I typosquatter ci ingannano con una falsa vulnerabilita'

Ecco un nuovo sito veramente astuto messo su dalla stessa mano dei falsi motori katasearch ed extraricerca.
Le tecniche di ingegneria sociale diventano sempre piu' raffinate ed il rischio di essere ingannati non è così remoto.
Un'immagine gif cerca di farci credere che il nostro pc ha una vulnerabilta' per indurci a scaricare il file patch_pubblica.exe che ovviamente è un malware.

Per i dettagli: (ATTENZIONE CHE NELLA PAGINA DI ANALISI CHE HO INDICATO QUI SOTTO C'E' ANCHE IL LINK DIRETTO AL SITO MALEVOLO)

http://newsgroup.tecnologia.alice.it/newsgroup/message.jspa?messageID=4611686018460421644&threadStatus=0&tstart=0




Il sito è ospitato su un server cinese.

Aggiornamento attacco mpack

Velocissimo aggiornamento sul mega attacco sferrato contro gli hoster italiani Aruba e hosting solutions
Attualmente è necessario bloccare i seguenti server:

64.62.137.149 (server centrale dell'attacco)
194.146.207.220 (joimcnt.net)
82.98.235.50 (qii5unj.com)
83.149.75.58

Fonte: www.suspectfile.com

Nuova ondata di siti archivio pericolosissimi by gromozon

Ne avevo gia' parlato tempo fa in un post su questo blog e ora si ripresentano in tutta la loro astuzia e pericolosita' i siti archivio di gromozon team.

http://maipiugromozon.blogspot.com/2007/05/gli-archivi-di-gromozon.html

Questi archivi trattano gli argomenti piu' disparati e sono creati apposta per attirare un pubblico eterogeneo. Mentre uno sta leggendo la recensione di un film o info di un artista lo script malevolo lavora per fregarci come al solito

I siti sono ospitati da atrivo/intercage e gia' questo ci dice moltissimo ,ma da anche in un nuovo range di IP che non avevo mai visto.

E' fortemente consigliato di bloccare: 216.255.176.0 - 216.255.191.255 gia' presente nella blacklist

e il nuovo range 91.192.117.0 - 91.192.117.12. Todayhost Limited UK

Mini lista di esempio di siti pericolosissimi:

italianprogrammi.net
italianorecensioni.net
tencinema.net
italianodrivers.net
tuttorom.net
gratisfull.net
italiangratis.net
italianicinema.net
italianomid.net
celebrita.net
Artigratis.net
Glagirls.net
trucchiguru.net
ecc.

working in progress..........

Un piccolo capolavoro di ingegneria sociale

Non si sono ancora spenti gli echi dell'incredibile attacco informatico subito dal nostro paese (post precedenti) e gia' mi ritrovo gia' a mostrare quello che si puo' definire un piccolo capolavoro di ingegneria sociale ad opera dei typosquatter

http://punto-informatico.it/p.aspx?i=2017119

( una lista dei domini la potete trovare sul blog di sunbelt qui) , che hanno messo on line i falsi motori di ricerca katasearch.com ed extraricerca.com.
Nella immagine qui sotto potete notare parecchie astuzie per far infettare il malcapitato



Da questo sito si puo' scaricare un nuovo malware che ha l'icona della Vodafone


e non viene ancora intercettato dai principali Antivirus.

Aggiornamenti sull'attacco criminale all'Italia

Sembra che l'Italia stia diventando il paradiso della cyber-criminalita' organizzata ...ed in particolare di quella russa/ucraina.

Come riportato nel precedente post una enorme quantita' di siti web ospitati su sever ARUBA, un importantissimo Isp/hoster italiano è stata infettata con codice malevolo e nella fattispecie con un iframe.

Come io stesso ho potuto vedere il numero è superiore alle 11000 unita'.....
La cosa è confermata anche da vari articoli internazionali

http://www.eweek.com/article2/0,1895,2147711,00.asp

Quindi un numero molto elevato di computer di navigatori sono stati infettati dall'exploit dei siti compromessi.
Questo non solo in Italia ma in tutto il mondo anche se la parte del leone principalmente la fa il nostro paese visto che si trattava comunque di siti in lingua italiana.

Questo attacco segue quello di circa un mese e mezzo fa a hosting solutions:
stessa tecnica, stesso iframe e sempre server windows compromessi.

Una ragazza poi riporta una notizia ancora tutta da verificare...
Anche i server della societa' seeweb avrebbero avuto problemi ed in questo caso si tratterebbe di server linux. Questo pero' va preso con il beneficio di inventario.


Questo per quanto riguarda i siti del tutto legittimi....pero' come sapete l'attacco verso il nostro paese va avanti ormai da parecchio ed ha trovato il suo acme l'anno scorso con il famosissimo virus Gromozon/LinkOptimizer da cui questo blog ha tratto il nome.

Pochi giorni fa un utente del forum di Hwupgrade è stato infettato con una nuova variante di questo terribile virus che si diffonde con le stranote pagine civetta (leggete i post precedenti per capirci qualcosa) di cui ho parlato in tutto il blog. Un virus che era perfino stato considerato innocuo da un analista Kaspersky!

Un analista di Kaspersky sbaglia su un malware pericolosissimo

Per quanto riguardo le modalita' vi invito a leggere questo vecchio articolo di Elia Florio di Symantec. Gli Ip ora sono diversi ma lo schema di attacco e le strategie sono rimasti invariati: si tratta di un'architettura a piu' livelli

http://www.symantec.com/enterprise/security_response/weblog/2006/10/gromozon_reloaded_everything_t.html



Gromozon e i suoi fratelli godono di ottima salute ma difendersi è possibile.

Infine una buona notizia:Dialer: denunciati gli autori del capitano Prisco Mazzi


Aggiornamento:

Symantec sta investigando sull'accaduto:

http://www.symantec.com/enterprise/security_response/weblog/2007/06/mpack_the_strange_case_of_the.html

Qui sotto l'immagine dell'Iframe Manager usato dalla gang, un tool che permette di automatizzare l'attivita' (criminale) su vasta scala.



qui c'è un pdf interessatissimo sul tool Mpack ad opera di PandaLabs:

http://blogs.pandasoftware.com/blogs/images/PandaLabs/2007/05/11/MPack.pdf

L'Italia sotto pesante attacco malware!!

Dopo l'incredibile vicenda di Hosting solutions e' la notissima societa' Aruba a fare le spese della violenza e dell'abilita' della nuova cyber-criminalita' organizzata.

Tutti i dettagli li potete trovare sul sito della symantec
ad opera dell'ottimo Elia Florio e sul sito pcalsicuro

http://www.symantec.com/enterprise/security_response/weblog/2007/06/italy_under_attack_mpack_gang.html
http://www.pcalsicuro.com/main/2007/06/possibile-intrusione-nei-sistemi-aruba/
http://www.hwupgrade.it/forum/showthread.php?t=1494289

Un'intrusione davvero preoccupante visto la mole di siti web coinvolti e l'importanza dell'aziende sul panorama italiano.

Ma cerchiamo di capire cosa sta succendo ....

- obiettivi di questa gang (Russi , Ucraini)

fare soldi....infettando computer avendone il controllo da remoto
per rubare dati sensibili, per usarli per attacchi Ddos, per l'invio spam, per dirottare il traffico
verso determinati siti scelti da loro


- Metodologie di attacco e strategie tipiche

1) violare server generalmente poco sicuri (in questo caso si tratta di macchine con windows)
modificare le pagine ospitate con iframe e jscript infetti.
2) usare google e gli altri motori come mezzo di diffusione dell'epidemia grazie ad una attenta politica di scelta delle keyword e di SEO delle pagine civetta con gli exploit
3) spam
4) inganni tramite falsi antispyware


- Contromisure

per gli hoster:

1)vigilare su eventuali vulnerabilta' e tappare le falle immediatamente
(non come hosting solutions che avvisata se ne è beatamente fregata)
2)Segnalare il problema ai clienti e modificare preventivamente tutti i siti che contengono codice infetto

per gli utenti:

1) aggiornare con tutte le patch i loro sistemi ed anche i programmi con secunia inspector
2) usare account limitato
3) utilizzare un AV efficace (ma l'antivirus non basta piu')
4) bloccare con un firewall gli Ip pericolosi
5) usare una sandbox sul browser (sandboxie)
6) non usare I.E. (il 15% degli utenti di questo blog usa I.E. 6 che senza sandbox è veramente un colabrodo )
7) leggere la posta via web ed utilizzare un servizio valido tipo gmail
8) usare antirootkit (piu' se ne usano e meglio è ... gmer, darkspy,icesword,....)

Eventualmente

9) usare hips (host-based intrusion-prevention system)
10) virtualizzazione del sistema (vmware, virtual pc , ecc..)

Ma forse conviene utilizzare s.o. diversi da win per la navigazione se continua di questo passo
ed io sono uno di quelli a cui non frega nulla delle guerre di religione tra sistemi operativi
uso qualsiasi cosa possa essere utile.

adesso mostro l'n-esimo esempio di una pagina civetta infetta (questa è stata appena sfornata)
o meglio dove si viene reidirizzati dopo aver visitato delle pagine civetta che in questo caso erano una serie di falsi blog ospitati in francia xxxxxxxxxxx.aceblog.fr



Il messaggio ovviamente è ingannevole perche il codice della pagina è questo




ed una addirittura istituzionale del comune di bisignano (la vera pagina del comune non un falso)



Detto questo , io ho fatto il mio dovere adesso la palla passa a voi :-)


Aggiornamento 19/6/07 0re 00.30

Segnalo 2 articoli che parlano di quello che sta accadendo (UNA SITUAZIONE GRAVISSIMA)
uno preso da punto informatico, l'altro dal blog della societa' giapponese trendmicro

http://blog.trendmicro.com/another-malware-pulls-an-italian-job/

http://punto-informatico.it/p.aspx?i=2022019

nel frattempo mi diverto a mostrare come è cambiata la pagina civetta col messaggio che ci avvertiva che il "file era stato cancellato". Ora giustamente ci invitano ad aspettare altrimenti come fa l'exploit a compromettere in nostro sistema se chiudiamo troppo presto la finesta? :-D



Qui sotto ho preparato una mini lista di IP da bloccare nel caso in cui non volete utilizzare quella full che si trova in alto a destra del blog

58.65.239.0 - 58.65.239.255 Hostfresh Hong Kong
64.38.33.10 - 64.38.33.14 FastServers, Inc Usa
89.253.192.0 - 89.253.255.255 RUSONYX-NET Russia
89.108.64.0 - 89.108.71.255 AGAVA-DATACENTER-NET Russia
88.214.192.0 - 88.214.255.255 UK-UAONLINE UK
87.248.208.22 system doctor Limelight Networks Inc Netherlands
87.248.163.0 - 87.248.163.255 SC STARNET SRL Moldova
85.255.112.0 - 85.255.127.255 Inhoster hosting company Ucraina
85.249.128.0 - 85.249.143.255 DATAPOINT-NET1 Russia
84.252.152.0 - 84.252.159.255 RUSONYX-NET Russia
82.208.60.0 - 82.208.63.255 UPL-TELECOM-CZ Czech Republic
82.204.219.0 - 82.204.219.255 POCHTA_RU-NET Russia
81.95.148.0 - 81.95.151.255 Too Coin Software Limited Russia
81.9.5.0 - 81.9.5.255 ELTEL Russia
81.29.240.0 -81.29.242.63 GLOBALTRADE-NET-1 Russia
81.177.8.0 - 81.177.9.255 Consult It Co. Ltd Russia
81.177.16.0 - 81.177.17.255 NETHOUSE-MOSCOW Russia
81.0.250.0 - 81.0.250.255 UPL TELECOM, s.r.o
80.77.80.0 - 80.77.95.255 UK-UAONLINE UK
66.244.254.64, 66.244.254.63 Big Pipe Inc.Canada
217.11.233.0 - 217.11.233.255 UPL-TELECOM-CZ Czech Republic
213.186.116.0 - 213.186.116.255 Utel DataCenter networks. Colocation Ucraina
212.176.41.8 GRL-EQUANT-NET russia
206.161.121.115 Beyond The Network America, Inc. Usa (server Russo)
204.16.207.50 Setupahost Canada
204.16.204.56 Setupahost Canada
195.95.218.0 - 195.95.219.255 INHOSTER Ucraina
195.238.242.0 - 195.238.242.255 MEDIADAT-MOLDOVA
195.234.159.0 - 195.234.159.255 LINO-NET Israele
195.225.176.0 - 195.225.179.255 NETCATHOST Ucraina
194.146.204.0 - 194.146.207.255 Nevacon Ltd Russia
194.135.19.0 - 194.135.19.255 RELCOM.BUSINESS NETWORK" Ltd. Russia
81.95.144.0 - 81.95.147.255 RBusiness Network (Russia)

Aggiornamento 19/6/07 ore 12:00
Aggiungere anche questo:
203.121.71.165 - 203.121.71.166 hackhost.biz Malaysia

Qui ne parla repubblica:

http://www.repubblica.it/2005/b/sezioni/scienza_e_tecnologia/sicurezzaweb/italian-job/italian-job.html

Il TG1 DELLE 13.30 RIPRENDE L'ARTICOLO DI REPUBBLICA

Sembra che parecchi siti infetti di Aruba siano stati "bonificati", anche se come io stesso ho
potuto verificare ce ne sono ancora molti attivi con l'iframe malevolo

Un analista di Kaspersky sbaglia su un malware pericolosissimo

Beh puo' capitare anche a quelli che lavorano per le piu' importanti societa' di sbagliare.
Quando succede a Kaspersky la cosa sorprende un po'.
Vediamo quello che è successo.
Qualche giorno fa ricevo una segnalazione da TNT (un ricercatore di una nota societa' antispyware americana) su un nuovo malware della premiata ditta CWS/Gromozon; ecco il log di virus total.



Poco dopo sul forum di Hwupgrade un utente segnala una possibile infezione da un malware che mi sembra essere lo stesso.

il file viene inviato a kasperskylab da alcuni utenti del forum con l'invito di indagare appronditamente perche' è a dir poco molto sospetto.
La risposta dell'analista è questa:

No malicious software was found in the attached file.
-----------------
Regards, Yury Nesmachny
Virus Analyst, Kaspersky Lab.

Il virus è stato installato sul pc molto probabilmente da una pagina civetta simile a questa, (questa volta non ho fatto lo screenshot ma la mostro nella sua interezza):



come potete notare come al solito c'è l'invito aspettare, così l'exploit ha il tempo di fregarci :-)
Il file sembra sembra avere anche una componente rootkit
Probabile che sia una nuova versione di GROMOZON/DialCall

Qui potete leggere cosa è accaduto nel dettaglio:
http://www.hwupgrade.it/forum/showthread.php?t=1493956

Di solito non mi piace dare consigli su come difendere il proprio pc ma se utilizzate sandboxie sul browser, un account limitato (quindi senza diritti di amministratore) almeno mentre navigate, un firewall con delle blacklist di IP di sicuro renderete le cose molto complicate ai predatori del web.

Dai virus ai crimeware

Faccio un aggiornamento, anche se in questi giorni ho pochissimo tempo libero, per segnalare una serie di articoli che fotografano bene la situazione ed i pericoli a cui si andra' incontro nei prossimi anni sul web.

Il primo articolo riguarda quello che si puo' definire l'evoluzione finanziaria del virus: il crimeware
la fonte è piu' che autorevole visto che si tratta di kasperskylab.

1) http://www.kaspersky.it/Malware/Crimeware.asp

anche questo secondo articolo di pianeta pc non fa che confermare la tendenza:

2) http://www.pianetapc.it/view.php?id=917

La terza segnalazione riguarda il pericolo delle botnet. Non è improbabile che il vostro pc possa diventare uno zombie ovvero che possa essere controllato completamente da remoto a vostra insaputa ed essere utilizzato, dopo vi siano state sottratte abilmente tutte le informazioni utili possibili (bancarie ad es.) , per l'invio di spam o per attacchi Ddos.
Qui si parla di attacchi su vasta scala come quello contro l'Estonia.

3) http://punto-informatico.it/p.aspx?i=2020211

Il quarto e quinto riguardano esempi di Ddos a scopo di ricatto

4) http://punto-informatico.it/p.aspx?i=570589
5) http://punto-informatico.it/p.aspx?i=551639

Il sesto sempre tratto da pianeta pc si occupa di un tema caro a questo blog:
le pagine web infette:

6) http://www.pianetapc.it/view.php?id=916

Il link successivi sono interessanti perche' riguardano un aspetto spesso legato al phishing o
comunque ad attivita' criminali sul web. Spesso vengono offerti lavori d'intermediazione finanziaria a cittadini italiani che vengono usati piu' o meno inconsapevolemnte per il riciclaggio di denaro di provenienza illecita per conto di truffatori.

7) http://www.ilmessaggero.it/articolo.php?id=3192&sez=HOME_INITALIA
8)http://www.anti-phishing.it/news/articoli/news.12062007.php

Gli ultimi 3 riguardano la provenienza delle minacce. Ovvero la nazionalita' dei peggiori criminali informatici.Direi che gli abilissimi programmatori dell' Est Europa la fanno da padroni anche per via di controlli e legislazioni molto permissive.L'Italia è senza dubbio un obiettivo molto appetibile per queste gang.

9) http://punto-informatico.it/p.aspx?i=1109821
10) http://punto-informatico.it/p.aspx?i=1095599

6 su 10 dei peggiori spammatori del mondo sono russi/ucraini

http://www.spamhaus.org/statistics/spammers.lasso

Per chi è un attento osservatore queste cose non saranno una novita' per gli altri:
Buona lettura.

L' "Associazione Nazionale Libera Caccia" vuole infettarci :-)

Ricevo dall'amico TNT (quello che non aggiorna il suo eccellente blog sulla sicurezza neanche sotto tortura) una interessante segnalazione su un bel blocco di sottodomini infetti pieni zeppi di exploit e porcherie di ogni specie. In particolare fanno riferimento a
questo dominio di 3 livello: anlc.lecce.it

Associazione Nazionale Libera Caccia - segreteria provinciale di Lecce.



Ovviamente questa associazione non c'entra niente con i malware; è ovvio, ma è sempre meglio puntualizzarlo.

Nella mia blacklist gia' c'era l'Ip 88.198.120.221 (server tedesco)
Volendo potete estendere il blocco al range 88.198.120.208 - 88.198.120.223

Approfitto del post per sfottere un pochino: TNT mandami il file con la password la prossima volta:-)

Segnalazione virus

A questo indirizzo sono presenti 4 Virus.

hxxp://diexe.t35.com/ IP 66.45.237.220

• CURA virus.zip
  
• CashHack.zip
  
• fotos.zip
  
• virus.zip

Particolarmente astuto è il file dentro fotos.zip: un exe con che ha l'icona di file immagine.

Anche in questo caso gli antivirus che sono in grado di intercettarli sono pochissimi.

Aggiornamento 7/6/07

Ho fatto un controllo sull'IP 66.45.237.220 che risulta essere dell' hoster T35 che offre spazio web gratuito. Anche questo è stato sfruttato dai solito noti per le famose pagine civetta.
ecco un piccolissimo campione:

a2a.t35.com
a8rbmiev.t35.com
aatrfcji.t35.com
af85v7vy.t35.com
agsdlp1w.t35.com
akd8cb0i.t35.com
akiqdwif.t35.com
ecc.

purtroppo a questo ip non ci sono solo pagine civetta ma anche siti di persone che hanno usato lo spazio in modo
del tutto legittimo.Comunque queste pagine infette mi pare puntino, come avviene spessissimo, ai server della famigerata societa' ucraina INHOSTER (85.255.112.0 - 85.255.127.255) gia' presente nella blacklist.

Questo range va assolutamente bloccato con il firewall.

Aggiornamento 9/6/07

Come segnalato nei commenti ora ci sono 3 virus. Ancora una volta mi pare che gli AV in grado di
indentificarli siano pochi (nod32 sicuramente no e la cosa non sorprende, ma avg antispyware si;quest'ultimo prodotto è fortemente consigliato almeno come scanner on-demand ). Questi file mi pare che siano di origine sudamericana o spagnola.

Il falso Google.it

Doppio aggiornamento oggi: sembra che sia scoppiata la moda dei falsi motori di ricerca.
Questo in relazione al malware di katasearch ed anche extraricerca.

ecco a voi hxxp://www.qoogler.com/ ip:208.101.37.109



sullo stesso Ip c'è anche www.gooogle.bz

Katasearch.com aggiorna il malware

Faccio un veloce aggiornamento per quando riguarda un argomento gia' trattato su questo blog.
Ovvero il malware che di puo' scaricare facendo una ricerca sul falso motore www.katasearch.com
In particolare, il link incriminato è quello del primo risultato.



Il malware non è ancora individuato da molti antivirus e comunque mi pare che venga modificato spesso proprio per sfuggire all'intercettazione.



Purtroppo ancora una volta qui si dimostra la poca efficacia degli antivirus e delle loro euristiche.

Ultima nota: il contatore di accessi addfreestas sul sito www.donwloa-d.com dove il furbacchione puo' sapere quante persone hanno scaricato il malware (non so se sia lo stesso) accesso-diretto.exe :-)

Pagine infette su xoomer.alice.it

Certo che la sfacciataggine dei nostri amici untori non ha davvero limiti.
Che usino vari spazi gratuiti nel mondo per depositare le loro pagine civetta infette era cosa nota ma che addirittura lo facciano con quelli offerti da xoomer-alice (quindi direttamente qui in Italia) mi pare onestamente eccessivo :-)

Vediamo come procedono se ancora non fosse chiaro:

1) Si procurano un bel malware (meglio se con capacita' di nascondersi alle rilevazioni degli antivirus con tecniche rootkit) che possa a sua volta autoggiornarsi e scaricare altra immondizia così da sottrarci il controllo del pc in modo del tutto silenzioso per rubarci dati sensibili , dirottare il browser , usare il computer per l'invio di spam o attacchi Ddos.

2) Piazzano il malware su un server (in genere sono russi o ucraini come la probabilissima nazionalita' di questi simpaticoni).

3) Creano pagine civetta con exploit in modo che se ci capita sopra con il browser (in particolare con I.Explorer) dopo una serie di reindirizzamenti viene scaricato in modo del tutto automatico il malware senza che ci si accorga di nulla.
(molto divertenti sono le loro frasi di cortesia tipo attendere prego.... il caricamento della pagina mentre in realta' questi istanti servono all'exploit per compromettere in nostro sistema)

4) Spam delle pagine su forum , blog , web-boards.

5) Tecniche di SEO per far si che pagine civetta infette vengano facilmente trovate mentre si fa una ricerca su qualsiasi tipo di argomento su google o sugli altri motori.

Qui sotto:
un esempio di pagina infetta (non andateci e se lo fate solo con firefox con java e javascript disabilitato!)



Un'occhiata al codice ed allo script incriminato.



Spam su forum e blog:



La pagine sono ben indicizzate su google (queste sono tutte infette ed in rosso quella su xoomer)