[NEWS] Links a malware su blog.it

[Edgar Bangkok]

venerdì 11 settembre 2009

AVVISO ! Ricordo che anche se i links sono lasciati in chiaro negli screenshot, evitate di visitare i siti elencati se non avete preso tutte le precauzioni del caso (sandboxie, noscript, pc virtuale ecc....) !!!! Si tratta di links a files eseguibili pericolosi spesso poco riconosciuti dagli AV.

L'utilizzo sempre piu esteso di servizi gratuiti di 'bloggin' anche italiani non passa certo inosservato a chi tenta di distribuire malware in rete.
Creare rapidamente accounts utente fasulli da utilizzare per proporre links a malware o false applicazioni Av sembra essere uno dei sistemi piu' utilizzati ultimamente da chi tenta di far scaricare sul PC eseguibili pericolosi. (vedi ad esempio questo post e questo post)

Questo un risultato di ricerca in rete
(img sul blog)
che vede coinvolta la 'piattaforma' free di bloggin bloo.it che offre tramite blog.it la possibilita' di creare in poco tempo il proprio blog personale.

Esaminiamo in dettaglio i vari 'passaggi' che ci porteranno dal link sul motore di ricerca sino al download del malware:

Cliccando sul link proposto dal motore di ricerca abbiamo
(img sul blog)
che appare come la pagina di un blog personale che propone commenti sotto forma di links (che il motore di ricerca propone nei risultati)
Si nota si tratta di commenti inseriti oggi e da poco tempo in quantita' notevole come vediamo da un dettaglio del source della pagina blog

Cliccando su uno dei tanti links veniamo portati su questa pagina di ESnips (si tratta di sito di social network particolarmente orientato alla condivisione di files di qualunque tipo ...) che, come per il blog precedente viene sfruttata per proporre links a sito con contenuti per adulti:
(img sul blog)
A questo punto interviene , cliccando sul link disponibile sulla pagina (bottone verde), un sistema gia visto in passato per tentare di mascherare ulteriormente il reale indirizzo della pagina che funzionera' come redirect
Come si nota , il link proposto e' freevideotube(dot)lookera(dot)net ma in realta' si tratta di una pagina del servizio di googlepages

Questo e' reso possibile da uno dei tanti servizi free di 'short url' disponibili in rete (in questo caso quello di Lookera(dot)net)
(img sul blog)
A sua volta la pagina ospitata su Googlepages ha questo contenuto
(img sul blog)
Da notare come la homepage del sito su Googlepages che, in questo caso, ospita il redirect appare come ancora da attivare.(questo per occultare i contenuti del redirect)
(img sul blog)
Il redirect presente punta a pagina con layout molto diffuso

e che propone questo file di falso update flash praticamente sconosciuto ad una analisi VT
(img sul blog)
Il file eseguibile risulta hostato su
(img sul blog)
Ecco un report riassuntivo della lunga sequenza di links a partire dalla ricerca in rete sino al download del file malware:
(img sul blog)

Una alternativa al lungo percorso di links e redirect visti ora e' quest'altra pagina di blog con utente fasullo, sempre su blog.it,che propone una diversa sequenza di links
(img sul blog)
Cliccando su uno dei tanti collegamenti presenti verremo portati su questo sito USA , che, permette che un free account, venga sfruttato per linkare a siti con distribuzione malware


Questa volta il servizio utilizzato per mascherare la reale provenienza della pagina che andremo a visitare, e' ottenuto con 'short url' di jump2(dot)net che viene anche proposto come frame al top della 'solita' pagina di clone Youtube
(img sul blog)
e che distribuisce, in questo caso, il medesimo eseguibile visto prima, cosa che farebbe pensare ad una fonte comune per la distribuzione del malware.

Per completezza c'e' comunque da rilevare che effettuando una ricerca di pagine dai contenuti dubbi presenti su bloo.it alcuni account, chiaramente fasulli e creati per linkare a malware, appaiono messi offline e questo a fronte di una probabile azione di bonifica anche se non e' certamente facile eseguire un controllo capillare dei nuovi contenuti postati visto l'accesso free al sito.

Edgar

fonte: http://edetools.blogspot.com/2009/09...su-blogit.html