Gumblar, un sitio Web que realiza ataques, está agregando nuevos scripts para reinfectar sitios Web “limpios”. El nuevo código malicioso se descarga en las computadoras, robando las credenciales FTP de usuarios desprevenidos para comprometer más sitios, y reclutar PCs en botnets para distribuir spam y software antivirus falso.
Los investigadores de seguridad han estado observando ataques en los últimos días de marzo que involucraban sitios Web comprometidos cargados con un script malicioso. Este script toma archivos maliciosos de Gumblar.cn y los carga en las computadoras de los visitantes al sitio. A diferencia de ataques anteriores en los que el script malicioso se insertaba en sólo una página de un sitio Web, este script se encuentra insertado en todas las páginas de los sitios Web comprometidos.
Asímismo, se descubrió insertado antes de las etiquetas
, e incluso en archivos JavaScript. La industria de la seguridad se ha referido desde entonces al compromiso masivo como el “ataque Gumblar”, para el dominio malicioso involucrado, pero en Japón el mismo ataque fue denominado “Geno” porque involucra un sitio Web de alto perfil con este nombre.
Los archivos maliciosos descargados de este ataque roban las credenciales FTP, monitorean la actividad en Internet del usuario infectado, y manipulan los resultados de búsqueda de Google. Los administradores de los sitios comprometidos fueron notificados y limpiaron enseguida los sitios Web alterados. Sin embargo, los criminales deben haber estado monitoreando la baja en el número de visitas al dominio de Gumblar, ya que pronto después de la limpieza, lanzaron otro ataque en los mismos sitios, haciendo sus scripts aún más difíciles de detectar y limpiar.
Se encontró el nuevo script inyectado en varios sitios anteriormente comprometidos, uno que también lleva a explotaciones para descargar archivos maliciosos del mismo dominio. Los sitios Web listados en listas negras de acuerdo al script anteriormente inyectado ya no estaban bloqueados pero seguían enviando a los usuarios desprevenidos los mismos archivos maliciosos.
