Pagina web a premiilor Nobel, atacată de hackeri

Versiunile 3.5 şi 3.6 ale programului de navigare pe internet, Firefox, au fost atacate. Mai multe website-uri infectate au început să distribuie malware în calculatoarele vizitatorilor. Siteuri importante, printre care şi pagina oficială a Premiilor Nobel, au fost compromise prin incluziuni iFrame care direcţionau utilizatorii către conţinut infectat.

Vulnerabilităţile au fost descoperite de specialiştii companiei BitDefender. Aceştia au constatat că fişierul în cauză era scris în limbaj JavaScript şi găzduit pe adresa http://l-3com.[eliminat]-work.com/admissions/admin.php. Acesta include elemente de atac (payload) pentru mai multe versiuni de Firefox, de la 3.6.8 la 3.6.11, care declanşează o eroare de programare prin utilizarea unei porţiuni din memoria calculatorului după ce aceasta a fost eliberată.

„Tehnică” folosită şi pe Internet Exporer 8
Deşi nu este o noutate absolută, această tehnică, a fost folosită şi în atacul din ianuarie asupra Internet Explorer 8, cunoscut sub numele de Operaţiunea Aurora.

La vizitarea paginii infectate, codul JavaScript verifică atât sistemul de operare, cât şi versiunea de browser folosită şi populează o anumită porţiune a memoriei cu două payload-uri diferite.

În timp ce primul payload diferă de la o versiune la alta a browserului, având scopul să declanşeze excepţia în browser, cel de-al doilea este identic pentru fiecare versiune şi va duce la execuţia fişierului infectat. Dacă utilizatorul ajunge pe pagina compromisă folosind un alt browser decât Firefox sau o versiune Firefox care nu conţine vulnerabilităţi, va fi redirecţionat către o pagină.

Control de la distanţă al calculatorului
Exploatarea cu succes a vulnerabilităţilor duce la descărcarea unui fişier numit svchost.txt, un fişier binar infectat care va fi redenumit ca svchost.exe şi executat în calculatorul victimei. Acest tip de malware este detectat ca Backdoor.Belmoo.A şi permite preluarea controlului de la distanţă  asupra sistemului infectat.

Utilizatorii BitDefender au fost protejaţi împotriva aceastei ameninţări încă de la apariţia ei (detectată ca fiind Exploit.CVE-2010-3765.A). Antivirusul blochează accesul către pagina web compromisă înainte ca vreun vreun cod să fie executat.

De asemenea, Firefox a lansat o actualizare la versiunea 3.6.12, care nu mai este vulnerabilă la acest tip de atacuri. Pentru a se proteja, utilizatorii sunt avertizaţi îşi actualizeze atît browser-ul, dar şi la soluţia de antivirus.