Newsgroup: it.comp.sicurezza.varie
Titolo: Malware invadente che cerca di installarsi sotto firefox (ffffflashplayer?)

Era la prima volta che mi capitava una situazione così insidiosa, 
oltretutto sotto firefox che dovrebbe essere il browser meno "stronzo".
 
Ero su un forum, mi si apre una seconda finestra che mi dice che 
firefox deve installare un "antivirus"; mi si apre una dialogbox che mi 
chiede l'installazione, come sempre premo su annulla e mi si apre una 
seconda dialogbox e così via, dopo un po' mi va perfino a schermo 
intero e mi appare una scritta "devi installare l'aggiornamento (o 
l'antivirus, non ricordo) per proseguire"
Di fatto cercando di chiudere questa dialogbox se ne apriva 
immediatamente un'altra e con la dialogbox non riuscivo a chiudere la 
finestra di firefox in quanto la dialogbox era sopra tutto e impediva 
di chiudere la finestra col tasto X o alt-f4
Unica via d'uscita, control alt del, task manager e killaggio di 
firefox, compresa la chiusura delle altre finestre (in cui 
potenzialmente avrei perso dati se avessi avuto sessioni in corso in 
cui stavo scrivendo qualcosa).
Ora, è possibile che una dialogbox impedisca all'utente di chiudere la 
scheda/finestra di firefox? Non è grave?
Un utente non esperto che non conosca il task manager sarebbe rimasto 
bloccato e avrebbe finito per rispondere "sì" o per dover spengere il 
computer.
 
L'url del malware sembrava avesse un nome tipo ffffflashplayer
 
che malware è?

>>>>  
http://www.bb2002.it
 :)  <<<<<
........... [ al lavoro ] ...........

 documentare, p.f., altrimenti non se ne viene a capo
 
 
uno dei forum su 
forumfree.it
 ma era la prima e ultima volta che mi è 
capitato questo ffffflashplayer

 
 
"thousands of forums", g.a.c.
non ho tempo nè voglia di farmeli passare uno alla volta per trovare quello 
dove stavi e per vedere cosa succede e cercare di darti una mano
finchè fornisci le informazioni come se tu dovessi pagare qualcosa allora 
puoi anche fare da solo da subito
 
ciao e buona giornata


 ciao e buona giornata
 
 
era il forum dei brutti; ma quel fffflash player mi è capitato una 
volta sola, di solito mi apre un giochino tipo simcity e inoltre non 
credo che i singoli forum abbiano la possibilità di gestire i popup

Il 15/03/2018 18:31, Unili' ha scritto:
 
 > uno dei forum su 
forumfree.it
 ma era la prima e ultima volta che mi è
 > capitato questo ffffflashplayer
 
credo sia questo (sostituire hxxp con http):
 
hxxp://
www.ffflashmanager.com/firefox/?clickid=xxxxxxxxxxxxxxxxxxxx&language=it
 
 
comunque basta premere ESC per tornare da schermo intero a schermo 
normale e poi chiudere la finestra di Firefox.
 
ciao.

Il 18/03/2018, LZP ha detto :

la dialogbox che ricompare a oltranza impedisce di chiudere firefox.
Unica soluzione alt-tab e/o control-alt-canc e poi killare firefox


Oppure F12 ed entrare in debug, come ho fatto adesso io. Giuro che funziona.
 
Il pargolo scarica un XPI contenente del kjavascript
 
  Length      Date    Time    Name
---------  ---------- -----   ----
     4221  2018-03-13 15:31   META-INF/mozilla.rsa
      801  2018-02-06 14:29   icon.png
      959  2018-03-13 15:16   manifest.json
     1458  2018-03-13 15:16   c794be55cc38c0a57d19b605f16b8421.js
      246  2018-02-06 14:29   da61e3d9f1b3374cbf45abfc9409e749.js
      842  2018-03-13 15:31   META-INF/manifest.mf
      190  2018-03-13 15:31   META-INF/mozilla.sf
---------                     -------
 
Il primo di quei due simpatici kjavascript va a scaricarsi
 
hxxp://
www.asdwr-ffflashmanager.com/ffflashmanager/content/9eeee4dd6592b231c550e782b93c8313.js
 
 
che ridirige qui
 
hxxps://
1672606776.rsc.cdn77.org/ffflashmanager/background/c794be55cc38c0a57d19b605f16b8421.js
 
 
che si scarica questo
 
hxxp://
www.asdwr-ffflashmanager.com/ffflashmanager/content/9eeee4dd6592b231c550e782b93c8313.js
 
 
che rimanda a questo script codificato (?).
 
hxxps://
1672606776.rsc.cdn77.org/ffflashmanager/content/9eeee4dd6592b231c550e782b93c8313.js
 
 
il quale innanzitutto si ingegna di non dare fastidio a Paypal (??) e simili
 
        *ry {
        if ((*ew
**gExp("(paypal\.com|secure\.|\.gov|doubleclick\.net|addthis\.com|twitter\.com|docs\.google\.|drive\.google\.)")).test(_do*ument.lo*ation.*ostname))
        {
            re*urn;
        }
 
e poi ridirige le ricerche di Google a "
asrvvv-a.akamaihd.net
" e ti ammolla
ProtectSurf, un adware del cavolo. Nel senso che non ricerca un piffero, va
semplicemente a scaricarsi
 
    hxxp://
inseauty-younds.com/[UID]
 
 
che scatena un redirect a Google.
 
All in all, un discreto pugnello di merda.
 
Leonardo
 
-- 
 
Ya se escucha sonar la metralla, ya el clarín toca fuego graneado:
ahora o nunca, muchachos arriba a acabar a estos hijos del diablo.