Ataque masivo a miles de sitios webs


Se ha encontrado gran cantidad de sitios conocidos y confiables (incluso mucho de ellos educativos, gubernamentales y de la lista Fortune 500) que apuntan a scripts hosteados en sitios chinos y que permiten la descarga de archivos ejecutables dañinos.





En este momento, se registran alrededor de 120.000 sitios afectados, de los cuales un porcentaje importante son sitios en español:

1

Aparentemente, a través de un ataque de SQL Injection, decenas de miles de sitios que utilizan Microsoft SQL Server han sido modificados agregando enlaces a sitios dañinos en sus tablas de la base de datos.

A través de estas modificaciones se ha logrado que cada vez que se ingresa al sitio atacado, se carga en el navegador del usuario un Javascript que invoca a otros scripts que explotan diversas vulnerabiliades en el sistema operativo, navegador y aplicaciones del usuario:
Vulnerabilidad MDAC (Microsoft Data Access Components), ya corregida por Microsoft en abril de 2006 con la actualización MS06-014.
Vulnerabilidad en Yahoo! Messenger ya corregida.
Una vulnerabilidad en Real Player solucionada en octubre de 2007 y otra vulnerabilidad en RealPlayer reportada este 3 de enero y aún no corregida. Si Ud. dispone de Real Player instalado, extreme la precauciones.

A modo de ejemplo analicemos un caso de un conocido (y muy visitado) sitio de musica latinoamericano que se ha visto afectado. Al momento de escribir el presente, este sitio ya ha solucionado y solventado el ataque.

Al ingresar al sitio lo único que se notará es una carga “más lenta” del mismo. Esto sucede debido a que múltiples sitios y archivos están siendo invocados y descargados en este momento de otros servidores. En el sitio puede verse lo siguiente:

1

Al descargar el código fuente pueden verse los enlaces al script dañino en el sitio uc8010[dot]com (o ucmal[dot]com en otros casos) y ejecutando el archivo Javascript 0.js múltiples veces. Si Ud. es administrador de red le recomendamos bloquear estos sitios de inmediato.

3

Esto es debido a que la inyección SQL ha impactado en diversas tablas y esto permite la modificación masiva de las cabeceras del archivo HTML involucrado. Los dominios mencionados han sido registrados el 28 de diciembre pasado y evidentemente el único fin ha sido el de crear este ataque masivo.

A continuación, si el usuario dispone de algunas de las vulnerabilidades mencionadas, y no cuenta con una protección antivirus adecuada, se procederá a ejecutar 4 scripts ofuscados que descargan al menos 3 archivos ejecutables dañinos. Estos archivos ejecutables son detectados por la Heurística Avanzada de ESET NOD32.

Parte del código fuente del archivo 0.js es el siguiente, donde se invoca a un nuevo script llamado w.js:

4

Este script a su vez invoca a nuevos scripts y también ya puede verse el primer código ofuscado que comienza a realizar pruebas de vulnerabilidades en el sistema del usuario:

5

Este proceso de descarga de archivos Javascripts ofuscados (e incluso un Vbscript) continúa y luego de seguir todo el proceso completo se contará con los siguientes archivos descargados:

6

Como puede intuirse con los nombres de los mismos, cada uno de ellos explota una de las vulnerabilidades ya mencionadas. Si estos exploits tienen éxito, el sistema resultará infectado con algún tipo de malware. Los 3 archivos ejecutables que pueden verse en la imagen son troyanos ladrones de contraseñas de juegos en línea. Estos archivos ejecutables son detectados por la Heurística Avanzada de ESET NOD32 cuando intentan ser descargados:

7

Si Ud. es administrador de un sitio web recomendamos:
Ser muy cuidadosos cuando suceden este tipo de ataques
Verificar el código fuente de sus aplicaciones para evitar ataques de SQL Injection (hardening de aplicaciones)
Verificar su sitio continuamente para detectar posibles vectores de ataques
Bloquear los sitios mencionados en el presente
Si Ud. es una de las víctimas, informar a sus clientes y visitantes, bajar el sitio si es necesario y solucionar el inconveniente (recuperar la base de datos, sanitizar el código fuente, etc.)

Si Ud. es usuario recomendamos:
Aplicar las actualizaciones del sistema operativo y las aplicaciones que utiliza
Bloquear los sitios mencionados en el presente
Instalar un antivirus con capacidades de detección heurística que evite la descarga de archivos dañinos

Fuente:
Cristian
http://blogs.eset-la.com/



Otras noticias de interés:

Thunderbird 2.0.0.21 corrige varios problemas de seguridad.
Se recomienda actualizar cuanto antes. Mozilla acaba de liberar una nueva versión de su cliente de correo gratuito Thunderbird, sin duda una interesante alternativa a Outlook. ...
Cambios en la FSF y en la GPL
La Fundación para el Software Libre (FSF) está de cambios. Para empezar, han creado un nuevo sitio web, basado en Plone, m...
OpenOffice 3.0 RC2
La segunda Release Candidate de la suite ofimática de libre distribución OpenOffice.org ya está disponible para todos los usuarios. Las mejoras se centran en la corrección de pequeños fallos detectados en la anterior candidata, pero cada vez est...
Verificación de aplicaciones en Facebook es falsa
Parecía que Facebook ya estaba en buenos términos con la Comisión Federal de Comercio de Estados Unidos (FTC) tras cerrar un acuerdo la semana pasada, pero parece que no es así. La FTC acaba de lanzar una nueva acusación contra la red social y s...
La famosa Site Vanhackez tambien fue víctima
Siguen cayendo site a nivel mundial. Esta vez fue la de nuestros amigos de Vanhackez....
China podría estar planeando un ataque cibernético a gran escala.
Un informe de la CIA advierte que el Gobierno chino podría estar preparando un ataque cibernético a gran escala contra los sistemas informáticos de EEUU y Taiwán, con el objetivo de invadir la polémica isla. ...
Microsoft alerta de falla en Windows que lo hace vulnerable a ataques
Microsoft anunció el martes que una falla en la mayoría de las versiones de su sistema operativo Windows podría permitir que los atacantes ejecuten programas maliciosos en computadoras personales. ...
El software cerrado crea dependencia viciosa
Antes de que existiera el movimiento de libre acceso a la cultura y de software libre, la producción de programas era un gran negocio para sus únicos dueños. Pero se fue convirtiendo también en una actividad deshonesta por la manera desleal como ...
Twitter mayor control en aplicaciones de terceros
Los responsables de Twitter no están dispuestos a que su exitosa red de microblogging se vea expuesta a ciberamenazas por culpa de las aplicaciones de terceros, por esta razón han anunciado nuevas medidas para aumentar el control....
Actividad insegura en Internet. Amenaza de ataque de virus
Así comienza la alerta. Aunque parezca una protección generada por el mismo navegador, se trata en realidad de un método de engaño utilizado por un falso programa antivirus, también conocido como rogue o scareware....

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • ataque
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • masivo
  • micros
  • miles
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • sitios
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • webs
  • website
  • windows
  • xanadu
  • xfce
  • xombra