Newsgroup: it.fan.marco-ditri
Titolo: Aruba, dns poisoning, ci sono-non ci sono... O COSA?

Bonjour a tout-le-monde.
Una domanda logistica: c'e' un sito su Aruba. Non e' dinamico, non ha 
database, non ha una sola riga di script lato-server: sono solo pagine html 
statiche.
L'unico jscript presente e' un rimando al contatore di shinystat, solo 
sull'index.html, ed e' stato controllato cento volte, ma sembra e appare 
innocente.
Il punto e': per la seconda volta il sito e' finito nella lista nera di 
stopbadware. Il motivo, stando agli strumenti per webmaster di google, sarebbe:
"Google: Diagnostica: malware:
Problema generico: Durante l'ultimo test della pagina eseguito da Google, il
tuo server ha restituito contenuti che hanno indirizzato il browser a un
sito che distribuisce malware. Purtroppo Google non ï¿œ riuscita a isolare il
codice dannoso all'interno della pagina."
Che mi pare molto poco utile, come report.
Il problema e' che sia io, sia l'assistenza di Aruba, abbiamo controllato il 
sito sia ieri che oggi. E tutte le pagine presenti sono pulite. Niente 
"<script>", niente "<iframe>", niente "meta refresh", niente pagine .php o 
.asp (l'accesso all'area file l'avro' dopo pasqua, per controllare meglio la 
cartella ftp, ergo: non so manco se e' hosting windows o linux), niente 
.htaccess (sembrerebbe), niente di niente.
Anche lo script di shinystat viene lanciato semplicemente da 
http://codice.shinystat.it/cgi-bin/getcod.cgi?USER=utente
Insomma niente, cosi' come niente era gia' apparso intorno al 27, quando per 
la prima volta il sito era finito in blacklist, e dai nostri controlli e 
dalla verifica di google e stopbadware era risultato tutto a posto.
Ma ora ci risiamo, e di nuovo il sito appare in ordine...
... io mi sto scervellando: una volta che posso ravanare nell'area ftp... 
dove posso guardare? Che cosa potrei cercare a parte file .php/.asp/.htaccess?
-- 
Saluti, Grizzly - 
http://www.g-sr.eu/
  73 de 1uGRZ - PMR Chan  8 CTCSS 24 - SIRACUSA
  Compra i miei libri su 
http://www.lulu.com/g-sr
-Questo messaggio e' sottoposto a Licenza Creative Commons-
(CC)by-nc-nd 
http://creativecommons.org/licenses/by-nc-nd/2.5/it/
#3: "Il buio nasconde i movimenti sospetti"
  - Grizzly ("La casa impestata")

 .php/.asp/.htaccess?
Anche lo stesso html, con obfuscated javascript appeso nella pagina...
Lo scenario che riporti è abbastanza tipico di una situazione con PC "di
webmaster" virato, password ladrata e accesso non autorizzato per
aggiungere qualche feature al sito.
I log dell'FTP lo riporterebbero, ovviamente.
-- 
Professional System & Network Sarcazzer
http://bofhskull.wordpress.com/

 aggiungere qualche feature al sito.
Non lo metto in dubbio, ma l'intero html di 70 mega di sito non ha una sola 
riga "script", non ha un solo "iframe"...
Dopo l'ultima segnalazione il webmaster NON HA pubbicato ne' variato un bel 
nulla (tranne la password dell'area file dietro mio consiglio) e l'invasione 
appare MAGICAMENTE svanita... Il punto e': al 100% e' comunque sul lato 
poltrona, o si parla di qualcosa stile dns poisoning?
L'unico dubbio che mi e' venuto e' che oltre alle pagine ci sia qualche 
pagina "nascosta" (metti "
http://www.miosito.it/minonnoncariola.html
") non 
linkata per tutto il sito, ma che e' stata pubblicizzata su twitter (l'altra 
volta il criptico messaggio degli strumenti per webmaster diceva "un link 
twitter ha portato su codice malevolo sul tuo sito), ma porca miseria 
utilita' tendente a zero: scrivermi "il ns robot ha rilevato codice malevolo 
sulla pagina /abc/def.htm" non mi avrebbe fatto tanto schifo...
-- 
Saluti, Grizzly - 
http://www.g-sr.eu/
  73 de 1uGRZ - PMR Chan  8 CTCSS 24 - SIRACUSA
  Compra i miei libri su 
http://www.lulu.com/g-sr
-Questo messaggio e' sottoposto a Licenza Creative Commons-
(CC)by-nc-nd 
http://creativecommons.org/licenses/by-nc-nd/2.5/it/
#385: I giorni indimenticabili della vita di un uomo sono cinque o sei
in tutto... gli altri fanno volume
  - E. Flaiano

linkata per tutto il sito, ma che e' stata pubblicizzata su twitter (l'altra 
Capita molto spesso.
-- 
ciao, | Those people who think they know everything
Marco | are a great annoyance to those of us who do. (Isaac Asimov)

 Capita molto spesso.
Alla fine l'abbiamo trovato: uno script /cgi-bin/
chat.pl
 che non c'aveva 
messo nessuno.
Leggendo in giro ho visto che molti siti ospitati su aruba hanno avuto questo 
ospite indesiderato, ma anche che questo ospite indesiderato e' stato spesso 
causa di accessi ftp non autorizzati grazie a phishing, che il gestore del 
sito mi esclude, perche' non e' una cima in argomento tecnico, ma di 
tentativi di estorcere password ebay, aruba, banche e poste varie sa bene 
cosa sono e li ignora sempre e comunque... resterebbe l'ipotesi di qualche 
keylogger, ma mi convince poco anche quella.
... boh... btw abbiamo cambiato password ftp e ripulito l'area file. Stiamo a 
vedere che succede.
-- 
Saluti, Grizzly - 
http://www.g-sr.eu/
  73 de 1uGRZ - PMR Chan  8 CTCSS 24 - SIRACUSA
  Compra i miei libri su 
http://www.lulu.com/g-sr
-Questo messaggio e' sottoposto a Licenza Creative Commons-
(CC)by-nc-nd 
http://creativecommons.org/licenses/by-nc-nd/2.5/it/
#569: Mia moglie dice che non è salutare fare colazione col cotechino
inzuppato nel latte, e penso che abbia ragione, perche' effettivamente mi
provoca acidità di stomaco. Quindi per una volta le darò retta, e
d'ora in poi sostituirò il latte con del buon vino!
  - Bilbo Baggins

sito mi esclude, perche' non e' una cima in argomento tecnico, ma di 
Non grazie a phishing, ma grazie a trojan che rubano la password.
Se usa windows, molto probabilmente è impestato.


 Se usa windows, molto probabilmente è impestato.
Ipotesi piu' probabile. (-:
-- 
Saluti, Grizzly - 
http://www.g-sr.eu/
  73 de 1uGRZ - PMR Chan  8 CTCSS 24 - SIRACUSA
  Compra i miei libri su 
http://www.lulu.com/g-sr
-Questo messaggio e' sottoposto a Licenza Creative Commons-
(CC)by-nc-nd 
http://creativecommons.org/licenses/by-nc-nd/2.5/it/
#244: Io: "$collega ho avviato il firewall, vedi se riesci a pingami?"
Coll: "No: controlla il cavo di rete, che il ping non mi risponde"
  - Grizzly