Dåliga annonser på yahoo infekterade tusentals användare med skadlig kod

Tusentals användare som besökte Yahoos webbplats under den senaste veckan var infekterade med skadlig programvara, har forskare funnit. Den skadliga programvaran levererades via skadliga filer som visades på webbplatsen.

Yahoo bekräftade infektionen, men sa att den redan har tagits bort. "På Yahoo tar vi säkerheten och integriteten för våra användare på allvar. Från den 31 december till 3 januari på våra europeiska webbplatser serverade vi några som inte uppfyllde våra redaktionella riktlinjer - de sprider specifikt skadlig programvara. Den 3 januari vi har tagit bort dessa från våra europeiska webbplatser. Användare i Nordamerika, Asien och Stillahavsområdet och Latinamerika tilldelades inte dessa och påverkades inte. Dessutom påverkades inte användare som använder Mac och mobila enheter, "sade företaget i ett e-postmeddelande. Redaktörens anmärkning: Yahoo uppdaterade detta uttalande på måndag.

Angripare hade lagt in missuppfattningar, eller skadliga s, i servrarna som används av ads.yahoo.com, skrev Fox-IT, ett holländskt säkerhetsföretag, i ett blogginlägg lördag. Dessa annonser omdirigerade användare till en sida som är värd för utvidgningskitet "Magnitude", som riktar sig till olika Java-sårbarheter. Utvecklingspaketet installerade "en mängd olika skadliga program" på sårbara datorer, såsom Zeus Trojan, Andromeda, Dorkbot / Ngrbot, ad-click-malware, Tinba / Zusy och Necurs, säger Fox-IT. Forskarna tror att servrarna har visat felaktigheter sedan 30 december, men utesluter inte möjligheten att attackerna inträffade ännu tidigare.

Infektionen har också bekräftats på Twitter av Mark Loman, en holländsk skadlig analytiker med antivirusutrustning Surfright.

"Det är oklart vilken specifik grupp som står bakom denna attack, men angriparna är tydligt ekonomiskt motiverade, " sade Fox IT. Angriparna kan sälja förmågan att kontrollera dessa infekterade maskiner till andra cyberbrottslingar, kanske som en del av ett botnet.

Stealthy Attack

Malvertiserment är särskilt smyga eftersom användare smittas bara genom att ladda en webbplats. Användarna behöver inte göra någonting - till exempel att klicka på en länk - för att bli smittad. Dessa skadliga annonser har dykt upp på legitima webbplatser under de senaste åren. 2011 drabbades Spotify-användare av skadliga annonser som visades av ett tredjeparts annonsnätverk, liksom besökare på London Stock Exchange: s webbplats. Faktum är att användare är 182 gånger mer som att smittas med skadlig programvara från dessa annonser än från innehållswebbplatser för vuxna, fann Cisco i en undersökning förra året.

"Långt borta är de dagar då du var tvungen att bläddra i skuggiga områden i nätet för att snubbla över något skadligt, " skrev Graham Cluley, en säkerhetsforskare.

På fredagen levererades skadlig programvara till cirka 300 000 användare per timme, vilket skulle betyda att cirka 27 000 användare per timme faktiskt smittades, uppskattade Fox-IT. Länderna med flest antal drabbade användare var Rumänien, Storbritannien och Frankrike.

Medan Fox-IT-rapporten fokuserade på Yahoo, konstaterade Graham Cluley att användare som besökte andra webbplatser som använder Yahoos annonsnätverk också kan ha påverkats.

Hackad server, knepig annons?

Det är inte känt just nu hur skadliga annonser gjorde det till annonsnätverket. Det är möjligt att angriparna kan ha äventyrat annonsservern för att ladda skadliga filer, men det är också möjligt att angriparna skickade in annonsen på normalt sätt och lurade Yahoo att tro att det var en vanlig annons. Det betyder inte nödvändigtvis att Yahoo inte gjorde sitt jobb - den skickade annonsen kunde ha varit ofarlig. Angriparna kunde ha bytt runt koden efter att annonsen accepterades.

Eftersom felaktigheter är svåra att försvara mot, är det ännu viktigare att användare kör uppdaterad programvara på sina datorer och håller sin säkerhetsprogramvara aktuell. Utvinningskitet riktade också Java. Användare bör antingen avinstallera Java, inaktivera det helt i webbläsaren eller vidta andra åtgärder för att skydda sig mot attacker mot Java.

"Om du behövde ett annat skäl för att inaktivera Java i din dators webbläsare, så har du det, " sa Cluley.