Attenzione a FeedCat.net : popup sospetti

I blogger più attivi conoscerenno sicuramente FeedCat.net.

FeedCat.net è un sistema di diffusione del feed rss del tuo sito.

E' un sistema alquanto efficiente e consente una discreta pubblicità per un blog.

Io USAVO FeedCat.net sul mio blog.

Da qualche tempo avevo notato che , nell'aprire il mio blog , si apriva automaticamente una finestra popup che reindirizzava a pagine pubblicitarie esterne : un sistema oltre che antipatico , alquanto pericoloso e dannoso poichè potrebbe reindirizzare verso siti pericolosi e nella migliore delle ipotesi sottrai utenti al tuo sito dirottandoli altrove.

Allora mi sono messo alla ricerca della porzione di codice responsabile di questo comportamento anomalo: Ho setacciato passo passo il codice html senza trovare nulla . Ho guardato uno per uno i widget senza notare nulla di sospetto.

Niente : nell'aprire il mio blog si aprivano finestre popup insolite.

Allora ho dovuto operare per tentativi rimuovendo a turno le porzioni di codice html/javascript esterne.

Ad un certo punto bingo! Rimuovendo il codice FeedCat.Net i popup sono spariti!

Allora diamo un'occhiata al codice JavaScript :

<!--FEEDCAT.NET<div id="feedcat-box" style="float: right;
margin-right: 10px">
<a href="http://www.feedcat.net/" title="RSS Feed and Atom
Feed Boosting Engine"></a></div><script type="text/javascript"
src="http://www.feedcat.net/js2/button.js?pub=286265&bmode=
h125x16&ilng=en&section=&wpanel=off"></script>
 FEEDCAT.NET -->

Si capisce solamente che viene lanciato lo script button.js.

Ma proviamo ad aprirlo (cliccando non viene lanciato lo script ma viene solo aperto il listato)

Qui si potrà vedere , verso la fine , che lo scripts lancia nuove finestre utilizzando la tecnica degli IFRAME.

E allora ho anche fatto una ricerca su FeedCat.net ed ho scoperto che quattro mesi fa (più o meno il momento da quando sono cominciati i popups...)FeedCat.net è stato venduto all'asta per 20.000 dollari !

Evidentemente il nuovo proprietario di FeedCat.net ha intenzioni non molto tranquille!

Lizamoon ha arrecato danni al mio sito

Nel precedente post , quello su Lizamoon , avevo proposto di fare una ricerca su google inserendo la stringa che vedete nel'immagine.

Una simile ricerca permette di "vedere" i siti compromessi dal malware.
Avevo inserito direttamente la stringa nel post con l'intento era di permettervi di fare un agevole copia ed incolla .
Sono bastati 10 minuti e .... il mio sito è stato segnalato come contenente malware da google perchè il motore ha trovato la stringa in questione ed ha concluso che il sito era stato infettato!
Il problema è che ora bisognerà attendere che la diagnostica di google si riprenda dall'equivoco .
Se posso dare una mano , questa è una statistica sviluppata questa sera :

Scanning site with:	AMaDa	CLEAN
Scanning site with:	BrowserDefender	UNRATED
Scanning site with:	DNS-BH	CLEAN
Scanning site with:	DShield SDL	CLEAN
Scanning site with:	Google Diagnostic	DETECTED
Scanning site with:	hpHosts	UNRATED
Scanning site with:	joewein.de LLC	CLEAN
Scanning site with:	Malware Domain List	CLEAN
Scanning site with:	Malware Patrol	CLEAN
Scanning site with:	MyWOT	CLEAN
Scanning site with:	Norton SafeWeb	UNRATED
Scanning site with:	ParetoLogic URL Clearing House	CLEAN
Scanning site with:	PhishTank	CLEAN
Scanning site with:	SCUMWARE	CLEAN
Scanning site with:	SpamhausDBL	CLEAN
Scanning site with:	SURBL	CLEAN
Scanning site with:	Threat Log	CLEAN
Scanning site with:	TrendMicro Web Reputation	CLEAN
Scanning site with:	URIBL	CLEAN
Scanning site with:	VSCAN	CLEAN
Scanning site with:	Web Security Guard	UNRATED
Scanning site with:	ZeuS Tracker	CLEAN

e non contento ho anche eseguito un controllo antivirus :

Report	2011-04-07 22:38:34 (GMT 1)
File Name	tentativi-blogspot-com
File Size	361001 bytes
File Type	Unknown file
MD5 Hash	b1372866bdc11d1d08ad9ea62bacd587
SHA1 Hash	2eee134282a3811a5aacc5a7ee0614580341faa6
Detections:	0 / 10 (0 %)
Status	CLEAN

Antivirus	Updated	Engine	Result
Avast	07/04/2011	5.0	-
AVG	07/04/2011	10.0.0.1190	-
Avira AntiVir	07/04/2011	8.2.4.202	-
ClamAV	07/04/2011	0.97	-
Comodo	07/04/2011	4.0	-
Emsisoft	07/04/2011	5.1.0.2	-
F-Prot	07/04/2011	6.3.3.4884	-
Ikarus	07/04/2011	T31001097	-
TrendMicro	07/04/2011	9.200.0.1012	-
Zoner	07/04/2011	0.2	-

Che non ha rilevato nessuna infezione.

Come si vede , solo google dice che il sito è infetto! , Speriamo che si riprenda!

Insomma , Lizamoon mi ha infettato senza infettarmi !