Nieuws
image

Trojaans paard verspreid via gehackte webservers

zondag 11 maart 2007, 14:51 door Redactie, 5 reacties

Sinds gisteren zijn tal van gehackte websites gebruikt voor het verspreiden van een Trojaans paard. De sites bevatten een script-tag die linkt naar een kwaadaardig JavaScript dat op een Chinese webserver gehost wordt. Het script probeert het bestand "install.exe" op kwetsbare systemen uit te voeren. Dit bestand installeert drie andere bestanden, "winboot.exe", "winroot.bat" en "1.exe", waarvan de laatste in het geheugen wordt geladen.

In eerste instantie werd de malware nog door geen enkele anti-virusaanbieder opgemerkt, maar inmiddels zouden de meeste virusscanners de Trojan moeten herkennen. Volgens Symantec en Kaspersky gaat het om een Trojaans paard dat de logingegevens van het online spel "World of WarCraft" steelt.

Erik van Straten en Peter V. maakten deze analyse op het Security.NL forum. Verdere informatie is te vinden via het Internet Storm Center.

Reacties (5)
11-03-2007, 17:03 door Anoniem
die analyse had wel ff grondiger gekunt, ff reverse engineeren en we
wisten al een stuk meer.
11-03-2007, 18:12 door G-Force
Door Anoniem
die analyse had wel ff grondiger gekunt, ff reverse
engineeren en we
wisten al een stuk meer.

Dat laat ik graag aan het ISC over.
11-03-2007, 20:45 door Bitwiper
Door Redactie op zondag 11 maart 2007 14:51
Erik van Straten en Peter V. maakten [url=http://www.security.nl/forum/i/131608/]deze analyse[/url] op het Security.NL forum.
Graag gedaan, en dank voor de vermelding!

Door Anoniem
die analyse had wel ff grondiger gekunt, ff reverse engineeren en we wisten al een stuk meer.
Okay, ik laat me trollen: waarvan wisten we dan een stuk meer?

Interessanter vind ik (en Maarten van Hoorenbeeck trouwens ook) hoe op die websites wordt ingebroken. Ik heb gezocht naar een common factor maar dat niet boven tafel gekregen. M'n bevindingen heb ik behalve hier ook gemeld aan ISC.

Overigens worden niet alleen IIS websites gehackt. Ik kreeg dit weekend een aardig schuifspelletje genaamd Frustr8tor (beetje sudoku-achtig). http://www.frustr8tor.com/ verwijst je door naar frustr8tor.nl (zelfde NL IP-adres). Als hier niets gefaked wordt is dat een RedHat box:
Date: Sun, 11 Mar 2007 19:16:41 GMT
Server: Apache/2.0.46 (Red Hat)
X-Powered-By: PHP/4.3.2
Boven een reeks PHP foutmeldingen staat het volgende:
HaCkeD By DandikSE.Org.. Eto & Snoby = eto@dandikse.org
(img src="http://dandikse.org/dosyalar/se.gif")
(ik heb de groter/kleiner dan tekens door ronde haken vervangen). Het plaatje vermeldt onder meer de volgende tekst: Turkish Hackers Was Here

Een veiliger Internet krijg je niet door steeds malware 'ff' te analyseren maar door problemen dichter bij de bron aan te pakken dan we nu doen. Klip en klaar: websites beter beveligen en het zombie probleem aanpakken.
12-03-2007, 15:34 door G-Force
Interessanter is inderdaad de vraag hoe er precies
wordt ingebroken en waar de zwakke plek zit. Weet je immers
hoe, dan kun je makkelijker tegenmaatregelen nemen.

Het pingen van het internetadres achter image source wijst
overigens naar een server in Turkije (Istanbul)
13-03-2007, 06:53 door Anoniem
Door Peter V.

Dat laat ik graag aan het ISC over.

ISC?? Waar gaat dit over
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search