هشدار: آلودگی تبلیغات یاهو به بدافزار

به گزارش شرکت هلندی Fox-it که وظیفه‌ی اصلی‌اش شناسایی تهدیدات جدی سایبری است، تبلیغات وب‌گاه یاهو آلوده به بدافزار است.

این شرکت در وبلاگ خود اعلام کرده است که به برای کاربرانش سرویسی فراهم کرده بود که شبکه‌ی آن‌ها را به منظور یافتن فعالیت‌های مخرب پایش می‌کند، اما امروز این شرکت مشاهده کرده است که برخی کاربرانش پس از بازدید از وب‌گاه یاهو دچار آلودگی به بدافزار شده‌اند.

یاهو به محض این که کاربران به این وب‌گاه سر می‌زنند، صفحه‌ی تبلیغات خودش در آدرس  ads.yahoo.com را به کاربران ارائه می‌دهد، غافل از این که برخی از تبلیغات این صفحه آلوده به بدافزار هستند. برخی از این تبلیغات مخرب به شرح زیر است

     
 آدرس وب‌گاه
اول ژانویه2014     192.133.137.100     slaptonitkons.net
اول ژانویه2014     192.133.137.59     blistartoncom.org
-     192.133.137.63     original-filmsonline.com
-     192.133.137.247     funnyxxxxxonline.org
-     192.133.137.56     yagerxxx.org

 

به محض این که تبلیغات مخرب توسط کاربر مشاهده می‌شوند، این کاربران مورد سوء‌استفاده‌ی بسته‌ی نفوذی Magnitude قرار می‌گیرند و به صورت تصادفی به یکی از زیردامنه‌های زیر هدایت می‌شوند:‌

    boxsdiscussing.net
    crisisreverse.net
    limitingbeyond.net

و تمامی این دامنه‌ها توسط یک آدرس آی‌پی به صورت 193.169.245.78 مدیریت می‌شوند. در نهایت بسته‌ی نفوذی  Magnitude از آسیب‌پذیری‌های جاوا استفاده می‌کند و در سامانه‌ی قربانی بدافزار‌هایی از فهرست زیر را نصب می‌کند:

    ZeuS
    Andromeda
    Dorkbot/Ngrbot
    Advertisement clicking malware
    Tinba/Zusy
    Necurs

به نظر می‌رسد اولین نشان از آلودگی‌های تبلیغات وب‌گاه یاهو در تاریخ 30 دسامبر مشاهده شده است. وب‌گاه Fox-it گزازش می‌دهد که مطابق بررسی‌هایی که آن‌ها روی ترافیک عادی شبکه انجام داده‌اند که به صورت 300k/hr است، و نرخ آلودگی معمولی به صورت 9? این وب‌گاه می‌تواند در ساعت در حدود27 قربانی بگیرد و بیش‌ترین قربانیان با توجه به محتوای تبلیغات متعلق به کشورهای رومانی، انگلیس و فرانسه هستند.  این حملات احتمالاً با انگیزه‌های مالی برای مهاجمان ایجاد شده است و نحوه‌ی رفتار بسته‌ی نفوذی مانند آلودگی وب‌گاه php.net است که  نزدیک به دو ماه پیش رخ داد.

توصیه به کاربران:

به منظور مسدود کردن دست‌رسی بسته‌ی نفوذی و خود آدرس آی‌پی مخرب، به کاربران توصیه می‌شود آدرس‌های زیر را مسدود کنند:‌

    192.133.137/24
    193.169.245/24

منبع:وبگاه فناوری اطلاعات سازمان انرژی اتمی