[NEWS] Link nascosti a pagine con malware, falsi Av o siti di pharmacy (parte quinta)

[Edgar Bangkok]

martedì 2 giugno 2009


Sempre numerosi i siti IT compromessi che ospitano pagine nascoste contenenti links sia a codici pericolosi che a siti di pharmacy (vendita online di medicinali di dubbia provenienza , di solito viagra e derivati ecc...)

Quelli che vedremo adesso sono siti appartenenti sia ad aziende private che ad Amministrazione Pubblica (in genere siti comunali) con inclusione odierna o recente di pagine nascoste.

Il primo caso riguarda questo sito di azienda italiana che al suo interno ospita alcune pagine nascoste che propongono questo layout che ricorda un blog
(img sul blog)
La sequenza del caricamento del file malware o comunque di falso Av e' sempre la solita, e precisamente, cliccando sul falso player video, viene proposto il caricamento di un fake setup di Flash Player.
(img sul blog)
Una analisi VT cataloga il file eseguibile come probabile fake AV (cosa probabile viste anche le dimensioni dell'eseguibile), tra l'altro poco riconosciuto
(img sul blog)
mentre questa la provenienza del file eseguibile hostato su
(img sul blog)

Il secondo sito preso in esame oggi, evidenzia la stretta connessione tra pagine nascoste di pharmacy su siti IT ed i links su pagine straniere che propongono venditi di medicinali online
(img sul blog)
Questo il sito di un Comune del nord Italia
(img sul blog)
che nelle pagine dedicate agli appuntamenti del sindaco propone invece info al riguardo dei 'soliti' medicinali.
(img sul blog)
Questo un altro dettaglio dove possiamo notare la data odierna
(img sul blog)
Ed ecco la corrispondente pagina su sito koreano che porta oggi i links alle pagine inserite in maniera nascosta sul sito comunale.

In questo caso c'e' anche la scoperta di identico sistema utilizzato per inserire pagine all'interno di sito appartenete a sindacato italiano, come notiamo dai molti altri links presenti.
(img sul blog)
Ecco un dettaglio delle pagine inserite su sito del sindacato.
(img sul blog)
Il terzo ed ultimo esempio, per certi versi sconcertante, vista la quantita' delle pagine inserite (centinaia) , riguarda questo sito comunale ligure.
(img sul blog)
Ecco una parziale analisi della struttura del sito comunale
(img sul blog)
che mostra l'inclusione di centinaia di pagine come questa

che propongono, nella visualizzazione, una struttura di folders con contenuti porno o comunque di dubbia provenienza.
(img sul blog)
Ecco un altro particolare dell'analisi del sito
(img sul blog)
C'e' comunque da evidenziare, che, almeno al momento, dell'analisi delle pagine inserite, non sembrerebbe esistere corrispondenza tra i links presenti e indirizzi web esterni al sito comunale colpito.

In pratica quindi, tutti i links presenti rimanderebbero ad altre pagine nascoste all'interno dello stesso sito comunale senza reali collegamenti a pagine esterne, come si potrebbe pensare dai testi presentati.

Edgar

fonte: http://edetools.blogspot.com/2009/06...are-falsi.html