[NEWS] Nuova serie di siti compromessi

[Edgar Bangkok]

giovedì 16 ottobre 2008

Raccomando a chi volesse esplorare i siti in questione, di prendere le dovute precauzioni. Si tratta infatti di pagine con links a malware spesso NON riconosciuto dai softwares Av e quindi ancora piu' pericoloso.(utilizzare ad esempio sandbox, noscript e possibilmente il tutto in esecuzione all'interno di una macchina virtuale con i dovuti settaggi (non condivisione files o cartelle, firewall con blocco degli indirizzi di rete locali ecc....ecc.....)

Un certo numero di siti anche su dominio .IT presentano inserite al loro interno pagine e codice che redirige in maniera del tutto automatica, su siti tutti di dubbia affidabilita' o con contenuti malware.

Ecco un parziale elenco di siti che si distinguono per la presenza di una pagina html denominata 4861.html

e questa la homepage di un sito .IT
(img sul blog)
con la medesima pagina 4861.html inserita al suo interno

Quella che vediamo e' una delle pagine linkate con differenti layout (colori)

e nome di file personalizzabile attraverso una modifica della url che richiama la pagina
Un whois punta a sito
(whois sul blog)
mentre il file eseguibile risulta abbastanza riconosciuto dai softwares presenti in Virus Total
(report VT sul blog)
In questa come nelle seguenti scansioni presenti in questo post, Virus Total non ha indicato come gia' esaminati i files che gli sono stati sottoposti indice di un probabile continuo aggiornamento del codice malware contenuto negli stessi.

Altra pagina linkata in maniera random e' questa di sito a pagamento per filmati porno
(img sul blog)
(report VT sul blog)

Esaminiamo piu' in dettaglio un'altra pagina che viene caricata accedendo a 4861.html

Come si vede si tratta di links anche con testo in italiano; ad esempio, il link a questo falso sito che propone una versione con trojan di Emule, il noto software p2p.

Infatti il file eseguibile scaricato risulta con VT
(report VT sul blog)
In dettaglio sul medesimo IP sono anche presenti altri siti



molti dei quali propongono software dubbio e che alcuni software su VT riconoscono come trojan.

Alcune pagine propongono software di vario genere personalizzato in lingua italiana

(report VT sul blog)

ed anche

(report VT sul blog)

Anche se in questo caso un whois punta ad hoster spagnolo
(whois sul blog)
si ratta di range ip gia' presente su blacklist di indirizzi poco sicuri e legato ad attivita' provenienti dalla Russia

Edgar

fonte: http://edetools.blogspot.com/