Door Zarco.nlIk kom zojuist via een [url=http://www.google.nl/search?q=wga-blocker]zoekterm in Google[/url] het volgende tegen; een pagina met een grote lijst van verschillende gekraakte websites die wijzen naar een pagina om hxxp://www.sys-scanner.com/download.php?page=hxxp://www.sys-scanner.com/l1/index.html?ref_id=4448]spyprotector_install_4448.exe (40 kB) te downloaden.
Bij [url=http://www.virustotal.com/analisis/7cdb25cccbc00e296a5b637e2c76dae3]VirusTotal[/url] geven 18 antivirusprogramma's, zoals verwacht, aan dat er malware gevonden is.
[url=http://anubis.iseclab.org/?action=result&task_id=1b7452a1ed56be2441137a3c6179966fb&format=html]Anubis[/url] laat zien dat er bestand- en registrywijzigingen worden uitgevoerd die niet van tijdelijke aard zijn.
Tevens wordt er downloadt de "installer" een andere [/url=hxxp://www.spyprotector-pro.com/install.exe]"installer"[/url] van 1.2 MB.
Wanneer deze tweede "installer" naar [url=http://www.virustotal.com/analisis/38525e14218e0c725f067ec16387ddc3]VirusTotal[/url] en [url=http://anubis.iseclab.org/?action=result&task_id=1d98ce166c3178424a1f3bba6c3674318&format=html]Anubis[/url] wordt verstuurd, wordt er duidelijk dat dit om Spyprotector gaat, ook niet geheel onverwacht :P
Er worden een aantal executable op de systeemdrive geplaatst: [url=http://www.virustotal.com/analisis/c6a27d5bf9794b011bb9d20272178298]windll32.exe[/url], [url=http://www.virustotal.com/analisis/ed9ae551458ae1ac07468c031e11f1ec]lsascs.exe[/url] en [url=http://www.virustotal.com/analisis/59c17fd7cf4d6416391e9ade47777178]shellex.dll[/url].
Grappig om te zien is hoe verder een executable in het proces van de malware zich bevindt, des te minder antivirussoftware het nog detecteert.

Opvallend is dat veel van de gelinkte pagina's eindigen op .pl, maar volgens Netcraft in Duitsland of in G.B. gelokaliseerd zijn. Ik heb zo'n vermoeden dat ze allemaal gekraakt zijn d.m.v. SQL-injectie, da's wel de meest simpele methode om dit soort dingen voor elkaar te krijgen.

Iemand die zin heeft om nog verder te duiken? :)

Inmiddels heb ik Google ook ingelicht en geadviseerd deze en de gelinkte pagina's uit de zoekresultaten te verwijderen en in de blocklist te plaatsen.

Door Anoniemlink m dan ook niet hier, slimmerik !

sql injection zeg je dat is onzin ze worden gehost door een botnet zombie computers

Een SQL Injection is een opening in een website, waardoor een hacker de SQL query kan wijzigen. Meestal komt dit naar voren doordat de gebruikersinput niet goed geevalueerd en escaped wordt.