Newsgroup: it.news.net-abuse
Titolo: Malware javascript su siti

Sto notando un fiorire di siti con malware inseriti via ftp presumibilmente
da botnet (un ip legge un file, un altro lo scrive modificato dopo pochi 
secondi
e cos� via da decine di ip) dopo aver rubato le credenziali di accesso.
C'� qualcuno che sta avendo lo stesso problema, o ha maggiori
informazioni al riguardo?
-- 
ValeRyo
XT600 "Katoki Pajama" - 
http://www.slimmit.com/go.asp?7Y9
GamerTag: 
http://card.mygamercard.net/IT/nxe/ValeRyo76.png
 

 informazioni al riguardo?
Va avanti da un pezzo.
C'� stato un netto innalzamento del fenomeno circa 4-5 mesi fa.
Quello del malware "appeso" alle pagine lecite � -almeno per ora- un
caso abbastanza marginale, numericamente: il grosso dell'utilizzo
consiste nell'upload di pagine contenenti redirect verso siti delle
solite pilloline e dintorni, appoggiati a bulletproof hosters.
In questo modo lo spam pu� uscire linkando un sito con buona reputazione
(ma crackato), vanificando l'approccio di filtering basato sul check
della reputazione delle URL linkate dalle mail, cosa che riguarda ora
almeno il 60% dello spam da botnet.
Di media, individuo tra le 600 e le 1000 URL abusive al d�, da almeno un
mese a questa parte. In tutti i casi, si tratta di password "rubata" da
un trojan sul client del "webmaster".
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/

 "rubata" da un trojan sul client del "webmaster".
Gi�, e il problema � sempre che "il mio pc � pulito, il problema � vostro" 
:-/


 :-/
Mandagli i link del caso: gli diranno le stesse cose ma l'utente ci
crede di pi�...
http://www.spamhaus.org/news.lasso?article=634
http://blog.trendmicro.com/a-worrying-trend-of-compromised-web-sites/
http://www.avertlabs.com/research/blog/index.php/2008/04/29/password-stealing-trojan-with-dash-of-ftp-and-a-hint-of-parasite/
http://bofhskull.wordpress.com/2008/10/07/ftp-crack/
http://bofhskull.wordpress.com/2009/12/02/sicurezza-informatica-spam-ed-utenti-miopi/
[e ovviamente una montagna di altri...]


 crede di pi�...
Grazie mille, sono utilissimi proprio come riferimento.


solite pilloline e dintorni, appoggiati a bulletproof hosters.
Secondo il mio campione ï¿œ esattamente il contrario.
La larga diffusione di redirector usati massicciamente nello spam ï¿œ una
novitï¿œ piuttosto recente, direi perchï¿œ una grossa banda ha iniziato a
usarli, ma i malware javascript (o varie tecniche di black SEO,
attenzione agli .htaccess...) sono comunque largamente preponderanti.
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 attenzione agli .htaccess...) sono comunque largamente preponderanti.
Sarï¿œ anche una questione di focalizzazione dell'attenzione: i miei
script si concentrano su quel che si vede nelle mail che arrivano in traps.
Lï¿œ vedo un rapporto attorno a 1000 a 1, suppergiï¿œ.
Probabilmente, a vederla soltanto dal lato web, ï¿œ vero il contrario...


 accesso.
Qualche link che approfondisca come si puo' difendere l'utente?
Fabrizio


Evitando di farsi troianizzare :-P


 Evitando di farsi troianizzare :-P
"Gne'!" (cit.)

 Qualche link che approfondisca come si puo' difendere l'utente?
Io ho l'impressione che nell''"underground" girino versioni di client ftp
famosi taroccati ad hoc per mandare i dati di accesso altrove.
Non c'č molto da fare per difendersi, basta fare attenzione a non farsi
bucare...


 farsi bucare...
Si, dal punto di vista del gestore del sito.
Ma forse non ho capito bene questo malware java che cosa fa all'utente che
visita la pagina: e' "soltanto" un redirector?
Fabrizio

 all'utente che visita la pagina: e' "soltanto" un redirector?
Quelli che ho visto io provano ad avviare activex e a far installare
roba strana con le popup del tipo 'attenzione! il tuo computer � infetto!
clicca qui per avviare la pulizia!".
-- 
ValeRyo
XT600 "Katoki Pajama" - 
http://www.slimmit.com/go.asp?7Y9
Napoli - appartamento in vendita: 
http://www.quisicasa.com
 

 infetto! clicca qui per avviare la pulizia!".
Menomale: non li vedrei e comunque non ci cascherei.
Ma non avevo la certezza che non vi fosse una vulnerabilita' non evidente,
anche se con noscript la probabilita' di cascarci e' minima (ma non
inesistente, se bucano un sito di cui mi fido. Puo' capitare a tutti).
Fabrizio (grazie, eh!)

 a tutti).
Se bucano un sito di cui ti fidi il problema non c'�: il javascript da
caricare (almeno sui miei campioni) � remoto, quindi noscript ti
avvisa che ha bloccato 
naughtygirls.ru
 o quel che �.


 avvisa che ha bloccato 
naughtygirls.ru
 o quel che ï¿œ.
"Non uscite (su internet) senza noscript!"
(ed adblock, gia' che ci siamo)
Fabrizio :-)