Nieuws
image

Grootschalige aanval op ASP-sites

donderdag 13 oktober 2011, 15:52 door Redactie, 3 reacties

De afgelopen dagen zijn meer dan honderdduizend ASP en ASP.net pagina's gehackt en voorzien van een kwaadaardig script. De aanval richt zich volgens beveiligingsbedrijf Armorize vooral op Engels, Duits, Frans, Italiaans, Pools en Bretons sprekende bezoekers, aangezien het script de taalinstelling van het systeem controleert. Het script zorgt er vervolgens voor dat de browser een iframe van www3.strongdefenseiz.in laadt en vervolgens van www2.safetosecurity.rr.nu.

Op deze website draaien verschillende browser-exploits die lekken in Adobe Reader, Java en Flash misbruiken. De geinstalleerde malware wordt door 6 van de 43 virusscanners op VirusTotal herkend. Het kwaadaardige script in de pagina's heeft als adres http://jjghui.com/urchin.js.

Reacties (3)
13-10-2011, 16:02 door SirDice
Het is leuk om te weten wat voor malware er uiteindelijk op zo'n server staat maar ik vind het veel belangrijker om te weten HOE ze die servers gekraakt hebben. En ook in deze analyze ontbreekt deze uiterst belangrijke info.

Dat zo'n server misbruikt wordt om nietsvermoedende bezoekers te infecteren kun je op je klompen aanvoelen en is eigenlijk totaal niet relevant. Het is m.i. vele malen belangrijker om te weten hoe men die servers heeft kunnen infecteren zodat men dat in het vervolg kan voorkomen. Als de server niet gekraakt kan worden kan er ook geen malware geplaatst worden.

Los het probleem bij de bron op en doe niet aan symptoombestrijding.
14-10-2011, 09:19 door spatieman
of hoeveel ze betaald hebben gekregen, die optie, kan ook nog eens..
14-10-2011, 09:36 door [Account Verwijderd]
Voor wat betreft de ASP(.NET) mass-injection; hierbij wordt geen webserver gekraakt, maar veelal het FTP-account van een gebruiker. Waarbij het waarschijnlijk is dat het FTP-wachtwoord via een virus (Conficker, Gumblar, ...) verkregen is. Regelmatig wordt er ook gebruik gemaakt van lekken in een bepaald CMS om de iframe-code te injecteren.

Zie bijvoorbeeld ook:
http://blog.armorize.com/2011/06/mass-meshing-injection-sidenamejs.html

Uiteraard is het interessant (en van belang) om te weten hoe de accounts/servers, waarop de exploits (PDF, flash, Java, enz) gehost worden, gekraakt zijn, of dat het willekeurig geregistreerde domeinen gehost op botnet-zombies zijn. En ook wat voor exploits het precies zijn. Ik kom ook wel eens tegen dat er "gewoon" gekraakte shared hostingaccounts voor gebruikt worden.

Maar het probleem zal m.i. door de beveiligings-community én providers aangepakt moeten worden met een goede (web)server beveiliging, (web application-)firewalls en blacklists (zoals "Project Honey Pot", "Stop Forum Spam") en uptodate software. En aan de kant van de eindgebruiker, die er voor moet zorgen dat zijn software geüpdatet is. Voor dat laatste is berichtgeving en duidelijke informatie belangrijk.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search