[NEWS] Ancora scripts pericolosi

[Edgar Bangkok]

Sabato 21 giugno 2008

Si tratta di due scripts trovati durante la recente scansione effettuata con il tool per verificare nuovi domini .it compromessi dalla recente ondata di attacchi Asprox.
La loro presenza e' elevata specialmente su forum e il codice javascript punta a pagina che alterna la distribuzione di malware e false applicazioni antivirus .

Questo lo script presente in prevalenza su forum anche italiani
(img sul blog)
anche se, in qualche caso, il sito che hosta lo script ( whois Russia)
compare come vediamo su pagine web
(img sul blog)
Lo script, offuscato in maniera semplice
(img sul blog)
deoffuscato contiene un link a
(img sul blog)
(whois USA di noto hoster che compare in blacklist di IP pericolosi)
(img sul blog)
La prima volta che ci si connette al sito si viene reindirizzati a pagine (whois Lituania e Germania)
contenenti rogue application antimalware
(img sul blog)
poco o niente riconosciute dagli antivirus
(img sul blog)
mentre , per le volte successive, si viene portati su pagina (whois UK)
(img sul blog)
con falso player e con richiesta di scaricare l'activex necessario al funzionamento
(img sul blog)
in realta' malware che una volta tanto non sembra essere la consueta variante ZLOB associata ad un falso player video.
(img sul blog)
Una analisi con VT effettuata in tempi diversi dimostra che anche questa volta il codice del malware viene modificato per impedirne l'identificazione
(img sul blog)
Come si vede i due files con lo stesso nome hanno anche diversa lunghezza e nel caso piu recente alcuni Av non riconoscono piu' il pericolo
(img sul blog)
Interessante la grande diversificazione dell hosting dei codici pericolosi che in sequenza ci porta dalla Russia agli USA per poi reindirizzarci su Lituania, Germania ed anche UK per il falso activex.

Come sempre, vista la ridotta efficacia di riconoscimento da parte dei softwares antimalware, e' meglio abilitare nel browser un blocco degli scripts, cosa che in questi casi ci garantisce un minimo di sicurezza in piu'

Edgar
Fonte: http://edetools.blogspot.com/