Trojan-Downloader.JS.Twetti.a

[N3rD^]

Ragazzi volevo segnalarvi questo problema. Stamattina mentre accedevo al forum, il mio antivirus (Kaspersky Internet Security) mi ha immediatamente bloccato il link facendo uscire questa schermata:



Gente che ha avast o antivir non ha rilevato niente.. poi sono andato qui: http://www.kaspersky.com/it/news?id=200
ed ho trovato questo: E' interessante sottolineare come, per infettare i computer degli utenti della Rete, i programmi malware Packed.JS.Agent.bn e Trojan-Downloader.JS.Twetti.a utilizzino un file PDF appositamente generato, il quale viene individuato come Exploit.JS.Pdfka.asd

Chiedo all'admin se il problema può essere risolto perché io personalmente per poter entrare nel forum devo disattivare il mio antivirus finchè il malware non va via..

[Butterfly]

Mi è appena successo. Stamattina sono entrata senza problemi .. invece ora ho effettuato l'accesso e AVG mi ha individuato il virus!!

[angelus76]

Il malware è stato rimosso ricaricando sul server la homepage originale.

Era stato inserito un javascript.
Da kaspersky.com:
Ci soffermiamo infine ad analizzare con dovizia di particolari Trojan-Downloader.JS.Twetti.a (collocatosi al 17œ posto della graduatoria di dicembre), il quale costituisce l'esempio di maggior interesse per ciò che riguarda l'opera creativa dei malfattori della Rete; il suddetto programma maligno si è reso protagonista del contagio di una moltitudine di siti legittimi. L'algoritmo che caratterizza il funzionamento di questo downloader merita davvero di essere esaminato con particolare attenzione. In effetti, una volta decodificato, in esso non è stato rinvenuto alcun specifico link al file eseguibile principale, né tantomeno è risultato possibile identificare degli exploit oppure dei link a questi ultimi! Una più approfondita analisi condotta dai nostri esperti ha poi permesso di rivelare che tale script utilizza l'API (Interfaccia di Programmazione dell'Applicazione) di Twitter, il celebre social network che, a quanto pare, gode di ampia popolarità anche presso i cybercriminali...
Lo schema di funzionamento del suddetto trojan è il seguente: viene in sostanza formulata una query per l'API, il cui risultato sarà rappresentato dai dati relativi ai cosiddetti «trend», ovverosia gli argomenti più discussi in Twitter. Con i dati ottenuti viene in seguito elaborato un nome di dominio pseudo-casuale, la cui registrazione viene effettuata in anticipo dai cybercriminali, essendo lo stesso stato ottenuto mediante identico algoritmo; viene infine realizzato il «passaggio nascosto» ad esso. In seno a tale dominio vengono poi dispiegati i principali elementi nocivi, quali ad esempio l'exploit PDF od il file eseguibile. In tal modo, l'elaborazione del link maligno ed il successivo «passaggio» attraverso di esso vengono in pratica realizzati "al volo", tramite un intermediario, nella circostanza rappresentato da Twitter.
E' interessante sottolineare come, per infettare i computer degli utenti della Rete, i programmi malware Packed.JS.Agent.bn e Trojan-Downloader.JS.Twetti.a utilizzino un file PDF appositamente generato, il quale viene individuato come Exploit.JS.Pdfka.asd e che, tra l'altro, come si può vedere, è entrato anch'esso a far parte della seconda Top-20 da noi stilata, piazzandosi al 12œ posto della graduatoria. Si può pertanto facilmente presumere che almeno tre dei programmi maligni maggiormente diffusi nel mese di dicembre costituiscano l'opera di un unico drappello di criminali informatici. Annotiamo inoltre come, tra i file eseguibili che a seguito di attacchi drive-by download vengono scaricati sui computer-vittima, siano stati individuati illustri membri delle famiglie di malware TDSS, Sinowal e Zbot, i quali possono essere di sicuro annoverati tra le minacce informatiche più serie attualmente esistenti; anche tale elemento induce di sicuro ad effettuare opportune riflessioni in materia.

[angelus76]

Comunque penso che il malware sia stato nostro ospite solo per un paio di ore.
Era stato colpito anche un altro mio sito su server linux aruba. Probabilmente hanno bucato il server di aruba...

Grazie per la segnalazione

[Mr. Francis]

Originalmente inviato da angelus76

Comunque penso che il malware sia stato nostro ospite solo per un paio di ore.
Era stato colpito anche un altro mio sito su server linux aruba. Probabilmente hanno bucato il server di aruba...

Grazie per la segnalazione

Fanno sempre così, bucano il server e iniettano il codice in tutte le pagine (sempre Aruba ).

[N3rD^]

ragà di nuovo però questa volta il malware è questo

[angelus76]

Originalmente inviato da N3rD^

ragà di nuovo però questa volta il malware è questo

Sono stato accolto anche io dallo stesso avviso stamattina
Ho caricato la pagina originale. Grazie per la segnalazione.

Complimenti ad Aruba: si è fatta bucare lo stesso server per 2 volte in 2 mesi

[N3rD^]

una buona media XD

Allora N3rd^ mi ha passato quest'immagine, dicendo che il problema si ripresenta...

Non può entrare nel forum proprio a causa di questo problema...

[angelus76]

Originalmente inviato da giuggy

Allora N3rd^ mi ha passato quest'immagine, dicendo che il problema si ripresenta...

Non può entrare nel forum proprio a causa di questo problema...

Rimosso il codice maligno dalla homepage.

Vi ricordo che queste "iniezioni" di codice maligno colpiscono solo le homepage dei siti presenti su uno stesso server. Per accedere al forum aggirando la homepage infetta, basta digitare direttamente l'url del forum nella barra degli indirizzi del browser (http://www.studentitaranto.com/forum).

Farò il possibile perchè lo spiacevole evento non si verifichi nuovamente... nel frattempo rinnovo i miei complimenti ad Aruba.