Trojan.Milicenso: 4000 скомпрометированных сайтов

1174
Symantec Logo

Корпорация Symantec раскрывает подробности об угрозе Trojan.Milicenso, которая стала известна благодаря побочному действию – отправке заданий на печать. Принтеры распечатывали случайные наборы символов до тех пор, пока в них не заканчивалась бумага. В рамках дополнительного исследования удалось установить, что данное вредоносное ПО загружается при помощи веб-атаки перенаправления .htaccess, и как минимум 4 000 веб-сайтов были скомпрометированы группировкой, ответственной за данную угрозу.

Перенаправление при помощи файла .htaccess

Файл .htaccess содержит конфигурационные данные веб-сервера, используемые веб-администратором для управления сетевым трафиком. Например, для запрещения доступа к определенным страницам, перенаправления запросов мобильных устройств на специальные сайты и так далее. Для мониторинга сетевого трафика с легитимными сайтами злоумышленники (и некоторые готовые наборы вредоносного ПО) используют уязвимость веб-серверов для модификации файла .htaccess:

  • Когда пользователь переходит по ссылке, браузер запрашивает доступ к скомпрометированному сайту.
  • Веб-сервер перенаправляет пользователя на вредоносный сайт, используя данные из файла .htaccess.
  • На инфицированном сайте может быть множество угроз, потенциально способных использовать определенные уязвимости ПК.

О перенаправлении, описанном в пункте 2, пользователь не предупреждается, и он не имеет никакого представления о том, что произошло «за кулисами».

Файл .htaccess

Чтобы не привлекать внимания сетевых администраторов, атакующий вставил в оригинал более 800 пустых строк как в начале, так и в конце файла. Конфигурация также была очень аккуратно сконструирована, чтобы не допустить обнаружения инфекции внешними пользователями или исследователями. Запрос к скомпрометированному сайту перенаправляется на вредоносную страницу, только при выполнении всех следующих условий:

  • Это первое посещение сайта (при последующих посещениях перенаправления не происходит);
  • Веб-сайт посещается при переходе по ссылке из поисковой системы, SNS или электронной почты (перенаправления не происходит, если пользователь заходит на веб-сайт из своих закладок или просто вписывая URL в адресную строку браузера);
  • Угроза работает только на платформе Windows (на других платформах перенаправления не происходит);
  • Используется популярный веб-браузер (переадресация не предусмотрена для альтернативных браузеров и поисковых систем).

Атакующий может отслеживать источник трафика, вставляя в запрос переадресации оригинальную URL.

Вредоносные веб-сайты

Изучение журналов позволило определить, что группировка использует технологию переадресации .htaccess как минимум с 2010 года. Перечень некоторых наиболее «свежих» вредоносных сайтов представлен ниже:

  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].tedzstonz.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].tgpottery.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].yourcollegebody.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].tgpottery.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].beeracratic.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].buymeaprostitute.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].zoologistes-sansfrontiere.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].zoologistes-sansfrontiere.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].buymeaprostitute.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].wheredoesshework.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].wheredidiwork.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].jordanmcbain.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].bankersbuyersguide.net;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].findmeaprostitute.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].watchmoviesnchat.com;
  • [СЛУЧАЙНОЕ ИМЯ ДОМЕНА].joincts.info.

Атакующие меняют имена доменов как можно чаще, чтобы избежать блокировки или попадания в черный список. В 2010 и 2011 годах злоумышленники переходили на новый домен каждые несколько месяцев, а в 2012 переходы происходят почти ежедневно.

Скомпрометированные веб-сайты

За последние несколько дней специалисты Symantec обнаружили почти 4 000 уникальных взломанных веб-сайтов, которые перенаправляют пользователей на вредоносные ресурсы. Большинство из них являются персональными страницами или сайтами средних и малых компаний, однако в перечне также присутствуют государственные, телекоммуникационные и финансовые организации, сайты которых также были скомпрометированы.

17 июля 2012

08:35

Ctrl
ПредыдущаяСледующая

Все новости за сегодня

Видеокарта Radeon Vega 64 Liquid Cooled Edition оснащена ЖСО Cooler Master, благодаря которой температура GPU составляет 53 градуса: Radeon Vega 64 Liquid Cooled Edition разобрали и запечатлели внутреннее строение2

Процессоры Ryzen Threadripper 1950X и Core i9-7960X установили несколько рекордов: CPU Core i9-7960X установил два мировых рекорда

3D-карта Asus Radeon RX Vega 64 Strix в сравнении с референсом работает на больших частотах, но с большим потреблением энергии: Появились тесты Asus Radeon RX Vega 64 Strix7

Apple может стать первой компанией, чьи умные часы массово будут использоваться в медицинских целях: Apple ведёт переговоры с Aetna14

Наушники Apple EarPods и AirPods будут лучше держаться в ушной раковине с аксессуаром Dodocool: Цена набора в данный момент составляет 10 долларов6

Смартфон Doogee BL7000 получил три датчика изображения Samsung ISOCELL и аккумулятор емкостью 7060 мА•ч: На стадии предзаказа смартфон предлагается по цене 160 долларов3

Анонс камеры Nikon D850 ожидается 24 августа: Поставки Nikon D850 могут начаться уже в середине сентября2

Смартфон Samsung Galaxy Note8 «засветился» на сайте производителя: Кроме того, опубликовано два видеоролика с участием Samsung Galaxy Note8

Компания Mercedes-Benz показала роскошный электромобиль Vision Mercedes-Maybach 6 Cabriolet : Запас хода Vision Mercedes-Maybach 6 Cabriolet — 500 км19

Apple продолжает активно расширять офисное пространство, еще не закончив штаб-квартиру Apple Park: С 1998 года штат Apple увеличился на 1500%11

Cмартфон Xiaomi Mi Mix 2 сможет распознавать пользователей по лицам: Анонс Xiaomi Mi Mix 2 ожидается в сентябре3

Передняя панель компьютерного корпуса Sharkoon TG5 изготовлена из закаленного стекла: Корпус Sharkoon TG5 рассчитан на системные платы типоразмера ATX

IP-ядро процессора изображения Pinnacle Denali-MC поддерживает HDR: К достоинствам Denali-MC разработчик относит 16-битное представление данных

Ассортимент EK Water Blocks пополнил водоблок EK-FB GA X299 Gaming RGB Monoblock: Водоблок EK-FB GA X299 Gaming RGB Monoblock стоит 120 евро

Точка доступа EnGenius EAP2200 соответствует спецификации 802.11ac Wave 2: Продажи EAP2200 уже начались по цене $2392

ВИКТОРИНА ASUSTOR

Процессор с какой архитектурой установлен в ASUSTOR AS6302T, благодаря которому производительно выросла на 30% по сравнению с прошлым поколением?
1318

iXBT TV

  • Обзор легкой, компактной и дешевой мясорубки Kitfort KT-2101 Carnivora

  • Обзор беззеркальной фотокамеры Fujifilm X-T20

  • Обзор кинотеатрального DLP-проектора BenQ W11000 с эмуляцией разрешения 4К

  • AMD Ryzen Threadripper 1920Х и 1950X — тестирование 12-ядерного и 16-ядерного процессоров

  • Обзор мини-ПК ECS Liva Z на базе процессора Apollo Lake

  • Самый лучший процессор, неудачи Microsoft, гибкие наушники Samsung

  • Обзор цветного МФУ Xerox VersaLink C405 для малых и средних офисов

  • Обзор умного чайника Redmond SkyKettle RK-G200S с подсветкой и нагревом воды до нужной температуры

  • Конфигурируем мини-ПК: изучаем влияние памяти и накопителя на быстродействие системы

  • 3D-карты AMD Radeon RX Vega, цены, спецификации, смартфон Meizu Pro 7

  • Обзор лазерного цветного МФУ Canon imageRunner Advance C3520i, младшего в новой линейке

  • Обзор робота-пылесоса iBoto Aqua V710 с функцией влажной уборки

1212

Календарь

июль
Пн
Вт
Ср
Чт
Пт
Сб
Вс

Рекомендуем почитать