[NEWS] Link a falsi scanners Av tramite siti IT compromessi.(agg. 23 agosto 09)

[Edgar Bangkok]

domenica 23 agosto 2009

NB. Anche se alcuni links sono in chiaro usate attenzione nel visitare le pagine in quanto si tratta pur sempre di redirects a fake AV che potrebbe passare, in qualsiasi momento, dal proporre falsi AV a qualcosa di piu' pericoloso (exploit, ecc....)
Inoltre come vedremo nell'analisi dell'eseguibile una volta installato sul PC il falso antivirus crea numerosi problemi.

Una odierna ricerca in rete evidenzia un buon numero di siti IT che ospitano al loro interno links a falso online scanner AV.

Ecco i risultati che presentano per diversi siti .IT , evidentemente compromessi,



molti links per ogni sito trovato



che puntano a questo javascript debolmente offuscato



che sua volta redirige su questo falso scanner online AV



con whois:
(img sul blog)

Sempre sul medesimo IP abbiamo una serie di pagine, tutte simili



che propongono lo stesso scanner online visto sopra.

Il riconoscimento del file eseguibile e', come succede in questi casi , quasi nullo



mentre il falso setup(dot)exe e' ospitato su server con whois cinese



Anche questa volta, sembra che per IP ripetuti o comunque appartenenti ad alcuni ranges si venga direttamente rediretti sulla pagina di Google senza che venga proposto il falso scanner.

Per l'analisi dell'eseguibile scaricato setup(dot)exe rimando al successivo post.

Edgar

fonte: http://edetools.blogspot.com/2009/08...e-siti-it.html