Newsgroup: it.comp.sicurezza.varie
Titolo: JS.Banker

Qualche buon anima che ha AVIRA potrebbe verificare se entrando nel sito di BancoPostaImpresa l'AV gli segnala la presenza di un trojan JS ?
Precisamente JS/Banker.BA
 
Il sito è questo
https://bancopostaimpresaonline.poste.it/bpiol/
 
 
O il problema è sul sito, o mi pare possa essere un falso positivo di AVIRA.
 
Ho letto in giro, anche sulla pagina FB di alcuni progetti delle Poste e ho visto diverse segnalazioni e tutti hanno AVIRA.
 
Qualcuno di voi potrebbe verificare?
Non mi pare di avere il PC compromesso.


Non avevo controllato il codice...
Tombola!
 
Un bel trojan nei siti delle Poste 
js/banner.js
 
AVIRA santo(o santa) subito che l'ha segnalato, l'unico antivirus direi che lo ha correttamente rilevato.
 
Fate molta attenzione ed evitate di accedere assolutamente fino a quando non avranno sistemato.
Il problema c'è almeno da 2-3 giorni.
 
Se siete entrati vi consiglio di cambiare le password.
 


ma hai dato un'occhio al codice html?
E' stato scritto da Topolino ubriaco!!!
Noscript mi segnala un accesso verso 127.0.0.1 (hai voglia te.. la banda del 
localhost)
 e uno verso il mio ip di uscita
Che serietà..
 
83.149.170.235
83.149.170.235
 
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 83.149.170.235
 
mmm... non sono un esperto di javascript quindi faccio un po' fatica a comprendere bene ciò che tenta di fare.
Vedo che cerca la presenza di alcuni plugins, come java e flash, ma non ho capito bene che cosa faccia se li trova.
Hai controllato che non scriva dei cookies?
Ad ogni modo dopo 3 giorni lì non ci dovrebbe più stare.

 E' stato scritto da Topolino ubriaco!!!
 
Avevo scritto due giorni fa ad Avira per avere spiegazioni sull'avviso di sicurezza. Non avevo però segnalato il file, ma indicato genericamente il problema.
Oggi mi rispondono dicendo che si tratta di un falso positivo.
A me però la presenza di quel file, con codice offuscato, mi pare un po' anomala... non vedo che utilità potrebbe avere come codice lecito... 
Sarebbe interessante capire qual è il pattern identificato da AVIRA.

 Oggi mi rispondono dicendo che si tratta di un falso positivo.
 
Mah... con l'ultimo aggiornamento vedo che non lo segnala più... però su virustotal se ne è aggiunto un altro
https://www.virustotal.com/it/file/f2b1901987a091589f6906177210a19aeb89b882e7c9e0fc4d3076f83f84283a/analysis/1439543606/
 
 
anche se pare più un euristico... a me sembra un file dubbio...

 anche se pare più un euristico... a me sembra un file dubbio...
 
Rendendo un po' più leggibile il codice con 
jsbeautifier.org
 pare di capire che c'è una chiamata a postestat . com/?  che mi pare generi un GIF
 
Inoltre vedo un GET ad un file /js/banner.html che è presente sul server.
 
Non so se il malware - mi pare che lo sia - sia attivo o meno... o magari è lì da un po' senza fare danni... però mi sembra strano che gli AV non lo segnalino, se non AVIRA che lo segnalava fino a poche ore fa. 
 
Il file passato all'antivirus viene individuato, però non lo blocca più se si carica la pagina web.
 
Alcuni utenti su FB dicono di avere problemi ad accedere da qualche giorno. 
Mah... cosa strana... non è che mi fidi molto ad entrare.

 ha scritto:

Meglio ancora chiudere immediatamente qualsiasi rapporto con loro.
 
 


Apparentemente è pulito.
 
http://urlquery.net/report.php?id=1439565233881
 
 
http://quttera.com/detailed_report/bancopostaimpresaonline.poste.it
 
 
https://www.virustotal.com/en/url/47356ae137600cf002c73332f8ff58d19034cde0db9fcb5ba75521cedc0bf91a/analysis/1439564201/
 
 

 Apparentemente è pulito.
 
Effettivamente non pare che ci sia un'attività malevola, però non è chiaro a che diavolo serva
http://www.webpagetest.org/result/150814_8D_104A/
 
 
Cerca due immagini in locale e sull'IP di connessione, qui ho trovato un caso analogo
http://www.wilderssecurity.com/threads/strange-links-from-my-banking-website.361064/
 
 
Questa roba è poi parecchio strana
GET /js/banner.html?
wellsfargo.com/*;banquepopulaire.fr/*;poste.it/*;bancaintesa.it/*;bnpparibas.net/*;usaa.com/*;fineco.it/*;myonlineaccounts2.abbeynational.co.uk*;client.uralsibbank.ru*;moneymail.ru*;/vtb24.ru/my/logon/*;/sbank.ru/*;money.yandex.ru*;/easypay.by/*;/my.ebay.com/*CurrentPage=MyeBayPersonalInfo*;.ebay.com/*eBayISAPI.dll?*;wellsfargo.com/*;banquepopulaire.fr/*;bankofamerica.com*;commerceonlinebanking.com*;wellsfargo.com/*;banquepopulaire.fr/*;wellsfargo.com/*;banquepopulaire.fr/*;bankofamerica.com/*;/CapitalOne_Consumer/*;://online.wellsfargo.com/*;.wellsfargo.com/*;/my.ebay.*/*;money.yandex.ru*;//money.yandex.ru/*;://secure.assist.ru/assistid/protected/main.do*;&timestamp=1439579964155
 HTTP/1.1
Accept: */*
Accept-Language: fr
Referer: 
https://bancopostaimpresaonline.poste.it/bpiol/
 
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.04506.30; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; MDDS; PTST 2.385)
Host: 
bancopostaimpresaonline.poste.it
 
Connection: Keep-Alive
Cookie: undefined=undefinedundefinedundefinedundefinedundefinedundefinedundefinedundefinedundefinedundefined
 
In effetti viene creato un cookie undefined
 
Ma qui occorre qualcuno con più esperienza e conoscenza in merito.
 
E' probabile che si sia trattato di un rilevamento in base ad un pattern preciso da parte di AVIRA poi "declassato" a falso positivo nel giro di 1 giorno circa... almeno come rilevamento in tempo reale, perché in realtà il file, se scaricato continua a essere rilevato come virus.

 O il problema è sul sito, o mi pare possa essere un falso positivo di AVIRA.
 
Temo che sia vera la prima. Questo
 
    h__ps://bancopostaimpresaonline.poste.__/bpiol/js/banner.js
 
e' pesantemente offuscato, con tecniche tipiche di virus e malware. Il fatto
che contenga link a siti di altre banche mi fa pensare che si tratti o di un
malware a pieno titolo, o quanto meno di un esempio di poca professionalita'
da parte di BancopostaImpresaOnline.
 
Ma visto che apparentemente questa roba cerca campi chiamati "password" e ha
l'aria di inviarne il contenuto via IFRAME ad un dominio anonimo, registrato
via GoDaddy, la mia opinione - umana e fallibile! - è che sia un trojan, che
fa il possibile per mascherarsi da script di statistiche per banner.
 
Quest'altro file non fa che confermare i miei timori:
 
    h__ps://
bancopostaimpresaonline.poste.it/bpiol/js/banner.html
 
 
Lo trovo anche qui:
 
    h__ps://
postepay.poste.it/resources/postepay/js/func_lib/banner.html
 
 
e difatti
 
    h__ps://
postepay.poste.it/resources/postepay/js/func_lib/banner.js
 
 
Leonardo
-- 
 
Some say the world will end in fire; / some say in ice.
From what I’ve tasted of desire, / I hold with those who favor fire.
But if it had to perish twice, / I think I know enough of hate
To say that for destruction ice / Is also great, / And would suffice.

 fa il possibile per mascherarsi da script di statistiche per banner.
 
AVIRA lo ha ufficialmente tolto... ora anche il file non risulta più individuato come virus.
 
Secondo le Poste non c'è nulla
www.picert.it/postepay-segnalazione-falso-positivo-software-antivirus/
 
 
Io però vorrei sapere a che diavolo serve... e perché è offuscato in quel modo... e che ci fa quel get con indirizzi di banche e altri soggetti... e quel cookie undefined (a proposito... è un cookie tecnico? ).
 
Comunque usando TPCVIEW di Sysinternals mi pare che l'amico non invii nulla a quel postestat .com anche se non sono un esperto quindi magari mi sfugge qualcosa.
 
Occhio non vede... cuore non duole...

 qualcosa.
 
Questo pure è tranquillizzante.
 
 

 atto azioni correttive.
 
In realtà non è stato "corretto" nulla, i files sono sempre lì... e non è che la cosa mi abbia tranquillizzato. Io spero che AVIRA abbia contrassegnato come falso positivo non perché Poste gli ha giurato che è tutto ok, ma perché hanno indagato a fondo la cosa.

 hanno indagato a fondo la cosa.
 
Hai ragione.
Comunque mi viene da pensare che Poste abbia guardato quel javascript e 
lo abbia riconosciuto come proprio, e dunque lo abbia lasciato lì 
perchè è lì che deve stare.
Spero...:-)
 
 

MVerric wrote on 15/08/15 12:05:

Sarebbe quindi utile chiedere al CERT di Poste una spiegazione su quel file.
 
Gabriele


In effetti... direi che è la cosa migliore.

 che è tutto ok, ma perché hanno indagato a fondo la cosa.
 
di solito (purtroppo) NON funziona in questo modo, quantomeno nel caso
di entià come "Poste Italiane" e simili :P c'è caso che il poveraccio
di turno sul quale hanno scaricato il barile ordinandogli di risolvere
il problema il prima possibile abbia spergiurato sul fatto che quella
roba è normale ottenendo il "de-listing" ... sino alla prossima
segnalazione, ovvio, a quel punto ... :P
 

Cookie: undefined=undefinedundefinedundefinedundefinedundefinedundefinedundefinedundefinedundefinedundefined
 
A me sembra un "qualcosa" antiphishing, così a naso...
Soprattutto per la lista di indirizzi del GET
 
-- 
Lex Tutor
L'Asilo Infantile di Bofhland® è un argomento che sarà oggetto
di un libro di prossima pubblicazione, quindi sto discutendo
di una questione che mi interessa per finalità di ricerca

 Soprattutto per la lista di indirizzi del GET
 
Nello script noto anche riferimenti a botnet e codici malevoli come 
il  Tatanga Banking Trojan.
 
...
|  type2: ["injKey", "MainBotName"],
|  type3: ["lvlfrpost"],
|  type4: ["tatangakatanga"],
...
 


Ora, ricontrollando dal tuo link l'ultima analisi, 
quei due scanner su VT non lo rilevano più, ma se ne sono aggiunti altri 10!
 
Però, anch'io ho provato a inviarlo e a me lo dà pulito.
https://www.virustotal.com/it/file/90dca3d8b341d85239bd58e797ca0bac0d3d0e17ede45d63f2c9c69ca5373eb2/analysis/
 
 
Tu come l'hai inviato?
Io ho copiato e incollato il contenuto dello script 
da 
http://www.domxssscanner.com/scan?url=https%3A%2F%2Fbancopostaimpresaonline.poste.it%2Fbpiol%2Fjs%2Fbanner.js
 
in un nuovo file e l'ho 
chiamato banner.js prima dell'upload a virustotal.
 

Io però vorrei sapere a che diavolo serve... e perché è offuscato in quel modo...
 
Beh, mi sono salvato il codice javascript (e l'HTML) per darci una occhiata.
 
Di solito questo tipo di offuscamento si basa sul fatto che per decodificare
il codice serve una persona che lo faccia, ed oltre una certa complessità la
cosa scoraggia chiunque non sia uno psicopatico <grin>.
 
Questo pezzetto per esempio è carino:
 
    'u4C': (function() {
        var Y4C = 0,
            p4C = '',
            E4C = [{}, / /, -1, / /, false, -1, null, -1, -1, {}, false, {},
-1, -1, / /, -1, NaN, NaN, null, / /, [],
                [], NaN, NaN, NaN, -1, -1, -1, null, null, null, null, [], '',
NaN, false, false, '', '', NaN, -1, -1, -1
            ],
            v4C = E4C["length"];
        for (; Y4C < v4C;) {
            p4C += +(typeof E4C[Y4C++] === 'object');
        }
        var Q4C = parseInt(p4C, 2),
            o4C =
'
http://localhost?q=;%29%28emiTteg.%29%28etaD%20wen%20nruter
',
            K4C = o4C.constructor.constructor(unescape(/;.+/
["exec"](o4C))["split"]('')["reverse"]()["join"](''))();
        return {
            l4C: function(b4C) {
                var s4C, Y4C = 0,
                    G4C = Q4C - K4C > v4C,
                    T4C;
                for (; Y4C < b4C["length"]; Y4C++) {
                    T4C = parseInt(b4C["charAt"](Y4C), 16)["toString"](2);
                    var U4C = T4C["charAt"](T4C["length"] - 1);
                    s4C = Y4C === 0 ? U4C : s4C ^ U4C;
                }
                return s4C ? G4C : !G4C;
            }
        };
    })(),
 
Innanzitutto osserviamo E4C. E' un vettore di elementi diversissimi, ma tutto
quel che interessa al codice è se essi sono oggetti oppure no... si tratta di
una semplice stringa binaria: 1101001001010010001111000000111110000000000.
 
Poi Q4C la decodifica in un numero intero, 7226582400000. E o4C e K4C servono
semplicemente per ottenere il js-unix-timestamp corrente (il codice richiesto
è scritto a rovescio nel finto URL di o4C).
 
A questo punto la funzione l4C prende un parametro (b4C) e conta se i byte di
tipo dispari sono in numero dispari. Se lo sono restituisce se siamo oltre la
"data di scadenza", altrimenti restituisce se NON lo siamo.
 
Questo giochino viene usato in seguito per decidere quali keyword usare, cosa
che serve a rendere il codice inservibile dopo una certa data:
 
            d2 = Y8W3h.u4C.l4C("b4a") ? "clearTimeout" : "form"
 
dopo la data critica restituisce "form", e non essendo questa una funzione lo
script esplode. La data critica per altro è il 2200.
 
===
 
Una cosa interessante è che un codice __simile__, ma non lo stesso!, lo trovo
qua
 
 
http://ddecode.com/hexdecoder/?results=ec52477b21961a39a06fdfb478ac9ebc
 
 
...è chiaramente un cugino, e usa la stessa stringa 'sh3mShel0' (tra altre).


 ...è chiaramente un cugino, e usa la stessa stringa 'sh3mShel0' (tra altre).
 
interessante

...è chiaramente un cugino, e usa la stessa stringa 'sh3mShel0' (tra altre).
 
...e a parte il puzzo di U-8200 che arriva al Creatore (in questo caso YHWH,
naturalmente), è almeno strano che gli URL presenti in banner.js risultino -
in larga parte - gli stessi di un phishing di due anni fa.
 
https://www.antispam-ev.de/forum/archive/index.php/t-35456.html?s=5aa77309fece312625c03e9afa23359a
 
