Attenzione a sourceforge.net! Scarica malware da www.appworldcentral.com!

[Pahadimas]

Cercando un programma che permettesse di scaricare i sottotitoli dei video di YouTube mi imbatto in Google2SRT, trovandolo sul sito google2srt.sourceforge.net, e mi dico "ah, da qui posso scaricare tranquillamente... il dominio è sourceforge.net!". Clicco su scarica e mi reindirizza alla pagina

http://sourceforge.net/projects/google2srt/files/latest/download

Finché mi si aprono due finestre di download del file. (EDIT: Dopo altre prove, riavviando il browser, me ne ha aperto solo una, quella farlocca. Ma non anticipiamo niente e continuiamo...)
Quindi dicevamo due finestre di download del file: una con dominio sourceforge.net e una con dominio diverso... w*w.appworldcentral.com!



cosa che mi ha stranizzato: due download, sito diverso e versione "0" quando l'ultima versione dell'installer di Google2SRT non è un exe bensì un msi, e si chiama google2srt-0.7.3.msi.

Il sito in questione porta su una pagina completamente bianca.

Così comincio a fare un po' di prove, su altri software hostati da sourceforge.net, come per esempio FileZilla. Pagina di sourceforge:

http://sourceforge.net/projects/filezilla/

Vado per scaricare e scarica ancora da w*w.appworldcentral.com...



Provo allora con software mezzi sconosciuti, come questo e questo, e da questi progetti mi scarica invece i file da sourceforge.net!

Tutto questo con Firefox. Provo con Google Chrome, che mi scarica tutti i software correttamente da sourceforge.net! (...e dire che, a differenza di Chrome, su Firefox ho installato l'estensione NoScript, anche se con script abilitati... vabbé, "dettagli"...)
Pare che Chrome sia immune da questo problema e affezioni solo Firefox. Qualcuno riesce a risalire al perché? Non ho provato altri browser.

Così disabilito gli script, e anche Firefox mi scarica il file corretto! Faccio un po' di prove e vedo che il requisito minimo affinché venga avviato il download dal sito farlocco è abilitare contemporaneamente gli script provenienti da sourceforge.net e da fsdn.com:



Il sito fsdn.com dà errore caricamento pagina.

Ora andiamo agli eseguibili farlocchi. Intanto hanno una bella iconcina sf (sourceforge) su sfondo bianco:



come a dire "ehi, è un file di sourceforge!".
I file farlocchi scaricati hanno hash tutti diversi tra di loro, anche se scaricati due volte dalla stessa pagina (!). Hanno hash diverso ma comparandoli tra di loro sono tutti uguali presentando una differenza di soli 4 byte su 905.064 (dimensione del file).
Dettagli del programma? Il prodotto si chiama Program Installer versione 0.0.0.0, con copyright Installer Generic! Ma che bello!



Ma il file ha una firma digitale almeno? Sì, ce l'ha! E ha firmato la Theory Media (Fried Cookie Ltd)! Suvvia... chi non la conosce!?
Anche se il timestamp non è presente.



Il certificato della firma è stato rilasciato dalla GlobalSign CodeSigning CA - G2, ed è un certificato valido! Dal 28/04/2015 al 28/04/2016.



Tutto molto bello.

Provato anche su un profilo pulito di Firefox, e su macchina virtuale.

Esempi in rete di utenti che hanno riscontrato la cosa, sempre su FileZilla: link 1, link 2.

Che è successo a sourceforge? È stato hackerato?

[Unax]

muovi il mouse sul bottone del download sulla i piccola

vedrai scritto installer supportato da ads più sotto c'è un link diretto

i due installer sono di dimensioni diverse e provengono da link diversi

[Pahadimas]

Originariamente inviato da Unax

muovi il mouse sul bottone del download sulla i piccola

vedrai scritto installer supportato da ads più sotto c'è un link diretto

Ah, ora un eseguibile praticamente sempre uguale, o che, ancor meglio, cambia di qualche byte se riscaricato, firmato da chissà chi, scaricato al posto del programma originario, si chiama "ad", "advertising", "pubblicità"??

Originariamente inviato da Unax

i due installer sono di dimensioni diverse e provengono da link diversi

E che ho scritto finora?
Hai verificato che l'altro sia effettivamente un installer? E che cosa installa!?

[Unax]

intendevo dire che sourceforge ti offre per alcuni software due installer uno supportato dalla pubblicità che di fatto scarica il software da te voluto e un altro no

a te la scelta, nessun hacker, solo una scelta discutibile che molti di noi avremmo preferito che sourceforge non avesse fatto

[Pahadimas]

Ma allora è prassi dei più famosi siti download di software gratuiti!
Il download di Wise Registry Cleaner rimanda alla pagina di cnet.com... e menomale che avevo installato uBlock, che mi ha allarmato della presenza di "badware"... così ho scoperto che anche cnet.com scarica chissà quale sorta di installer/downloader (un eseguibile riconosciuto dall'antivirus come malware), stavolta da w*w.proinstall-download.com! Menomale che c'è comunque in basso a sinistra il collegamento "Direct Download Link", che permette di scaricare il file pulito.
Stavolta disattivando gli script con NoScript non funzionano né il pulsante verde di cnet.com né il "Direct Download Link", e il requisito minimo affinché venga avviato lo script del download farlocco è abilitare contemporaneamente (almeno) gli script provenienti, ancora una volta, dal sito principale cnet.com e, ancora una volta, dal secondo sito presente in lista NoScript, che questa volta è fdlstatic.com!
Chrome, ancora una volta, c'è da ammetterlo, dimostra maggiore efficienza e sicurezza, facendo scaricare il file pulito sia dal bottone verde che dal "Direct Download Link"! In un primo momento ho pensato che Chrome disabilitasse automaticamente gli script, ma probabilmente non è così, perché come ho detto disabilitando gli script in Firefox non parte neanche il download del file, né quello farlocco né quello pulito.