Исследователи компании Websense предупреждали в минувшую пятницу, что эксплоит, целью которого считается установка на компы окончательных юзеров целого коктейля вредных программ, распространился по 30 тыщам web-сайтов, принадлежащим бизнес-структурам, правительственным агентствам и другим организациям. С опубликованной этими профессионалами подготовительной версией начальства по решению трудности возможно ознакомиться тут.

В ходе атаки на основные странички вебсайтов посредством SQL-инъекции устанавливается вредный JavaScript с замаскированным кодом, который смотрится, как скрипт Google Analytics. Из-за обфускации обнаружить его очень проблемно.

После установки скрипт перенаправляет гостей ресурса на особый сервер, который подвергает анализу их машинки на присутствие 10 всевозможных уязвимостей. Если таковые не появляются, юзер видит всплывающее окошко, уведомляющее его про то, что комп заражен и предлагающее установить поддельный антивирус. Код данного антивируса имеет полиморфную текстуру и вовсе не ориентируется основной массой истинных антивирусов.

Данный эксплоит имеет большое количество совместного с не так давно произошедшей глобальной болезнью, знакомой с именем Gumblar ,коя аналогично вставляет на веб-сайты замаскированные скрипты теперь успела заболеть в пределах 60 000 сайтов. Тем более, ряд различий принуждает знатоков Websense считать, что 2 данных атаки не соединены друг от друга.

После деобфускации делается заметно, что скрипт предписывает на копии легальных доменов Google Analytics, в заглавии которых намеренно созданы орфографические оплошности. Ранее таковой стратегией различалась RBN (Russian Business Network), в следствии этого ее причастность или непричастность к данному случаю устанавливается.