Ataque masivo a miles de sitios webs


Se ha encontrado gran cantidad de sitios conocidos y confiables (incluso mucho de ellos educativos, gubernamentales y de la lista Fortune 500) que apuntan a scripts hosteados en sitios chinos y que permiten la descarga de archivos ejecutables dañinos.





En este momento, se registran alrededor de 120.000 sitios afectados, de los cuales un porcentaje importante son sitios en español:

1

Aparentemente, a través de un ataque de SQL Injection, decenas de miles de sitios que utilizan Microsoft SQL Server han sido modificados agregando enlaces a sitios dañinos en sus tablas de la base de datos.

A través de estas modificaciones se ha logrado que cada vez que se ingresa al sitio atacado, se carga en el navegador del usuario un Javascript que invoca a otros scripts que explotan diversas vulnerabiliades en el sistema operativo, navegador y aplicaciones del usuario:
Vulnerabilidad MDAC (Microsoft Data Access Components), ya corregida por Microsoft en abril de 2006 con la actualización MS06-014.
Vulnerabilidad en Yahoo! Messenger ya corregida.
Una vulnerabilidad en Real Player solucionada en octubre de 2007 y otra vulnerabilidad en RealPlayer reportada este 3 de enero y aún no corregida. Si Ud. dispone de Real Player instalado, extreme la precauciones.

A modo de ejemplo analicemos un caso de un conocido (y muy visitado) sitio de musica latinoamericano que se ha visto afectado. Al momento de escribir el presente, este sitio ya ha solucionado y solventado el ataque.

Al ingresar al sitio lo único que se notará es una carga “más lenta” del mismo. Esto sucede debido a que múltiples sitios y archivos están siendo invocados y descargados en este momento de otros servidores. En el sitio puede verse lo siguiente:

1

Al descargar el código fuente pueden verse los enlaces al script dañino en el sitio uc8010[dot]com (o ucmal[dot]com en otros casos) y ejecutando el archivo Javascript 0.js múltiples veces. Si Ud. es administrador de red le recomendamos bloquear estos sitios de inmediato.

3

Esto es debido a que la inyección SQL ha impactado en diversas tablas y esto permite la modificación masiva de las cabeceras del archivo HTML involucrado. Los dominios mencionados han sido registrados el 28 de diciembre pasado y evidentemente el único fin ha sido el de crear este ataque masivo.

A continuación, si el usuario dispone de algunas de las vulnerabilidades mencionadas, y no cuenta con una protección antivirus adecuada, se procederá a ejecutar 4 scripts ofuscados que descargan al menos 3 archivos ejecutables dañinos. Estos archivos ejecutables son detectados por la Heurística Avanzada de ESET NOD32.

Parte del código fuente del archivo 0.js es el siguiente, donde se invoca a un nuevo script llamado w.js:

4

Este script a su vez invoca a nuevos scripts y también ya puede verse el primer código ofuscado que comienza a realizar pruebas de vulnerabilidades en el sistema del usuario:

5

Este proceso de descarga de archivos Javascripts ofuscados (e incluso un Vbscript) continúa y luego de seguir todo el proceso completo se contará con los siguientes archivos descargados:

6

Como puede intuirse con los nombres de los mismos, cada uno de ellos explota una de las vulnerabilidades ya mencionadas. Si estos exploits tienen éxito, el sistema resultará infectado con algún tipo de malware. Los 3 archivos ejecutables que pueden verse en la imagen son troyanos ladrones de contraseñas de juegos en línea. Estos archivos ejecutables son detectados por la Heurística Avanzada de ESET NOD32 cuando intentan ser descargados:

7

Si Ud. es administrador de un sitio web recomendamos:
Ser muy cuidadosos cuando suceden este tipo de ataques
Verificar el código fuente de sus aplicaciones para evitar ataques de SQL Injection (hardening de aplicaciones)
Verificar su sitio continuamente para detectar posibles vectores de ataques
Bloquear los sitios mencionados en el presente
Si Ud. es una de las víctimas, informar a sus clientes y visitantes, bajar el sitio si es necesario y solucionar el inconveniente (recuperar la base de datos, sanitizar el código fuente, etc.)

Si Ud. es usuario recomendamos:
Aplicar las actualizaciones del sistema operativo y las aplicaciones que utiliza
Bloquear los sitios mencionados en el presente
Instalar un antivirus con capacidades de detección heurística que evite la descarga de archivos dañinos

Fuente:
Cristian
http://blogs.eset-la.com/



Otras noticias de interés:

GUÍA DE INGENIERÍA SOCIAL ---
La gente de 70semanas.com tiene una guía de Ingeniería social, realizada pòr HaZcO. Muy Buena. Dentro de este artículo se detalla....
Microsoft retira de sus cuentas de Hotmail la característica WebDAV
Microsoft ha decidido quitar la característica de Hotmail que permite a los usuarios de este servicio de correo acceder a su e-mail a través del Outlook....
Disponible 3er número del ezine de Hack Hispano
Recientemente la gente de Hack Hispano liberó su tercer ezine, donde trata de diferentes temas....
Facebook expone datos de los usuarios, aunque perfil sea privado
Siguen encontrandose problemas de privacidad en Facebook. Un bug permite acceder a nombre completo y fotografía de perfil con solo introducir la dirección de correo del propietario....
Fallo de detección de virus en archivos ZIP
e ha reportado que múltiples productos antivirus son propensos a una vulnerabilidad que podría permitir que un código potencialmente peligroso dentro de un archivo .ZIP, eluda la detección del antivirus afectado....
Python 2.5 lanzado
20 meses después de su último release, el lenguaje Python llegó a su versión 2.5, quizás su actualización más importante desde la v2.2 del 2001....
Gadgets importados pueden ser una amenaza
Estados Unidos necesita estar más atento a los computadoras y a otros aparatos electrónicos importados que pueden estar cargados con software malicioso, según ha asegurado un destacado congresista experto en ciberseguridad....
Hackeada << hackemate.com.ar >>
Un Hackers cambio los DNS del dominio. Hackemate.com.ar...
Ocho nuevos virus nacen cada día
La velocidad con la que se propagan cada vez es mayor. El ´Bugbear´, por ejemplo, infectó 18 millones de equipos en un par de días. Cada código malicioso tiene su propio perfil....
Linux ya corre en XBoX sin chip
Mediante un procedimiento relativamente sencillo ya es posible correr Linux en una consola XBoX sin chipear. ...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • ataque
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • masivo
  • micros
  • miles
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • sitios
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • webs
  • website
  • windows
  • xanadu
  • xfce
  • xombra