www.MegaLab.it

da **Berga95** » lun feb 13, 2012 7:39 pm

Ho trovato questa simpatica bestiolina in un file HTML dato dal nostro prof, se volete dare un'occhiata qui c'è tutto...
Beh, non mi è mai capitato di vedere che venga iniettato del codice VBScript in un HTML [:D]

Da quanto ho capito questo script malevolo si occupa di creare un nuovo file, svchost.exe (malevolo, ovvio) con il codice contenuto nella riga 59, e poi lo esegue...
Il file, secondo quanto dice Avira, è una variante di Sality [^]

Ciò che non capisco, e ciò di cui sarei interessato riguardo un vostro parere è:

Il codice può essere eseguito fuori dal tag <HTML>?
Come mai c'è un <!-- dentro allo script?
Per le precedenti affermazioni, questo file è funzionante?
Che ne pensate?

da **Andy94** » lun feb 13, 2012 10:10 pm

Il codice può essere eseguito fuori dal tag <HTML>?

Sì, è fattibile.

Come mai c'è un <!-- dentro allo script?

Per far sì che i browser vecchi non interpretino il codice in quanto incapaci di farlo.

Per le precedenti affermazioni, questo file è funzionante?

Non vedo perché non dovrebbe. VBScript non è perfettamente supportato da tutti i browser (alcune funzioni particolari non sono interpretabili, per quel che ne so).

[ciao]

da **Berga95** » lun feb 13, 2012 10:50 pm

Andy94 ha scritto:
Il codice può essere eseguito fuori dal tag <HTML>?

Sì, è fattibile.
Come mai c'è un <!-- dentro allo script?

Per far sì che i browser vecchi non interpretino il codice in quanto incapaci di farlo.

Grazie mille [^]

Andy94 ha scritto:VBScript non è perfettamente supportato da tutti i browser

Capito

da **hashcat** » mar feb 14, 2012 3:08 pm

Berga95 ha scritto:Ho trovato questa simpatica bestiolina in un file HTML dato dal nostro prof, se volete dare un'occhiata qui c'è tutto...
Beh, non mi è mai capitato di vedere che venga iniettato del codice VBScript in un HTML Da quanto ho capito questo script malevolo si occupa di creare un nuovo file, svchost.exe (malevolo, ovvio) con il codice contenuto nella riga 59, e poi lo esegue...
Il file, secondo quanto dice Avira, è una variante di Sality

Non è la prima volta che mi capita di vedere una cosa simile, generalmente mi è capitato di trovare VBScript malevoli in pagine ASP o PHP.

Esempio

VirusTotal

[^]

www.MegaLab.it

HTML/Drop.Agent.AB

HTML/Drop.Agent.AB

Re: HTML/Drop.Agent.AB

Re: HTML/Drop.Agent.AB

Re: HTML/Drop.Agent.AB

Chi c’è in linea