Investigación revela payloads ocultos en sitios HTTPS "bien reputados"

Los sitios web pirateados o alterados descubiertos son utilizados para varios propósitos maliciosos, los expertos en seguridad observaron los sitios web comprometidos en WordPress y Joomla que brindaban servicios de ransomware Shade/Troldesh (troyanos de la misma naturaleza que encriptan los datos de las víctimas, pidiendo una recompensa para recuperarlos), software de minería, backdoors, y también se registra participación en campañas de phishing.

Los sitios de WordPress comprometidos ejecutaban las versiones 4.8.9 a 5.1.1 del popular CMS, afectados por una falla de falsificación de solicitud entre sitios (CSRF) que reside en la sección de comentarios de WordPress, la cual está habilitada por defecto.

Los sitios CMS que ejecutaban complementos, temas obsoletos o software del lado del servidor utilizaban certificados SSL emitidos por Automatic Certificate Management Environment (ACME), impulsada por las autoridades de certificación, como Let's Encrypt, GlobalSign, cPanel, y DigiCert.

Lo interesante de la investigación, es el abuso de un conocido directorio oculto en los sitios HTTPS para almacenar el malware. El directorio es un prefijo URI para ubicaciones conocidas definidas por el IETF (Internet Engineering Task Force, organización internacional abierta de normalización, que tiene como objetivos el contribuir a la ingeniería de Internet) y utilizadas para demostrar la propiedad de un dominio.

Los administradores de sitios web HTTPS que usan ACME para administrar certificados SSL colocan un token único dentro de la carpeta, para mostrar a la autoridad de certificación (CA) que el dominio está bajo su control. La CA escanea esta carpeta en busca de un código que se envió previamente al administrador.

Los sitios web que entregan la Shade/Troldesh ransomware incluía tres tipos de archivos (HTML, ZIP y EXE) enmascarados como imágenes .jpg. Los archivos HTML se utilizan para redirigir a las víctimas para que descarguen archivos ZIP (reso.zip, rolf.zip y stroi-invest.zip) que contiene el archivo de JavaScript.

La variante del ransomware Shade/Troldesh involucrado en el ataque usa un cliente TOR para conectarse al C2 y encripta tanto el contenido como el nombre de los archivos seleccionados. Los atacantes utilizaron páginas de phishing relacionadas con varios servicios y marcas populares, como Office 365, Microsoft, DHL, Dropbox, Bank of America, Yahoo, Gmail entre otras marcas.


REFERENCIA

COMENTARIOS

Nombre

Adware,3,android,16,Antivirus,1,Apple,9,Apps,7,Arkavia Networks,11,Ataques,2,Backdoor,2,Bancos,5,Botnet,1,Botnet. Malware,1,Check Point,1,Cibercrimen,77,ciberseguridad,57,Cloud,1,CMS,1,CPU,1,Criptomonedas,3,cyber day,2,Cyberwarfare,2,Dark Web,2,Data Leak,3,Deep Web,4,Ecommerce,1,Empresas,86,Eventos,2,Exploits,3,F5 Networks,1,Facebook,5,Firmware,1,google,22,Hacking,41,Hardware,4,Industria,4,Instagram,2,Intel,2,Internacional,29,Internet,27,Investigacion,4,ios,1,IoT,3,ISO,1,Linux,2,Malware,12,Malwares,32,Microsoft,16,Nacional,10,Negocios,2,Oracle,1,OS,6,Payload,1,phishing,8,Protocolos,9,Ransomware,2,Recomendaciones,14,Redes,22,redes sociales,10,Rootkit,1,Salud,2,Smartphones,13,Software,12,Spyware,4,updates,18,Vulnerabilidades,41,Web,2,wifi,2,Windows,5,
ltr
item
Arkavia Networks News: Investigación revela payloads ocultos en sitios HTTPS "bien reputados"
Investigación revela payloads ocultos en sitios HTTPS "bien reputados"
https://2.bp.blogspot.com/-we_qRtNLmbs/XKS7xLKJSOI/AAAAAAAABR4/Rns3Y5xh2SU3rLdN5VSN_aHRB-tvB7mlgCLcBGAs/s640/https%2Bhack%2Bsites.jpg
https://2.bp.blogspot.com/-we_qRtNLmbs/XKS7xLKJSOI/AAAAAAAABR4/Rns3Y5xh2SU3rLdN5VSN_aHRB-tvB7mlgCLcBGAs/s72-c/https%2Bhack%2Bsites.jpg
Arkavia Networks News
https://www.arkalabs.cl/2019/04/investigacion-revela-payloads-ocultos.html
https://www.arkalabs.cl/
https://www.arkalabs.cl/
https://www.arkalabs.cl/2019/04/investigacion-revela-payloads-ocultos.html
true
7213111567211435179
UTF-8
Se han cargado todas las publicaciones No se ha encontrado ninguna publicación. Ver Todos Leer Noticia Responder Cancelar Respuesta Eliminar Por Inicio PÁGINAS ENTRADAS View All RECOMENDADO PARA TI ETIQUETA ARCHIVOS BUSQUEDA TODAS LAS ENTRADAS No se ha encontrado ninguna coincidencia de publicación con su solicitud. Volver al Inicio Sunday Monday Tuesday Wednesday Thursday Friday Saturday Sun Mon Tue Wed Thu Fri Sat January February March April May June July August September October November December Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec just now 1 minute ago $$1$$ minutes ago 1 hour ago $$1$$ hours ago Yesterday $$1$$ days ago $$1$$ weeks ago more than 5 weeks ago Followers Follow THIS PREMIUM CONTENT IS LOCKED STEP 1: Share. STEP 2: Click the link you shared to unlock Copy All Code Select All Code All codes were copied to your clipboard Can not copy the codes / texts, please press [CTRL]+[C] (or CMD+C with Mac) to copy