Website do Ministério do Trabalho invadido e usado para divulgar malware

Por: em 20/06/09 na(s) categoria(s): Segurança

comentários 35

Quando recebo esse tipo de e-mail, normalmente verifico os links para avisar os administradores dos websites. Para minha surpresa, o primeiro link vai direto para um website da editora McGraw-Hill. Um script de redirecionamento escrito em PHP redireciona para um website do Ministério do Trabalho. Lá está hospedado o arquivo malicioso.

Aguardei a remoção do arquivo e durante a escrita desse post, eles finalmente retiraram o maldito do ar.

O e-mail foi esse abaixo. Simples e direto, como toda engenharia social. Repare que o remetente é um nome comum com dois nomes conhecidíssimos do público: Windows + Live.

19-06-2009 01-11-01

Os links apontam todos para o endereço www.glencoe.com/ebooks/literature/9780078793028/[editado].php?html=Fotos2009. Olhe de quem é o domínio:

20-06-2009 00-41-52

O arquivo malicioso está hospedado num website do Ministério do Trabalho, subdomínio de Santa Catarina, o FundaCentro (Fundação Jorge Duprat Figueiredo de Segurança e Medicina do Trabalho). Olhando a url, resolvi fazer a coisa mais imbecil do mundo: remover uma a uma para enxergar a permissão de pastas. E elas estão abertas como a Jesse Jane:

19-06-2009 00-48-44

19-06-2009 00-45-42

Eu avisei os responsáveis e o pessoal do Ministério foi mais ágil que os americanos e o endereço http://fundacentro.sc.gov.br/ojs/public/site/Foto2009.exe já não oferece mais perigo. O script no website da McGraw-Hill continua “vivo” e portando, não está divulgada o nome da página que pode ser redirecionada para outro endereço de download do malware.

Moral da história: o elo fraco da segurança ainda são os humanos. Não adianta ter o cofre mais seguro do mundo se você ensina todo mundo a deixar ele aberto.

Mais textos de | Site | Twitter

  • Bullet

    Vai que era as fotos daquela festa mesmo }:)

  • http://twitter.com/andreluis andreluis

    o pior é qdo sua mulher vê o seu email, e vc tem que clicar no link pra provar que não são fotos, é um spam/virus…

  • bRox

    auhauhauah essa é boa!
    “executa isso ou termino com vc, safado” :P

  • http://mafiaairforce.myminicity.com andre_mendesc

    Repensa a vida e troca de mulher! }:)
    _______
    AYBABTU

  • http://mafiaairforce.myminicity.com andre_mendesc

    [quote]Olhando a url, resolvi fazer a coisa mais imbecil do mundo: remover uma a uma para enxergar a permissão de pastas.[/quote]
    Eu faço muito isso.
    É como se eu não acreditasse em 404, apenas errei a pasta, aí eu vou voltando pra ver se acho outra página com links corretos ou a home do site. :P
    Tudo bem que não é muito seguro fazer isso onde se hospeda um vírus…
    _______
    AYBABTU

  • bond

    Uhuahuauhaa…

  • bond

    Ha um tempo atras minha mulher tambem fazia eu abri os links, e olha que eu custei a convence-la de que eram virus… Porém eu ja recebi engenharias sociais mais bem boladas do que essas do tipo “Quanto tempo blablabla… lembra dessa foto??”

    Já trabalhei em uma empresa de telecomunicações de medio porte, e teve uma vez que um cara ligo pra area de T.I. e fingiu ser o diretor da empresa alegando que havia perdido a senha e blablabla, e o inocente quer dizer burro do estagiario deu a senha pro mardito, a engenharia social foi muito bem feita pelo bandido, mais por sorte não deu em nada.

    Dai sempre que contratavam um cara para trabalhar na area de T.I. tinha que contar toda a historinha dinovo e tals, acreditem a historia foi convincente (na época claro). Mas só um cara muito inesperiente caíria.

  • Atípico

    [quote=andre_mendesc]É como se eu não acreditasse em 404, apenas errei a pasta, aí eu vou voltando pra ver se acho outra página com links corretos ou a home do site. :P [/quote]

    Curiosidade é fogo viu! Eu faço isso MUITO…
    Principalmente em pastas do tipo site.com/folder/pasta1/arquivo2.mp3
    Já descobri coisas bem interessantes assim.
    Principalmente na época em que não era padrão editar permissão de pastas! ;)
    ___________
    [Esta é uma assinatura subliminar. Você não está vendo nada aqui.]

  • Diavolul

    eihaeihaiheaihiahiei, eu também recebi esse email….
    Ainda to na dúvida, clico ou não clico nas fotos? }:)
    abcs

    ____________________________________________________________________

    pessoas normais torcem por times de futebol; geeks torcem por sistemas operacionais.

  • Bullet

    Quem não deve não teme safadjinho aeuhuaeuhaidhauiehiuahsdaheud }:) :P :D

  • http://melinka.net Rocky

    Já tive que fazer isso. E o Kaspersky quase teve um infarte na hora que executei o arquivo.

    E visite meu blog.
    _____________________
    About Me – Muita Pimenta para sua vida.
    01010010 01101111 01100011 01101011 01

  • Rodrigo8

    ainda existe gente q clica em arquivos .exe ? nem o meu avo de 90 anos faz isso
    no mínimo esse “hacker” nao passa de mais um scriptkid brincando nos servidores mal configurados com suas senhas default

    experimentem estes links via ftp é mais interessante

  • Bullet

    Acho que foi só pra dizer :
    “-Sim eu posso.”

  • http://amirton.wordpress.com amirton

    Mais uma vantagem de ter namorada nerd

    http://amirton.wordpress.com – Tecnologia e outras formas de diversão

  • http://mafiaairforce.myminicity.com andre_mendesc

    Mais uma vantagem de ter namorada nerd [2]
    _______
    AYBABTU

  • http://bsrsoft.com.br andre_pereira

    [quote=Rodrigo8]ainda existe gente q clica em arquivos .exe ? nem o meu avo de 90 anos faz isso
    no mínimo esse “hacker” nao passa de mais um scriptkid brincando nos servidores mal configurados com suas senhas default

    experimentem estes links via ftp é mais interessante[/quote]

    Sim. Existe muita gente que clica em .exe .com .src etc.

    Por isso que os jornais todo dia têem uma notícia sobre roubo/desvio de dinheiro pela internet.

    Sem completos idiotas ou analfabetos funcionais digitais, esse tipo de crime já não existiria mais.

    ————————————————-
    André Luis Pereira
    BSRSoft IDC
    http://www.bsrsoft.com.br

  • carituS

    [quote=Ricardo Bicalho]
    Quando recebo esse tipo de e-mail, normalmente verifico os links para avisar os administradores dos websites.
    [/quote]

    2. Só não faço nada quando o domínio é alguma coisa .ru ou .cn. }:)

  • http://epicfailureblog.wordpress.com/ kbloSnack

    Por isso que adoro o vista…um .jpg.exe aparece com o ícone de .exe :D

    Animes, mangás e games: http://epicfailureblog.wordpress.com/

  • http://mafiaairforce.myminicity.com andre_mendesc

    Coisa básica.
    Acho que até no Windows ME é assim… :P
    _______
    AYBABTU

  • http://oonisciencia.blogspot.com O.Onisciente

    Sinuca de bico isso aí!
    Nessa hora eu fingia um ataque do coração. hauhhauhuahuhauhah

    http://principal.oonisciente.operaunite.com

  • http://oonisciencia.blogspot.com O.Onisciente

    Engenharia social é um negócio interessante. Quando bem feita, você realmente pode burlar o sistema facilmente e fazer coisas “muito legais”, hehehe. Mas toda engenharia social não é suficiente contra um funcionário bem treinado.

    http://principal.oonisciente.operaunite.com

  • http://flavors.me/naio21 OMGWTFBBQ

    A MS devia deixar desabilitada aquela opção de “Ocultar extensões de arquivos conhecidos” POR DEFAULT. Isso confunde os n00bs bragarai e faz a alegria dos “engenheiros sociais”.

    O pior é que eles não se ligaram nisso até hoje, tanto que até no W7 as extensões vêm ocultas de fábrica… :-\
    ______________
    Nóis tuíta mais num bloga

  • http://bsrsoft.com.br andre_pereira

    [quote=OMGWTFBBQ]A MS devia deixar desabilitada aquela opção de “Ocultar extensões de arquivos conhecidos” POR DEFAULT. Isso confunde os n00bs bragarai e faz a alegria dos “engenheiros sociais”.

    O pior é que eles não se ligaram nisso até hoje, tanto que até no W7 as extensões vêm ocultas de fábrica… :-\
    ______________
    Nóis tuíta mais num bloga[/quote]

    É MS facilitando a vida dos micreiros da borboleta. Se colocar extensão vai complicar pra eles. Imagine o telefonema pro filho do vizinho: “Oi Zé. Oque aquele arquivo com .com no final faz? Ele adiciona quantos emoticons ao meu MSN?”
    ————————————————-
    André Luis Pereira
    BSRSoft IDC
    http://www.bsrsoft.com.br

  • http://ferrari.eti.br SkyBR

    Eu sempre clico em tudo, baixo e dou uma olhada..

    Linux FTW nesse aspecto, 100% imune.

    []‘s

  • http://pietra@hotmail.com Anônimo

    Ando recebendo boladas milhonárias do outro lado do globo, gentis pessoas que me avisam que ganhei na loteria da Zambia, não.
    __________________________________________________________

    “Somente a Beira do Abismo que nos vemos Obrigados a Evoluir”

  • http://pietra@hotmail.com Anônimo

    AHuHAuaaH essa foi fogo
    __________________________________________________________

    “Somente a Beira do Abismo que nos vemos Obrigados a Evoluir”

  • Danskk

    Ainda bem que minha companheira não sofre de Síndrome da Imunociumeira Adquirida e tem discernimento e conhecimento suficiente nesta área para entender bem esses problemas com malwares. :)

  • http://cognostech.posterous.com/ Ramon E. Ritter

    Depois que instalei o Kaspersky, não fico mais preocupado com isso…

  • http://mafiaairforce.myminicity.com andre_mendesc

    Verdade, é eu acho que a intenção da M$ é facilitar, pra não confundir, como disse o andre_pereira mas acaba facilitando a vida dos “distribuidores de emotions” :p
    _______
    AYBABTU

  • Atípico

    Ainda bem que a minha namorada _não sabe a senha do meu email_. Nem ela nem ninguém.
    ___________
    [Esta é uma assinatura subliminar. Você não está vendo nada aqui.]

  • caiado

    A mesma coisa comigo, não preciso nem me preocupar até porque em casa, meu email fica aberto direto e ela já conhece esses emails já manjados.

    Quando ela recebe no email dela também, ela já exclui direto, nem me pergunta mais. Já identifica quando recebe um arquivo malicioso.

    Mesmo com toda a informação, todo trabalho que é feito por aí, sempre tem gente que cai nesses emails. As pessoas só querem saber de orkut e msn…

    Tenho visto a galera do orkut descobrindo outros serviços agora…tenho recebido seguidores no twitter e no facebook, daqui a pouco vira um porcaria igual ficou o orkut.

    []s

  • http://pietra@hotmail.com Anônimo

    Parece que o fundacentro usa Apache rodando em cima de Linux. Tenho muita curiosidade de saber como colocaram esse arquivo lá. Será que ele também utilizam um zabbix que não foi atualizado?

    http://br-linux.org/2009/analise-de-servidor-comprometido-por-rootkit/

  • Biscouto

    Que inveja ;)

    “Quando se tem muito tempo para começar um trabalho, o primeiro esforço é mínimo. Quando o tempo se reduz a zero, o esforço beira as raias do infinito. Se não existissem os últimos minutos, nada nesse mundo seria realizado”
    MURPHY

  • RodrigoCantarino

    [quote=Ricardo Bicalho]Moral da história: o elo fraco da segurança ainda são os humanos. Não adianta ter o cofre mais seguro do mundo se você ensina todo mundo a deixar ele aberto.[/quote]
    O elo fraco de tudo sempre foi o ser humano.

  • Sátiro

    PQP… se minha namorada entra numa paranóia dessas, vira séria candidata a ex.