[NEWS] Logid83(dot)com

[Edgar Bangkok]

31 maggio 2008

Sfogliando i numerosi siti ancora compromessi su dominio .it segnalo questo script con link a logid83(dot)com che contiene script sicuramente pericolosi

La particolarita' di questo indirizzo a cui punta lo script e' che non sembrerebbe praticamente indicizzato da motori di ricerca in quanto. ad esempio una ricerca su google. porta a questo risultato.
(img sul blog)
Al momento non sembrerebbero esserci siti che contengono il link a logid83 al di fuori di questo che vedete su dominio .it
Anche una ricerca su siti di blacklist di indirizzi da bloccare non porta a trovare riferimenti a logid83.com.
(img sul blog)
Logid83 e presente comunque anche sul sito della casa-museo del noto direttore di orchestra italiano Arturo Toscanini
(img sul blog)
che al suo interno mostra oltre ai numerosi links a adw95 un solo collegamento a logid83
(img sul blog)
Una analisi della homepage dimostra infatti la presenza oltre che a decine di links a adw95. al momento inattivo. a due soli links a logid83
Un report complessivo del sito mostra comunque la solita grande quantita' di scripts scaricati sul sito.
(img sul blog)
Ma relativamente pochi (2 per pagina ) sono i links a logid83(dot)com.
(img sul blog)
Lo script che punta a logid83 carica a sua volta un altro script che reindirizza a refer68(dot)com
Sia logid83 che sono hostati su domini hostati su probabile botnet in fastflux come si vede da un nslookup che mostra un TTL di soli 10 minuti
(img sul blog)
Anche in questo caso fastflux ed indirizzi ip che variano in continuazione.
(img sul blog)

Edgar

fonte: http://edetools.blogspot.com/

[Edgar Bangkok]

Logid83(dot)com (aggiornamento)

Visitando oggi il sito di cui ho scritto in precedenza, e ricaricando lo script hostato da Logid83(dot)com e' cambiato il link a cui punta.

Questo lo script ieri

(img sul blog)
e questo attualmente
(img sul blog)
Si nota quindi come oltre ad utilizzare la tecnologia botnet fastflux questi siti contengano script che vengono frequentemente modificati per aumentarne l'efficacia nel distribuire malware.

Refer68(dot)com e' comunque sempre attivo ma in ogni caso il tentativo di caricare piu' volte questo links non e' possibile in quanto dopo la prima volta che viene caricata la pagina per le successive si viene reindirizzati su MSN.com in quanto probabilmente viene salvato l'IP di chi 'visita' la pagina.
A riprova di questo usando un proxy e ricaricando refer86 si ritorna sulla pagina iniziale con gli script pericolosi.

Edgar