ESET rileva ransomware Filecoder.NFR che si finge Google Chrome

Nella prima settimana del 2016 gli internauti italiani sono stati i più colpiti. E’ stato rilevato dai ricercatori di ESET con il nome di Win32/Filecoder.NFR il nuovo ransomware che si distingue dagli altri perché finge di essere il file necessario a eseguire il browser Chrome di Google. Win32/Filecoder.NFR funziona come un "ransomware as a Service" (RaaS) collegato a un server nascosto nella rete TOR (acronimo di The Onion Router, necessario per navigare nel Deep Web). Da lì, i criminali informatici possono scegliere cosa il malware infetterà nel sistema della vittima, quanti bitcoin chiedere come riscatto e quale messaggio intimidatorio mostrare sullo schermo.

Adobe risolve 18 vulnerabilità in Flash Player per tutte le piattaforme

Microsoft, rimanendo fedele al suo ciclo di aggiornamento, in occasione del patch day di febbraio 2015 ha rilasciato 56 correzioni per Windows. Tre dei bollettini vengono contrassegnati come critici, nel senso che risolvono vulnerabilità che potrebbero essere sfruttate da malintenzionati senza l'intervento dell'utente. Gli amministratori di sistema dovrebbero aggiornare il più rapidamente possibile. Questi bollettini riguardano Internet Explorer e entrambe le edizioni server e desktop di Windows. Anche Adobe ha rilasciato questo mese due bollettini di sicurezza che risolvono 18 vulnerabilità in Flash player, tra cui una vulnerabilità zero-day.

NetTraveler è tornato, malware ancora utilizzato dai pirati informatici

I ricercatori di Kaspersky Lab hanno annunciato un nuovo vettore di attacco di NetTraveler (conosciuto anche con il nome di “Travnet”, “Netfile” o Red Star APT), una minaccia persistente avanzata che ha già colpito centinaia di vittime di alto profilo in 40 paesi. Gli obiettivi di NetTraveler includono attivisti Tibetani/Uiguri, aziende petrolifere, di ricerca scientifica, università, aziende private e agenzie governative, ambasciate e aziende che operano nel settore militare. 

Subito dopo la scoperta di NetTraveler nel giugno 2013, i criminali hanno disattivato il sistema di comando e controllo spostando i server in Cina, Hong Kong e Taiwan, proseguendo comunque le proprie attività. Nel corso degli ultimi giorni, numerose email di spear-phishing sono state inviate ad attivisti Uiguri. L’exploit Java utilizzato per distribuire la nuova variante di Red Star APT è stato patchato nel mese di giugno 2013 e quindi rimane particolarmente efficace. 

I precedenti attacchi utilizzavano exploit Office (CVE-2012-0158), che erano stati disattivati da Microsoft lo scorso aprile. Oltre all’utilizzo di email di spear-phishing, gli operatori APT hanno adottato la tecnica del watering hole (reindirizzamento web e drive-by download su domini manipolati) per infettare le vittime che navigavano sul web.  

Nel corso dello scorso mese, Kaspersky Lab ha intercettato e bloccato una serie di tentativi di infezione dal dominio “wetstock[dot]org”, sito conosciuto per i propri collegamenti con attacchi  NetTraveler. Questi reindirizzamenti sembrano arrivare da altri siti Uiguri che sono stati compromessi e infettati da NetTraveler. Il team Global Research and Analysis Team (GReAT) di Kaspersky Lab aveva previsto l’integrazione e l’utilizzo di ulteriori exploit e fornisce alcuni suggerimenti:

●      Aggiornare Java alla versione più recente e se non lo si utilizza, disinstallarlo.

●      Aggiornare Microsoft Windows e Office con l’ultima versione.

●      Aggiornare tutti i software, come Adobe Reader.

●      Utilizzare un browser sicuro come Google Chrome, che ha uno sviluppo di patch più veloce rispetto a Internet Explorer.  

●      Prestare attenzione quando si clicca su link e si aprono allegati da mittenti sconosciuti.

“Ad oggi non abbiamo osservato l’utilizzo di vulnerabilità zero-day con NetTraveler. Per difendersi da questi, le patch sono poco efficaci mentre possono essere di grande aiuto tecnologie di DefaultDeny e Automatic Exploit Prevention”, - ha dichiarato Costin Raiu, Director of Global Research & Analysis Team di Kaspersky Lab. Secondo gli esperti russi il gruppo di hacker, che consterebbe di una cinquantina di componenti, sarebbe operativo almeno dal 2005.  Per ulteriori informazioni: Securlist.com.

Fonte: Kaspersky

Microsoft: pericoloso exploit in Internet Explorer 8, rilasciato un fix-it

Una vulnerabilità critica presente in Internet Explorer 8 viene sfruttata in wild. Gli attacchi vengono realizzati utilizzando pagine web che contengono codice malevolo in grado di sfruttare tale vulnerabilità. A seguito della scoperta della nuova vulnerabilità zero-day nella versione del browser IE 8, Microsoft ha rilasciato un "fix-it" che affronta i vettori di attacco noti. Nel frattempo i tecnici di Microsoft stanno sviluppando un aggiornamento per risolvere la vulnerabilità in maniera definitiva. 

Un recente attacco ad un sottosito del Dipartimento del Lavoro degli Stati Uniti, scoperto dai ricercatori di Alien Vault, ha rivelato che gli aggressori stavano in realtà utilizzando un nuovo exploit per una vulnerabilità 0-day che riguarda solo Internet Explorer 8. La settimana scorsa, i ricercatori della AlienVault hanno scoperto che il sito web del Dipartimento del Lavoro degli Stati Uniti era stata compromesso ed è stato al servizio del malware tramite un drive-by download. 

Si credeva di essere sfruttare CVE-2012-4792, una vulnerabilità in Internet Explorer versioni dalla 6 alla 8, che è stata scoperta alla fine dell'anno scorso e da allora è stata patchata. Tuttavia, dopo ulteriori indagini, si è scoperto che il sito in realtà è stato sfruttato attraverso una nuova vulnerabilità precedentemente sconosciuta. La nuova vulnerabilità (CVE-2013-1347) riguarda solo Internet Explorer 8 e consente l'esecuzione di codice arbitrario. AlienVault dice che almeno altri nove siti sono stati sfruttati con la stesso malware.

Il difetto è un problema uso-after-free che corrompe la memoria in modo tale da consentire l'inezione di codice arbitrario. Quando la vittima si connette al sito infetto, il browser esegue a sua insaputa uno script in grado di rilevare delle informazioni come le versioni di Microsoft Office e Flash, o il tipo di antivirus in esecuzione sulla macchina. Un Metasploit Framewok - uno strumento comunemente usato per i test di penetrazione - che sfrutta la vulnerabilità è ora disponibile, il che significa che la tecnica è generalmente accessibile. 

Per mitigare il rischio di exploit, Microsoft consiglia di aggiornare a IE 9 o 10 e d'impostare il livello dell'area di protezione Internet e Intranet locale su "Alta", così da bloccare i controlli ActiveX e script in tali aree. Configurare IE 8 in modo che venga richiesta conferma prima dell'esecuzione di script o disattivare tali script nell'area di protezione Internet e Intranet locale. Fin quando non sarà rilasciata una patch, Gerardo Di Giacomo, Security Program Manager del Microsoft Security Response Center, segnala il rilascio di un "fix it", disponibile a questa pagina.

Fonte: H Online

Via: Alien Vault
Foto credit 2: Url Query

Cyberattacco contro sito Council on Foreign Relations sfrutta falla in IE

Il sito web del Council on Foreign Relations (CFR) è stato infettato nei giorni scorsi con un trojan che sfrutta una falla sconosciuta, o zero-day, nelle versioni di Internet Explorer 6, 7 e 8 (ad esclusione delle versioni 9 e 10). La vulnerabilità può essere sfruttata attraverso la manipolazione di un sito Web, al fine di attaccare i browser vulnerabili. In attesa di una patch correttiva che chiuda il nuovo bug in IE, Microsoft ha rilasciato un Fix it temporaneo e suggerisce fattori attenuanti per ridurre al minimo i rischi di infezione.

Un utente malintenzionato potrebbe pubblicare un sito Web appositamente predisposto per sfruttare la vulnerabilità tramite Internet Explorer e quindi convincere un utente a visualizzare il sito web. David Mikhail, un portavoce del Council on Foreign Relations, ha confermato l'attacco. "Il team di sicurezza del sito Council on Foreign Relations è a conoscenza del problema e sta studiando la situazione", ha detto Mikhail in una e-mail a Freebeacon. "Stiamo anche lavorando per ridurre la possibilità di eventi futuri di questo genere".

"Questo è stato un attacco molto sofisticato", ha detto uno degli specialisti. "Erano alla ricerca di informazioni molto specifiche da persone specifiche". L'entità del danno non è nota, ma membri del CFR che hanno visitato il sito web tra Mercoledì 26 e Giovedi 27 dicembre 2012 potrebbero essere stati infettati e compromesso i loro dati, hanno detto gli specialisti. Il CFR è una delle organizzazioni d'elite della politica estera degli Stati Uniti, con una adesione di circa 4700 funzionari, ex funzionari, giornalisti, ed altri.

I suoi membri sono Brian Williams di NBC, l'attrice di Hollywood Angelina Jolie, e l'ex senatore Chuck Hagel, candidato ideale come segretario della difesa di Obama. L'attuale Segretario di Stato Hillary Clinton e il Segretario di Stato Kurt Campbell, l'U.S. foreign policy e l'elite della sicurezza nazionale, che include il. comandante del Comando Centrale americano Generale John Abizaid, e segretari di Stato Madeleine K. Albright, Colin Powell e Henry Kissinger.

Anche il Ceo di Fox News Roger Ailes è membro, come Rupert Murdoch Ceo di News Corp. Gli ex presidenti George W. Bush e Bill Clinton sono membri, così come l'ex Segretario alla Difesa Robert M. Gates e l'ex direttore della CIA David Petraeus. All'FBI è stato notificato l'attacco e sta indagando. Il, portavoce dell'FBI Jennifer Shearer ha rifiutato di commentare quando gli viene chiesto dell'attacco. Ma lei ha detto in una mail a Freebeacon: "L'FBI riceve regolarmente informazioni sulle minacce e adotterà le misure necessarie per le indagini".

Via: Freebeacon

Patch Day febbraio 2012, nove aggiornamenti tappano 21 vulnerabilità

Microsoft ha annunciato che in occasione del Patch Day di martedì prossimo, rilascerà 9 aggiornamenti di sicurezza. Queste includono un complessivo gruppo di 21 vulnerabilità. Delle 9 patch che verranno rilasciate 4 vulnerabilità sono considerate critiche perché consentono agli aggressori di assumere Windows, Internet Explorer e Silverlight iniettando ed eseguendo codice dannoso. 

Le altre vulnerabilità sono state valutate come meno importante da Microsoft, in quanto consentono agli aggressori di eseguire codice remoto. Inoltre, lasciare che le lacune che si estendono i diritti degli utenti non autorizzati. Una vulnerabilità particolarmente pericolosa in Internet Explorer può essere sfruttata per attacchi drive-by download. Questo consente a malintenzionati di installare malware su macchine Windows semplicemente chiamando un sito opportunamente modificato. 

Gli errori sono in Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2 e Internet Explorer 6, 7, 8 e 9. Suscettibili anche suscettibili Visio Viewer 2010, SharePoint Server 2010, SharePoint Server 2010 e Silverlight 4 sono interessati. Microsoft ha anche rilasciato un aggiornamento per .NET Framework 4. Questo ottimizzerà stabilità, prestazioni e affidabilità. Inoltre, il Gruppo ha aggiornato lo strumento di rimozione malware di Windows. Inoltre, con le patch, vengono fissati alcuni bug di sicurezza. 

Sei in Windows Server 2008 e 2008 R2, Multipoint Server 2011, Windows Small Business Server 2011 Essentials, Windows Home Server 2011 e Windows 7. Come sempre, Microsoft annuncerà i dettagli esatti solo quando la maggioranza dei computer saranno aggiornati. Le patch saranno in corso da Martedì prossimo (14 febbraio 2012) distribuite di default attraverso la funzione di aggiornamento di Windows. Se l'opzione è attivata, verranno installate automaticamente in background. Il gruppo consiglia a coloro che hanno disabilitato il Windows Update automatico, di scaricare la patch manualmente e installarle.

Via: Com-magazine

Apple rilascia aggiornamenti critici di sicurezza per piattaforma Java

Oracle rilasciato all'inizio del mese aggiornamenti di sicurezza per i pacchetti Java SE 1.6.0_26 per Windows, Linux e Solaris, per il fix di un totale di diciassette vulnerabilità, nove dei quali portavano un punteggio massimo sulla scala CVSS. Ma l'aggiornamento non era disponibile per gli utenti Mac, perché Apple distribuisce il proprio pacchetto Java e gli aggiornamenti di sicurezza. L’update, consigliato ovviamente a tutti gli utenti, è dedicato ai Sistemi Operativi Leopard e Snow Leopard. 

Nelle scorse ore la società ha rilasciato Java per Mac OS X 10.5 Update 10 e Java per Mac OS X 10.6 Update 5. Java per Mac OS X 10.5 Update 10 risolve alcune vulnerabilità in entrambi 1.6.0_24 e 1.5.0_28 Java, mentre Java per Mac OS X 10.6 Update 5 solo nel primo. Due delle patch, per CVE-2011-0868 e CVE-2011-0869, si applicano solo a Java 1.6.0_24. Il resto, per CVE-2011-0802, CVE-2011-0814, CVE-2011-0862, CVE-2011-0864, ​​CVE-2011-0865, CVE-2011-0867, CVE-2011-0871 e CVE-2011 -0873 si applicano a entrambe le versioni. 

Gli utenti sono invitati a distribuire questi aggiornamenti di sicurezza il più presto possibile in quanto alcuni dei difetti possono essere sfruttati da remoto per eseguire codice arbitrario. Dopo l'applicazione di patch, i pacchetti Java verranno aggiornati alle versioni 1.6.0_26 e 1.5.0_30, rispettivamente. Gli hacker possono attaccare le installazioni obsolete Java ingannando gli utenti caricando un pericoloso applet Java. Questi possono essere serviti dalle legittimi siti web compromessi. 

Java è attualmente la tecnologia web più mirata su Windows, e sfruttata per essere integrata nella maggior parte dei kit di drive-by download. Ci sono state anche segnalazioni di malware per Mac che viene distribuito come applet Java. Alla fine di ottobre 2010 ricercatori di sicurezza ha scoperto una Java-based trojan chiamato Boonana che conteneva payload per Windows e Mac. L’aggiornamento può essere eseguito manualmente con gli installer standalone oppure (opzione consigliata) automaticamente attraverso Aggiornamento Software.

Google Chrome, nuova funzione protegge dai download malevoli

Google sta implementando una nuova funzione di sicurezza sul suo noto browser Chrome, che avverttirà l'utente se si sta effettuando un download pericoloso, come già avviene per gli indirizzi internet. La tecnologia al momento utilizzata per valutare l'attendibilità di un sito è chiamata Safe Browsing, che sfrutta delle API per controllare gli indirizzi ed avvertire l'utente. L'aggiunta di Google Safe Browsing API avvisa le persone quando stanno per visitare siti web che offrono trojan Windows mascherati per esempio da screen saver o altre applicazioni innocue. 

Il colosso ha introdotto il servizio di ricerca cinque anni fa per avvisare gli utenti quando cercano di esplorare i siti che eseguono drive-by download che sfruttano le vulnerabilità di sicurezza nel sistema operativo o del software di navigazione. L'interfaccia di programmazione di base è già utilizzata da browser tra cui Google Chrome, Mozilla Firefox e Apple Safari. Tutto questo avviene in rispetto della privacy, infatti il browser si limita soltanto a controllare l'indirizzo, senza inviare nulla a Google.

E 'inoltre a disposizione di qualsiasi webmaster che voglia di usare la ricchezza di informazioni disponibili da Google per impedire i collegamenti dannosi vengano inviati ai loro siti. "Safe Browsing ha fatto molto bene al web, internet rimane ancora pieno di contenuti ingannevoli e dannosi", Moheeb Abu Rajab, un membro del team di sicurezza di Google, ha bloggato Martedì. "E 'facile trovare siti che ospitano download gratuiti che promettono una cosa ma in realtà si comportano in modo diverso". 

I keylogger, software botnet e adware sono solo tre esempi. La nuova funzionalità sarà inizialmente disponibile solo per gli utenti di Chrome che sottoscrivono il rilascio del canale di sviluppo browser. La società prevede di integrarlo nella prossima versione stabile di Chrome. Non vi è alcuna menzione della disponibilità ai fornitori al di fuori del browser di Google. L'avviso verrà visualizzato ogni volta che gli utenti incontrano un download da un URL che corrisponde al più recente elenco dei siti web "maligni" pubblicato dalle API di Google ®.

Fonte: Google Online Security

Via: The Register

Vulnerabilità 0-day in RealPlayer per attacchi drive-by download

Una vulnerabilità critica in RealPlayer che potrebbe essere sfruttata in attacchi drive-by download è stata indicata come zero-day. Secondo Luigi Auriemma, il ricercatore di sicurezza indipendente che l'ha scoperta, la falla è un heap buffer overflow classico in rvrender.dll che si verifica al momento della consegna di un file Internet Video Recording (IVR). "E' causata dall'assegnazione di una certa quantità di dati decisa da un aggressore (dimensione del fotogramma) e dall'importazione di un altra copia arbitraria sul buffer stesso", spiega il ricercatore. 

RealPlayer 14.0.2.633 per Windows è confermato come vulnerabile, ma anche le versioni precedenti del player, così come quelli per le altre piattaforme supportate, sono probabilmente vulnerabili. "Non c'è nessun aggiornamento o patch, e probabilmente Real ha solo di recente scoperto il problema, perché Auriemma generalmente non informa i fornitori in anticipo, ma pubblica le sue relazioni, senza contattatarli", afferma l'articolo.

RealPlayer è un media player proprietario che ha guadagnato molta popolarità negli anni '90 per essere stato uno dei primi ad implementare funzionalità di streaming multimediale. Oggi la sua quota di mercato è piuttosto bassa, perché gli utenti hanno migrato verso delle alternative open source come VLC, ma in ogni caso, è ancora utilizzato per supportare video di proprietà di RealNetworks e formati audio. 

Non è certo quando il venditore risponderà con una patch perché l'azienda non ha notoriamente un curriculum particolarmente buono quando si tratta di fornire tempestivamente le correzioni. Nel frattempo, gli utenti possono rimuovere manualmente il plug-in nel browser e controlli ActiveX per chiudere il vettore di attacco web. Nello stesso giorno della rilevazione della vulnerabilità di RealPlayer, Auriemma ha inoltre pubblicato i dettagli e il codice di exploit per 34 falle critiche presenti in alcuni prodotti SCADA. Tali avvisi hanno generato molto scalpore nella comunità di sicurezza.

Via: Aluigi

L'attacco malware del tipo "Drive-by-download"

L'alto livello di sofisticazione della comunicazione del browser Web, che interagisce con i dati archiviati nel PC, con le applicazioni del desktop e con i Web server, ha attirato l’attenzione di creatori di malware che si sono strutturati al meglio al fine di utilizzare la rete per inviare virus, spyware, Trojan, bot, rootkit e software di protezione fasulli. L’industria anti-virus definisce questo sistema cifrato di download del malware che avviene in determinati siti Web senza che vi sia la consapevolezza da parte dell’utente, con il termine “download drive-by”.

Decapitata botnet Bredolab dalla polizia olandese

Una nuova operazione condotta dalla Polizia Olandese ha “decapitato” la botnet Bredolab. Bredolab è un trojan polimorfico molto complicato, innalzato agli onori della cronoca soprattutto per essere stato utilizzato in campagne di attacco contro gli utenti di Facebook e MySpace. In realtà Bredolab è stato utilizzato per infettare gli utenti secondo quasi tutti gli schemi conosciuti, utilizzando tecniche che spaziano dagli attacchi di tipo drive-by, al più classico invio di e-mail fino a sofisticate tecniche di social engineering. 

La botnet di Bredolab è nota per essere collegata a campagne di spam e di diffusione di falsi software antivirus. Una volta installato, Bredolab prende il completo controllo del computer infetto e viene usato per ottenere informazioni sull'utente, tra cui le sue password e i suoi dati finanziari. Dopo aver acquisito con successo il controllo dei server, la polizia olandese ne ha fatto un uso creativo inviando notifiche agli utenti infetti e fornendo loro il link ad uno strumento per la rimozione del malware. 

La polizia Olandese ha segnalato la “disinfestazione” della Botnet che veniva utilizzata per distribuire malware a ignari utenti. Le autorità hanno avuto il supporto di community specializzate nella sicurezza e LeaseWeb, hosting provider Olandese, per eliminare oltre 143 server infetti. Dopo aver acquisito con successo il controllo dei server, la polizia olandese ne ha fatto un uso creativo inviando un messaggio agli utenti infetti e fornendo loro il link ad uno strumento per la rimozione del malware. 

Gran parte del merito della “decapitazione” di Bredolab va a LeaseWeb che ha lavorato a stretto contatto con con le autorità per “l’eliminazione dei server canaglia”. Sarebbe stato preferibile non vendere a Cybercriminali i server web ma ciò è teoricamente impossibile. Non tutte le società di hosting avrebbero agito nello stesso modo garantendo piena collaborazione con le autorità. Un consistente passo avanti nella lotta alle botnet, ma il problema generale della proliferazione dei network malevoli continua a rappresentare un trend in crescita.

Via: Punto Informatico

Attacco spam agli utenti di LinkedIn

Il social network professionale LinkedIn e' vittima di un attacco dei cyber-criminali che mette a rischio gli account bancari degli utenti. Da ieri circolano e-mail spazzatura indirizzate ai membri della rete sociale professionale, che hanno ricevuto messaggi di posta con false richieste di contatto. Le e-mail contengono il link a una pagina web con il messaggio 'attendere 4 secondi', un tempo utile per infettare i pc con un malware in grado di rubare dati. Social network dunque sempre più nel mirino dei cybercriminali.

Un milione di siti Web compromessi

Circa l'uno per cento di tutti i domini attivi Web sono stati infettati con codici maligni nel secondo trimestre del 2010, secondo i dati diffusi dalla società di sicurezza Web Dasient, Inc. Il numero di domini infetti è stato estrapolato da dati ricavati dalla scansione d'un campione di ciò che Dasient descrive come "Un milione di siti Web". Essa suggerisce che i siti web compromessi sono in aumento, attraverso i cosiddetti attacchi drive by-download. I difetti principali delle piattaforme di sviluppo Web hanno anche reso più facile il compito per i malintenzionati, sfruttando la navigazione del web.

JSRedir: il virus che prende in ostaggio i siti web

Un noto Worm, denominato JSRedir, costituisce una delle ultime minacce sul fronte dei malware ed è caratterizzato da una incredibile rapidità di diffusione, tanto da essere accreditato al 42% di tutte le infezioni a carico di websites registrate in una settimana (fonte: Sophos). JSRedir, conosciuto anche con il nome di Gumblar, è un virus che ha avuto una notevole diffusione negli ultimi mesi. 

L'interesse attorno a questo tipo di virus è dovuto alla sua particolare tecnica di diffusione Drive-by Download e cioè attraverso la vulnerabilità nel browser o nel sistema operativo dell'utente. Il vero obiettivo dei creatori del virus è quello di riuscire a modificare i risultati delle ricerche effettuate sul web con Google, attraverso l'installazione d'un server proxy attivo sulla porta 7171 ed indirizzando gli utenti verso siti fraudolenti o assolutamente legittimi ma "violati" dai pirati informatici.

Il trojan JSRedir è un malware che oltre a diffondersi sfruttando i consueti canali quali il peer to peer o le mail con allegati infetti, è in grado di sfruttare eventuali falle di sistema all'insaputa dell'utente e tramite contenuti malevoli riesce a rubare dati sensibili a scopo di lucro o per furti d'identità. In alcuni casi può sfruttare alcuni bug di sicurezza presenti su vecchie versioni di Flash Player, Adobe Reader o FLV infetti. L'unico modo per difendersi da questa minaccia è tener aggiornati sistema operativo e software di sicurezza, nonchè installando le nuove versioni di Flash Player e Adobe Reader.

Navigazione a «rischio»

Ogni giorno siamo soliti girovagare per le vie del web pensando di essere al sicuro ,solo perché siamo abituati a non andare oltre nell'apertura di contenuti nel download di programmi o materiale di vario genere. Purtroppo nelle zone nascoste della rete si cela una nuova minaccia,pronta a colpire noi viaggiatori del web.Stiamo parlando di un virus chiamato "JSREDIR",conosciuto anche con il nome in codice di Gumblar. 

La ragione per la quale JSREDIR è così pericoloso è dovuto alla sua tecnica di diffusione chiamata,"DRIVE by DOWNLOAD". Questo metodo sfrutta le falle di sicurezza dei browser e del sistema operativo per trasmettere in maniera invisibile il suo codice dannoso mentre stiamo caricando una pagina web su siti progettati con lo scopo dell'infezione o su pagine violate da hacker senza scrupoli. 

La natura di questo virus,che rientra nella categoria dei TROJAN,è diversa da altri malware in quanto oltre a sfruttare i soliti canali di diffusione,come file sharing, e-mail, o download pericolosi è capace di infiltrarsi nei nostri pc con l'intento di rubare le nostre informazioni private per scopi non certo benevoli e questo senza che noi possiamo avere il minimo sospetto, dato che, l'infezione avviene sfruttando dei bug di FLASH PLAYER e ADOBE READER, nelle versioni meno recenti. 

Da alcune rilevazioni è sorto che il vero scopo dei creatori del virus è quello di riuscire a cambiare le ricerche che effettuiamo su internet, ovvero tramite motore di ricerca,installando un server proxy sulla porta 7171 del nostro computer che ha la capacità di dirottare le ricerche da noi effettuate. JSREDIR, provvede a cambiare i valori di marcia della nostra scheda di rete, in maniera da riuscire a intercettare i movimenti sul web di altri computer collegati in rete alla macchina infetta. 

Da qui parte l'operazione detta di "SNIFFING"atta a incrociare dati di autenticazione a server FTP o siti web con restrizioni di accesso, dove ,con codici di javascript, provvederà a infettare le pagine. L'unico modo per difendersi da questa minaccia e cercare di tenere sempre aggiornato il nostro antivirus e il sistema operativo e aggiornare flash e adobe alle ultime release. N.B. E' sempre utile effettuare copie di backup del sistema per evitare di perdere tutti i nostri dati un caso di infezione.