Cisco с разкрития за атаката към Yahoo

Настоящата година започна така, както свърши предната – с високопрофилни атаки към системите на големи компании. Twitter, NewYork Times, Zendesk, Evernote, Drupal.org, интернет ресурси на правителствени и държавни структури, изтичането на данни от учреждения, болници и банки, зловещия пробив в Adobe и разбира се най-внушителното изтичане на данни за последните години – „черешката на тортата“ в инцидентите свързани с компрометиране на данни – Едуард Сноудън и неговите разкрития за действията на АНС и контрола, който те са осъществявали над световните телефонни и интернет комуникации. Публикуването на данни на шпионите направи за смях АНС в очите на мнозина и ядоса сериозно други, и от двата лагера – както тези, които са били следени, така и тези, които са следели другите.

Първият голям пробив (макар и започнал в последния ден на миналата година, той е продължил и в тази) за 2014-а беше към системите на Yahoo, при който злоумишленици са компрометирали (няколко) европейски сървъри на компанията и по този начин са успели да вмъкнат рекламни банери, които са доставяли зловред на посетителите на главната страница на сайта на компанията, заразявайки по този начин десетки хиляди системи.

Все още не е потвърдено от компанията колко е точната бройка на засегнатите и какъв е метода използван от киберпрестъпниците, с който са се докопали до системите на компанията. Спекулациите тук не са една и две: ботнет мрежа, организирана за копаене на биткойни, кражба на данни, кражба на .dat файловете на копаещите биткойни, кражба на финансови и логин данни… Тези дни се появи доклад на поредната компания, която излиза със своя версия за случилото се. Това направиха Cisco с публикация в блога на сайта си. Според „Групата за анализ на заплахите, изследване и комуникация към Cisco ( Threat research, analysis, and communications group, TRAC) зловредните реклами са просто една от атаките в дълга серия от други атаки, поддети от една и съща група.

От TRAC са регистрирали огромно количество от 21 971 скрити хоста, свързани с 393 различни домейна, които са ползвали същия модел (pattern) като домейните свързани с малуер рекламите на страницата на Yahoo и понеже специалистите от групата все още (към момента на публикуването на материала – 09.01.2014г.)забелязват, че са активни, те препоръчват мрежовите администратори да блокират комуникацията на управляваните от тях системи с пълния набор от въпросните IP адреси. 

През повечето време, отбелязват специалистите, зловредните домейни са пренасочвали посетителите на страницата към два адреса: ptp22(точка)com or ptp33(точка)com, като и двата адреса обработват данни за pay-per-click афилирана програма, която се ръководи от организация именуваща се Paid-To-Promote(точка)Net.

Джейсън Шулц от Cisco решил да си направи акаунт в сайта на групата, за да разследва ситуацията. „Изглежда групата оперира като заразява интернет страници с цел поставянето на HTML код на сайта, който пренасочва посетителите на сайта към малуер домейните. Те от своя страна осъществяват HTTP 302 пренасочване, което генерира платен трафик посредством Paid-To-Promote.Net програмата, като по този начин се монетизира и трафика идващ от системите на жертвите“.