VIRUS.. VIRUS..

Undskyld jeg smider den her istedet for i "off topic", men da jeg mener det er vigtigt og det ikke er alle der får vist "off topic" så smider jeg den her.

Jeg har i dag fået følgende besked her på mit arbejde.

Websiderne/domænerne eb.dk og ekstrabladet.dk er med virkning fra kl. 11.00 i dag blevet blacklistet i CSIS Sec-DNS og CSIS-CSG. Vi har valgt at gennemføre denne blacklistning fordi der gennemføres bannerinjektion fra eb.dk der eksponerer slutbrugere for skadelig kode.

Herunder en midlertidig analyse af angrebet:

CSIS har observeret, at den populære webside "eb.dk", er blevet misbrugt i forbindelse med banner-injektion. Det foregår typisk på den måde at et script videredirigerer slutbrugeren til en side hvor der opbevares skadelig kode og som forsøges kørt. Hvis det sker vil der droppes et rootkit samt flere ledsager komponenter til systemet.

Koden kopieres til c-drevet som ntdeIect.com der køres med det samme og som dropper:

[%windows systemmappen%]\kavo.exe
[%windows systemmappen%]\kavo0.dll
[%windows systemmappen%]\kavo1.dll
[%windows systemmappen%]\wincab.sys

Hvis browseren er konfigureret til at have tillid til "eb.dk" eller ekstrabladet vil koden køre automatisk og uden brugerens viden eller accept.

Dernæst fortages der en forbindelse til en server i Kina hvorfra der hentes en ledsager komponent som vi netop nu analyserer.