Secondo l’Internet Storm Center nelle ultime settimane è stato rilevato un sensibile incremento di siti web basati su WordPress e Joomla che presentano ora iframe con codice malevolo.
John Bambenek, membro dell’ISC, informa che appaiono colpiti maggiormente i siti con Joomla e l’attacco non mira a sfruttare una singola vulnerabilità ma esegue una serie di tentativi sul Server vittima e sul singolo sito (exploit scanner) sperando di trovare una delle falle che i numerosi plugin/componenti di questi CMS mettono (purtroppo) a disposizione.
Sebbene chi si cela dietro questo attacco massivo cerchi di rimanere nell’anonimato dall’ISC fanno sapere che ci sono alcuni elementi comuni:
- l’utilizzo prevalente di questi 2 Ip: 78.157.192.72 e 108.174.52.38
- la presenza di questo parametro nell’Iframe malevolo: /nightend.cgi?8
Gli iframe malevoli sfruttano tecniche di scareware per far cadere l’utente nella loro trappola. Chi visualizzerà la pagina infettata vederà comparire o redirettare il proprio browser verso “siti fake” che informeranno della presenza di virus nel proprio Pc. Ovviamente è tutto falso ma l’utente, in buona fede, sceglierà di scaricare il falso antivirus proposto.
A questo punto è stato raggiunto lo scopo del cyber-criminale!
Il finto antivirus, infatti, non farà altro che redirettare il traffico della vittima verso i cosiddetti sistemi di ridistribuzione del traffico che comprano e vendono traffico web. E così chi ha ideato il virus vedrà monitezzare il proprio “lavoro”.
Verificate se nei vostri siti ci sono codici malevoli di cui non vi siete accorti, mantenete l’antivirus costantemente aggiornato, aggiornate WordPress e Joomla all’ultima versione e rimanete in contatto con noi per avere sempre le ultime novità sulla sicurezza web!
