Actualité autour de Browlock

[Malekal_morte]

Une campagne Browlock est actuellement en cours sur le site adulte xhamster avec la mention Interpol Association National Security Agency : https://twitter.com/malekal_morte/statu ... 7299418112
Pour rappel, Browlock pour Browser Locker est un ransomware qui vise à bloquer le navigateur WEB à travers une boucle de popups qui empêche de cliquer sur la croix de fermeture de l'onglet ou navigateur WEB.

C'est le même Browlock où une campagne avait eu lieu sur Spankwire en Aout 2014.
C'est aussi cette variante qui fonctionne sur Android/Mobile : Browlock sur Android.



Pour rappel, Browlock est un ransomware sous forme de page web qui bloque le navigateur WEB.
Aucun virus n'est installé sur l'ordinateur.
Le but est de se faire passer pour les autorités et de vous demander de payer une contravention imaginaire.

Browlock_xhamster_landing.png

Plus d'informations sur notre dossier : Ransomware Trojan.Winlock : Virus Gendarmerie

[Malekal_morte]

La campagne Browlock a aussi lieu sur pornerbros.com - un autre gros site adulte : https://twitter.com/malekal_morte/statu ... 4915198976

[Malekal_morte]

Deux nouvelles malvertising ont été publiées, celle-ci vise les USA et pas la France.

Malwarebytes publie une note dessus : SSL Malvertising Campaign targets top adult sites
https://blog.malwarebytes.org/malvertis ... ult-sites/

Celle-ci redirige vers du Browlock puis le WebExploit Angler.

browlocker_xhamster.png

Kafeine publie aussi une note indiquant qu'une autre malvertising conduit aussi à WebExploit Angler. pour charger le Bedep, un AdFraud malware, c'est à dire qu'il va charger des publicités pour monétiser ; lire l'actualité : Trojan Bedep - ADFraud à 150 millions de hits / jour.

xhamster_AnglerExploitKit_bedep.png

Ce n'est pas la première fois que le réseau TrafficHaus est ainsi touché par des malvertising, pendant plus d'un an, ce dernier a chargé des malvertising conduisant au malware Kovter, un autre Trojan.Clicker, et parfois à Reveton.

Xhamster a un Global Rank de 71, c'est un beau vivier d'internautes susceptibles d'être infectés.

[Malekal_morte]

et pour ceux qui se demanderait si Browlock Ransomware est toujours actif : https://twitter.com/malekal_morte/statu ... 4266839040
la réponse est oui.

Browlock_xhamster_fevrier_2016.png

Browlock_xhamster_fevrier_2016_2.png

[Malekal_morte]

Choppé par un hébergeur d'images via Piratebay : https://twitter.com/malekal_morte/statu ... 1625973761

browlock_National_security_agency_interpol_association.png

Comme je le mentionne 62.210.86.40 est utilisé depuis plus d'un an pour rediriger vers du Browlock.
Cette IP appartient à Illiad France ... yeah ... !

[Malekal_morte]

Malgrè la poussée des Crypto-Ransomwares... Browlock est toujours actif.

Une campagne Browlock active depuis plusieurs jours sur le réseau Youporn.
Plusieurs internautes ont remontés cette page de blocage Browlock - Interpôl Association National Security.
C'est le réseau TrafficJunky qui est touché.
=> https://twitter.com/malekal_morte/statu ... 0054622208

TrafficJunky contacté pour faire retirer.

Browlock_Ransomware.png

Browlock_Yourn_Pornhub_fiddlerlogs.png

[Malekal_morte]

de retour, sur xhamsters avec une nouvelle page, notez :

La fausse URL en gouv.fr, le navigateur WEB est forcé en plein écran, de ce fait, on ne voit que la fausse URL faisant croire qu'on est bien sur le site officiel.
Cette technique est aussi utilisée par les arnaques de support téléphoniques.

Toujours les mêmes raisons de blocages (zoophilie, pornographique infantile).
Le paiement se fait maintenant par Itunes maintenant.

Browlock-Police-Nationale-xhamster.png

[Xylitol]

Hello,
par rapport au poste précédent, celui ci semble détecté en temps que Trojan.JS.Cryxos (les arnaques de support téléphoniques)
Un descriptif et trouvable ici: https://www.f-secure.com/v-descs/trojan_js_cryxos.shtml

Effectivement c'est assez similaire, sur celui la on a aussi une fausse URL, et y'a même un MP3 d'une voix de synthèse qui est joué en boucle.
La même tactique est employé; blocage des touches et du navigateur, essaye de passé en plein écran.

2017-08-26_22-26-39.png

Une autre variante:

2017-08-26_23-31-44.png

Pour éviter d'être bloqué au futur, noscript

[Malekal_morte]

Merci Xylitol =)