Wchodziliście na RedTube ze starym Flashem? Przeskanujcie komputer

dodał 18 lutego 2015 o 20:25 w kategorii Wpadki  z tagami: • •
Wchodziliście na RedTube ze starym Flashem? Przeskanujcie komputer

RedTube, jeden z najpopularniejszych serwisów internetowych oferujący filmy pornograficzne padł ofiarą włamywaczy. W ostatnich dniach każdy, kto do niego zajrzał, mógł zostać zainfekowany koniem trojańskim.

Firma Malwarebytes nie ma dzisiaj dobrych wiadomości dla miłośników internetowego porno. Mekka internautów szukających w sieci przysłowiowych gołych bab została skutecznie zaatakowana przez włamywaczy, którzy umieścili na jej stronie złośliwy kod infekujący posiadaczy nieaktualnych wtyczek w przeglądarkach.

Serwery RedTube ofiarą włamywaczy

Z reguły w przypadku ataków na duże serwisy internetowe najczęściej mamy do czynienia z przełamywaniem zabezpieczeń zewnętrznych sieci reklamowych (tak było w przypadku xHamstera, Elektrody czy Skąpca) . Nie da się ukryć, że jest to potencjalnie łatwiejszy cel dla włamywaczy, a dzięki osadzaniu dziesiątek reklam na stronach docelowych stanowi skuteczną metodę dostarczenia złośliwego kodu do przeglądarki użytkownika. Tym razem jednak scenariusz wydarzeń był inny – kod infekujący komputery umieszczony był bezpośrednio na serwerze RedTube.

Fragment złośliwego kodu

Fragment złośliwego kodu

Każda strona serwisu zawierała fragment wczytujący JavaScript, który z kolei ładował element IFRAME, przekierowujący przeglądarkę użytkownika do Angler Exploit Kit. To wyrafinowany zestaw skryptów próbujących infekować każdą przeglądarkę przez wykorzystanie najnowszych błędów w najpopularniejszych wtyczkach. AEK już wiele dni temu wyposażony był w najnowsze exploity na błędy we Flashu i z dużą skutecznością atakował komputery nieświadomych internautów.

Zadaniem, które przestępcy wyznaczyli dla Angler Exploit Kitu było zainstalowanie na komputerze ofiary konia trojańskiego Kazy. Inny badacz zaobserwował z kolei instalację oprogramowania wymuszającego okup od internautów. Jest całkiem prawdopodobne, że przestępca, który dysponował dostępem do witryny RedTube sprzedawał pochodzący z niej ruch różnym klientom zatem różne mogły również być rodzaje końcowej infekcji.

Według Malwarebytes do infekcji na pewno dochodziło 15 lutego – potwierdzają to także inne źródła. Początkowa wersja artykułu Malwarebytes twierdziła, że złośliwy kod nadal znajduje się w witrynie, jednak RedTube oznajmił na Twitterze, że co prawda padł ofiarą włamania 15 lutego, ale  jego skutki usunął w ciągu kilku godzin. Ciekawe, czy atakujący celowo wybrali dzień po Walentynkach…

Ktoś mógł zajrzeć z mojego komputera, co robić?

Jeśli znajdujecie się w sytuacji w której podejrzewacie że ktoś mógł 15 lutego odwiedzać witrynę RedTube z użyciem Waszego komputera a nie macie absolutnej pewności, że wszystkie wtyczki w przeglądarce były świeżo zaktualizowane, bo jest szansa, że komputer może być zainfekowany. Co gorsza złośliwe oprogramowanie niekoniecznie musi być wykrywane przez antywirusy – pliki mogą być aktualizowane częściej niż sygnatury programu antywirusowego. Osobom mocno podejrzliwym rekomendujemy odłączenie komputera od sieci na 48h (by powstrzymać aktualizację złośliwego oprogramowania), pobranie na innej maszynie najnowszych sygnatur dla antywirusa i sprawdzenie dysku bez podłączania komputera do internetu. Mniej podejrzliwym rekomendujemy pełny skan komputera w momencie jego uruchamiania. A wszystkim zalecamy włączenie automatycznych aktualizacji gdzie tylko to możliwe oraz aktywowanie funkcji „click to play” dla wszystkich wtyczek.

Podobne wpisy