Ricerche home video di Bin Laden sfruttati per infettare i computer

Gli esperti di Kaspersky Lab hanno individuato nuovi attacchi malevoli che che utilizzano la morte di Bin Laden e l'interesse che ne è seguito. Il governo americano ha pubblicato alcuni home video di Osama Bin Laden nel suo nascondiglio pakistano. Gli screenshot del video sono utilizzati per realizzare pericolosi attacchi blackhat SEO tramite Google Images. 

Si tratta del secondo allarme segnalato dagli esperti di Kaspersky Lab in pochi giorni a seguito della morte dello sceicco del terore.Molti siti Web legittimi basati su Nginx sono stati attaccati e sfruttando la vulnerabilità CVE-2009-2629. Anche perchè la popolarità di questo webserver è continuamente in aumento, tanto da essere divenuto in brevissimo tempo il candidato alla terza posizione tra i server HTTP più importanti al mondo, oltre che già il terzo server HTTP più usato in assoluto. I siti compromessi sono stati iniettati con il seguente script:

che portano ad un sito dannoso. Il dominio presenta un exploit per la vulnerabilità CVE-2010-1885 (la stessa vulnerabilità usata di recente per una campagna maligna simile). Di seguito uno screenshot reale dello sfruttamento:

Questa volta i criminali stanno facendo più pressione rispetto ad un FakeAV (Kaspersky antivirus rileva XP Anti-Spyware come Trojan.Win32.FakeAV.cxdi).

Il loro payload è una modifica del Trojan-Downloader.Win32.CodecPack che viene utilizzato da una botnet per scopi pubblicitari. In aggiunta a quanto sopra, se si visita uno dei siti compromessi con Mac, invece di malware si viene reindirizzati a un sito pornografico. Il Trojan è protetto da un software con codice pesantemente offuscato. Vale la pena notare che i domini a cui il downloader invia le richieste non sono veri e propri centri di C & C. 

I server associati a questi domini sono semplicemente Reverse proxy che servono soltanto a nascondere la botnet vera e propria del centro di comando e controllo. È importante sottolineare che tutte le richieste inviate al server di comando dal Trojan sono criptati. I dati vengono prima crittografati con l'algoritmo RC4 e poi codificati usando Base64. Kaspersky Lab ha rilevato il primo campione CodecPack nell'estate del 2008.

MAC Defender, il finto antivirus individuato da Intego per Mac OS X

Intego ha scoperto un falso programma antivirus denominato MAC Defender, che colpisce gli utenti Mac tramite attacchi di avvelenamento SEO (siti web creati che approfittano dei trucchi per l'ottimizzazione dei motori di ricerca ed ottenere la comparsa di siti dannosi in cima ai risultati di ricerca). Quando un utente fa clic su certi link dopo aver effettuato una ricerca su un motore di ricerca come Google, vengono inviati a un sito Web che visualizza una falsa schermata di Windows con un'immagine animata che mostra una scansione malware, una finestra indica quindi l'utente che il loro computer è infetto.

Scoperto falso sito donazioni al Giappone, attenzione alle mail ricevute

Come nella vita reale anche in quella 'virtuale' sul web non mancano i truffatori che hanno pensato di approfittare della solidarietà della gente per le vittime del terremoto e dello tsunami nipponico. La società Trend Micro, specializzata in sistemi antivirus, ha scoperto un sito di phishing dal nome japan.com che fingeva di raccogliere soldi per dare un aiuto alle popolazioni, colpite dal sisma. 

Creato con un sistema open-source di social networking Jcow 4.2.1, è ospitato su un indirizzo che si trova negli Stati Uniti. "Sfortunatamente i criminali informatici hanno a lungo approfittato dei disastri e delle catastrofi naturali per ottenere illeciti profitti - ha detto a IGN, testata online del Gruppo Adnkronos Rik Ferguson, Director Security Research Communication EMEA Trend Micro -. Pochi minuti dopo il terremoto abbiamo già visto che le ricerche online portavano a siti collegati al sisma con contenuti malevoli".

Uno dei siti che appare utilizzando la parola chiave “most recent earthquake in Japan” conduce a varianti FAKEAV, rilevate da Trend Micro come Mal_FakeAV-25. Per non finire vittime di questo tipo di attacchi Trend Micro suggerisce agli utenti Internet di cercare nuove informazioni sull’evento catastrofico, visitando direttamente siti di informazione affidabili.

Oltre a ospitare un sito di phishing, i criminali informatici responsabili di questo attacco hanno anche sfruttato la funzione blog del sito web, inserendo post che assomigliano a pubblicità, forse con l’intenzione di migliorare la posizione del sito nelle ricerche online, Search Engine Optimization (SEO). Gli attacchi informatici che fanno leva su catastrofi naturali, purtroppo non sono una novità. E' successo nel caso dell'uragano Katrina, del terremoto cinese del Sichuan e di quello di Haiti dell'anno scorso.

A parte le minacce di cui sopra, Trend Micro ha anche individuato dei messaggi spam che tentano di truffare gli utenti per fornire le loro informazioni personali. I messaggi arrivano in posta come un appello dell'Unicef ​​alle persone per inviare le loro donazioni ed aiutare così la popolazione giapponese. 

Lo schema è abbastanza facile da comprendere - il messaggio chiede ai destinatari di rispondere con informazioni personali quali il loro nome completo, numero di telefono e indirizzo di posta elettronica, ed è solo dopo che il destinatario risponde con queste informazioni che si ricevono le istruzioni per il sistema con cui possono fare la loro donazione. Gli esperti di Trend Micro suggeriscono quindi agli utenti di ignorare e cancellare tali messaggi, e fare molta attenzione alla scelta dei metodi per donare e ricorrere ai canali già noti per inviare le loro donazioni.