BitDefender a identificat, săptamâna trecută, o serie de vulnerabilităţi de tip “zero-day” ale versiunilor Firefox 3.5 & 3.6, când mai multe website-uri infectate au început să distribuie malware în calculatoarele vizitatorilor.
Website-uri importante, printre care şi pagina oficială a Premiilor Nobel, au fost compromise prin incluziuni iFrame care direcţionau utilizatorii către conţinut infectat, conform specialiştilor BitDefender.
Fişierul în cauză era scris în limbaj JavaScript şi găzduit pe l-3com.[eliminat]-work.com/admissions/admin.php. Acesta include elemente de atac (payload) pentru mai multe versiuni de Firefox, de la 3.6.8 la 3.6.11, care declanşează o eroare de programare prin utilizarea unei porţiuni din memoria calculatorului după ce aceasta a fost eliberată.
Deşi nu este o noutate absolută, această tehnică, a fost folosită şi în atacul din ianuarie asupra Internet Explorer 8, cunoscut sub numele de Operaţiunea Aurora.
La vizitarea paginii infectate, codul JavaScript verifică atât sistemul de operare, cât şi versiunea de browser folosită şi populează o anumită porţiune a memoriei cu două payload-uri diferite.
În timp ce primul payload diferă de la o versiune la alta a browserului, având scopul să declanşeze excepţia în browser, cel de-al doilea este identic pentru fiecare versiune şi va duce la execuţia fişierului infectat. Dacă utilizatorul ajunge pe pagina compromisă folosind un alt browser decât Firefox sau o versiune Firefox care nu conţine vulnerabilităţi, va fi redirecţionat către o pagină about:Blank.
Exploatarea cu succes a vulnerabilităţilor duce la descărcarea unui fişier numit svchost.txt, un fişier binar infectat care va fi redenumit ca svchost.exe şi executat în calculatorul victimei. Acest tip de malware este detectat ca Backdoor.Belmoo.A şi permite preluarea controlului de la distanţă asupra sistemu
