tale che la prima volta che ho visionato il source della homepage pensavo di aver sbagliato a caricare il file html.
Vediamo in dettaglio:
Questa la home page dell'Hotel che , come si vede non evidenzia assolutamente, quello che in realta' contiene oltre al normale codice html.
(immagine sul blog)
Mentre questo e' una piccola parte del codice sorgente contenuto all'interno di questa homepage.
(immagine sul blog)
Quello che vedete nello screenshot e' solo un piccolissimo frammento del codice con links a centinaia di pagine hostate su Eu - Digest.
In dettaglio ecco alcuni dei link estratti dal codice html
(immagine sul blog)
Come si vede sono circa 500 tutti che puntano ad un sito che sembrerebbe un blog USA nel quale siano sta inserite centinaia di pagine con link alla pagina malware Porntube o in alternativa a falso player video.
(immagine sul blog)
Questa una delle centinaia di pagine hostate su Eu Digest, con data recente.
(immagine sul blog)
e questa una pagina per cosi dire , normale sempre di Eu-Digest
(immagine sul blog)
Rimane quindi il dubbio che anche Eu-digest sia stato vittima di un upload nascosto di pagine con link a malware in quanto da info presenti in rete Eu-digest sembrerebbe un blog del tutto normale.
(immagine sul blog)
Cliccando sulla pagina visualizzata da uno dei 500 e piu' links si viene trasferiti a volte sul noto sito porntube, clone di youtube, ma con contenuti hard che per essere visualizzati necessitano del player fasullo contenete malware
(immagine sul blog)
ed altre volte si carica una pagina di falso player video che necessita dell'activex fasullo anche questa volta malware.
(immagine sul blog)
Come di consueto i files pericolosi sono scarsamente riconosciuti dagli antivirus.
Come sempre, e; stata sfruttata anche in questo caso dell'Hotel in Firenze, qualche vulnerabilita' del sito o del server su cui e' hostato e viene confermata la tendenza attuale di uploadare su siti del tutto 'normal' ed in maniera 'nascosta' molti codici con links a siti malware che possono poi essere sfruttati per generare , collegamenti pericolosi che compaiano ai primi posti dei risultati di una pagina di ricerca in rete.
Questa e; solo una delle numerose pagine trovate e delle quali vedremo in seguito altri esempi.

Edgar

fonte: http://edetools.blogspot.com/2008/05...rticolare.html