Phishing paypal ebay etc...

[killer malware]

Hello,

En lisant l'article de malekal sur la nouvelle tentative de phishing touchant divers sites ebay , paypal ,voyages sncf etc...

Je suis tombé sur un article très intéressant dans la revue "misc" (revue qui traite de la sécurité informatique),
cette article parle justement de cette nouvelle tentative de phishing.

En lisant l'article il apparait qu'on doit çà à zeus et spyeye dans l'exemple donné il y a la liste de tous les sites touchés, une bonne soixantaine dont ceux que malekal a cités dans son billet.



d'après l'article la technique d'infection s'appelle "popunder" et "popin" toujours d'après l'article le malware créé un cookie qui se charge de vérifier les adresses taper. Si l'adresse de la banque ou de la société et répertoriée dans la liste que le malware détient c'est bingo le cookie va s'activer en envoyant une fausse popup qui va apparaitre plusieurs fois.

D'après l'article toujours le laps de temps d'apparition de la fenêtre est réduite pour éviter les soupçons de l'utilisateur.


Pour en revenir au site touché se sont les sites populaires français :

réservation de voyage: sncf etc...

réseaux sociaux : facebook, etc...

e-commerce : c-discount etc...

zeus en compte 500 ! dans son fichiers de config...


D'après l'article encore une fois ! il n'y a pas de mesure miracle de protection ! c'est l'antivirus qui doit faire son boulot !

bref encore une belle invention "malwerienne"

A+

[Malekal_morte]

Salut,

Ok
Je me doutais bien qu'il y avait une liste de sites visés.

J'avais vu un article sur cela en googlant qui parlait de Zbot.
Mais ce qui est curieux, c'est que sur le PC de mon pote, il y en avait.
J'ai eu un cas de désinfection sur CCM et y avait que du sinowal.

Là j'ai mis du zbot et j'ai réussi à avoir la page en version allemande :

Votre sécurité en ligne est très importante pour eBay. Il semble que vous êtes connecté par ordinateur, nous ne sommes pas familiers. Nous savons aussi, vous utilisez des ordinateurs différents, nous prenons cette précaution supplémentaire pour empêcher l'accès non autorisé à votre compte.

[killer malware]

Salut ,

Cool la version allemande ! D'ailleurs ça devient de mieux en mieux traduis et ciblé les malwares en tous genre, surtout ceux qui font des attaques de phishing.

ça devient inquiétant car mieux c'est traduit et plus c'est ciblé et meilleur sera le résultat.

On commence à prendre un tournant je pense .... là ou il y a quelque années on avait des "bouze" traduite à l'arrache aujourd'hui difficile de faire la différence sur des choses légitime ou non ...

en plus il font tous pour mettre le doute ...

La revue misc est intéressante et très technique pour l'étude de cas de malware la description du malware et ses méthodes d'infection sont décrite avec minutie, mais bon j'y comprends une chose sur dix dedans !

En tous cas bravo pour le billet encore une fois fort intéressant.

A+

[Malekal_morte]

Facebook : http://www.trusteer.com/blog/facebook-f ... card-fraud

Mon pote a encore eu la popup sur ebay.
et y a pas de Zbot à priori.
Je vais essayer de voir à midi d'où ça peux venir.

[killer malware]

Salut ,

coriace cette infection :/

à ce que j'ai vu il crée un cookie qui se charge de faire apparaitre la popup, suivant un laps de temps aléatoire.

Essaye de dire à ton pote de vider le cache et les cookies de son navigateur mais je pense pas que se soit la solution se serait trop beau.

Dans l'article que j'ai lû il modifie la fonction normale de dll,

se sont les suivantes:

wininet.dll

ws2_32.dll

nspr4.dll (apparemment liée à firefox)

P.S. si l'infection dont ont parlent est la même elle désactive le filtre anti-phishing de IE (modif dans la bdr)

si tu trouves la solution et d'où ça vient tient moi au jus ...

A+

[Malekal_morte]

Voila, j'ai enfin pu identifié le malware qui provoquait les redirections pour arriver sur ces popups, c'est sinowal.
Les injections, c'est Zbot.

J'ai édité : https://www.malekal.com/2012/03/28/zero ... tity/#comm

[killer malware]

Salut ,

merci du retour.

Donc on a faire au couple sinowal/zbot

justement j'ai posté un post sur flashback et qui ressemble au cas donc on parle ici.

d'après un article que j'ai vu sur reuters.com

voici le lien: http://forum.malekal.com/flashback-trou ... 37269.html

après j'ai pas pû voir pour confirmer donc c'est peu être totalement autre chose...

A+

[Malekal_morte]

bha c'est possible qu'il ait le même module.