Vírus de email já era, agora é a vez da contaminação por drive-by download.

Foi-se o tempo em que você devia entrar em sites suspeitos atrás de pornografia e warez e tinha que apertar em botões de aceitação de downloads de aplicativos e codecs, para se encher de vírus. Agora, até o usuário acima de qualquer suspeita pode ser vítima dos golpes, porque ele não vai ser estimulado a apertar em nenhum botão mal afamado e nem vai precisar instalar coisa alguma. O simples navegar em qualquer site comprometido, por mais confiável que seja, é o suficiente para disparar uma sequência de comandos invisíveis ao usuário que vão entulhar o PC da vítima de Trojans, Adwares e vírus. É cada vez mais urgente a necessidade do usuário se conscientizar dos perigos da Internet e da importância de usar um Browser confiável e atualizado, antivírus robusto, atualizado, de reconhecida eficiência no mercado.

Mecanismo de contaminação “Drive-by Download”.
O método de drive-by download de vírus de sites confiáveis tem se tornado a forma mais comum de distribuição de malwares na internet atualmente. Antigamente, os internautas podiam evitar os vírus, simplesmente não optando por fazer download e executar aplicativos, barras de tarefas e plug-ins e o grande esforço educacional era no sentido de educar as pessoas para evitar estes downloads.

Na medida em que a concientização reduziu o número de problemas por downloads consentidos, outros canais de disseminação de vírus começaram a ser criados: a automatização do processo de contaminação dos computadores das vítimas através de downloads embutidos em páginas de HTML, imagens, iframes e scripts em linguagem Java.

A contaminação do vírus não depende mais da conduta do internauta.
Quando os cibercriminosos aprenderam a usar os objetos embutidos na Web (embedded web objects) para explorar vulnerabilidades dos browsers, tais como MDAC, Shell.Object e ANI, se tornou desnecessário induzir os internautas a instalar códigos maliciosos. Doravante, os internautas podem ser infectados simplesmente visitando uma página da Web onde haja um objeto infectado, que é executado automaticamente aproveitando a vulnerabilidade do browser.

O famoso ataque ao SantaLinks.
O ataque de iframe oculto é um golpe característico do tipo drive-by download, que os distribuidores de malwares utilizam para disseminar seus códigos. O site StopBadware foi o primeiro a encontrar este tipo de ataque em dezembro/2006, quando recebeu um pedido de investigação do webmaster do site SantaLinks, que entrou na a lista negra de sites potencialmente perigosos do Google.

Quando começamos os testes, inicialmente ficamos perplexos diante da aparente paranóia do Google, já que não encontramos quaisquer links comprometidos, ou links maliciosos no site. Contudo, uma inspeção mais minuciosa no código HTML revelou um iframe oculto no botão da página que explorava automaticamente uma conhecida vulnerabilidade do Internet Explorer para instalar um malware.

O dono do site removeu o código do iframe antes do natal, porém os criminosos rapidamente reinfectaram o site, porque a vulnerabilidade que possibilitou a primeira infecção não havia sido sanada. Reinfecções são comuns em sites que sofreram ataques devido a vulnerabilidades existentes no software do servidor, enquanto estas não são removidas. O famoso ataque de iframe sofrido pelo SantaLinks era relativamente simples, mas ilustra um ponto chave para o entendimento das maneiras que a distribuição de códigos maliciosos utiliza.

O mais importante de tudo, é que o SantaLinks era completamente inocente no processo, com uma credibilidade à toda prova, sobre qual não pairava qualquer suspeita. Anteriormente, os cibercriminosos dispendiam grandes esforços para espalhar seus downloads em determinados segmentos, constituídos de presas com alto apetite por pornografia e software warez. Mas, no decorrer dos anos os internautas aumentaram suas defesas contra os riscos explícitos de tais downloads.

Atualmente, já não há necessidade de caçar usuários onanistas, já que o trabalho sujo pode ser concentrado na tarefa de comprometimento do site alvo com iframes, scripts de javascript e outros objetos e torcer para que o webmaster seja o mais tanso possível.

Par se ter uma idéia das dificuldades de detecção, vejamos o grande estrago que pode causar um simples código metido no meio de um documento longo:

Um código inocente assim pode passar facilmente despercebido por um webmaster inexperiente, mesmo que tenha o poder de disparar no browser do visitante uma seqüência de scripts Java, que dispara iframes adicionais, que provocam downloads automáticos e a instalação do vírus que vai ferrar o computador do visitante.

Ofuscando códigos maliciosos.
Caso um judicioso webmaster tome a iniciativa de investigar um misterioso iframe, ele não vai encontrar códigos explícitos, mas sim scripts Java ofuscados e ininteligíveis para os leitores humanos casuais, parecidos com as assinaturas de vírus detectadas pelos scanners de antivírus.

O seguinte exemplo ilustra um script inserido num iframe malicioso:

O mesmo código vai ter a seguinte aparência quando ofuscado:

Adicionalmente à sofisticação deste tipo de contaminação em cascata, os links encadeados podem ser redirecionamentos para diferentes domínios, em diferentes servidores, em diferentes países, tornando muito difícil de rastrear, anular e até mapear globalmente a rede de malware, já que uma simples mudança de URL em qualquer nível da infraestrutura de distribuição, pode introduzir novos códigos maliciosos, ou mudar servidores que tenham sido bloqueados ou eliminados pelos provedores de Internet pela repressão policial dos países envolvidos.

Continua em:
Como se proteger da contaminação de vírus por ataque do tipo drive-by download?

Fonte:
Reinterpreting the Disclosure Debate for Web Infections.