[NEWS] Ancora links nascosti inseriti in siti di P.A.

[Edgar Bangkok]

giovedì 25 settembre 2008

Vediamo due casi che riguardano siti di Amministrazione Pubblica che ospitano al loro interno, in una o piu' pagine, migliaia di links a siti con links a malware oppure a siti di pharmacy che di solito reclamizzano viagra e derivati.
Il primo sito la cui homepage presenta date relative ad aggiornamenti molto recenti, riguarda un Comune italiano.
(img sul blog)
mentre qui vediamo una visualizzazione totale del layout di una delle pagine
(img sul blog)
che pur essendo del tutto 'normale', al momento del caricamento nel browser presenta tempi insolitamente lunghi.
Analizzando con Wget al momento del caricamento notiamo che la dimensione del source risulta abbastanza grande anche rispetto al layout visto prima.
Infatti se andiamo ad esaminare il file sorgente troviamo oltre al normale codice migliaia di links nascosti
(img sul blog)
che vediamo in dettaglio
(img sul blog)
Una buona parte di questi link punta ad un sito di pharmacy
(img sul blog)
Un secondo caso invece ci mostra come i link nascosti presenti siano sempre ben aggiornati
Ecco la homepage, sempre di sito comunale,
(img sul blog)
che questa volta presenta migliaia di links che sfruttano il noto sito Google Groups
(img sul blog)
Si nota che gia' al momento del download della pagina di Google Groups viene caricata una immagine da un sto che ospita anche il falso player video.
Il link seguente apre questo sito di falsi filmati che presenta un layout del player abbastanza curato.
Non si tratta infatti della solita singola gif animata ma di un vero e proprio file flash che simula il player video, compreso l'avanzamento della barra del download del file.
Il sito di falsi filmati presenta whois
(img sul blog)
In maniera automatica, se gli scripts sono attivi , o cliccando sul link che propone il falso codec video, verra' scaricato il file eseguibile contenente malware, che vediamo analizzato con VT
(img sul blog)
ed a titolo di raffronto con VirScan
(img sul blog)
dove ancora una volta si notano alcune discordanze ,analizzando il medesimo file pericoloso con diverso sito di scansione online.
Come nota finale, c'e' da dire che entrambi i siti risultano costruiti utilizzando l'ambiente di sviluppo Joomla che potrebbe forse essere messo in relazione ai problemi osservati ora.
Infatti, ad esempio, esistono vulnerabilita' Joomla dovute ad estensioni che se non aggiornate favoriscono i tentativi di hacking, di cui abbiamo gia' visto vari esempi in passato.

Edgar

fonte: http://edetools.blogspot.com/