reindirizzamento a pagina dubbia

[Johell]

E' appena apparso di nuovo... Il problema persiste!
Ore 12:18 windows 8.1 browser google chrome

Non ho potuto vedere quali banner ci fossero perché come già detto la pagina viene immediatamente reindirizzata a quel sito http://www.javaonlined.com/

Ho aggiornato in continuazione la pagina per ricaricarla e cercare di individuare il banner malevolo.
Ma ho notato che nemmeno viene visualizzato, nel mio caso era il 728x90, che dopo alcuni attimi di esitazione (cera uno spazio vuoto al posto del banner) invece di apparire ha reinderizzato subito a quel sito, quindi non si vede proprio.

[ediboard]

Ho riabilitato il banner SMALL e il VIDEO BANNER per testare, presumo sia il banner LEADERBOARD che crea problemi ma sto testando e controllando se avrò certezze le comunico subito.

[Johell]

Ho fatto alcuni test..

Aggiungo una lista di banner 728x90 che sembrerebbero puliti (vedi anche quelli segnalati da LastWings)

- pagine gialle
- bose
- congratulazioni, il vincitore otresti essere tu. visitatore 100.000!
- star casinò
- atahotels
- diamonique anello a costellazione
- finanziamenti bancoposta
- telecom > questo mi ha aperto un popup di metin2...
- market
- germania vacanze tra amici
- ebay
- giornalegiornaliero.com
- happy-puppies.com
- fiat
- zwinky
- berlucchi
- passa a gpl
- infostrada
- speedanalysis.com

Su alcuni banner ho scritto solo quello che appare, dato che non conosco il link e non voglio cliccare..

Ora io non so come funzionano questi banner, ma lo script malevolo potrebbe anche essere costruito in modo tale da non renidirizzare ad ogni visualizzazione, ma magari solo una su tre, oppure del tutto random.
Quindi anche se tra questi banner nessuno mi ha reindirizzato, una piccola % di rischio potrebbe sempre esserci...

Ma non potete inserire un controllo che vieta ai banner azioni dannose come il reindirizzamento?

[ediboard]

Aggiornamento: Pensavo fosse solo il LEADERBOARD a fare il problema, ma lo ha fatto solo pochi minuti fà anche il banner SMALL per cui è proprio nel circuito a rotazione dei vostri banners di ogni misura, in particolare ho notato che mi è apparso dopo un mercante di nome EOLO ma non so se dipende da quel particolare mercante sembra quasi ci sia uno script iniettato nei vostri circuiti banners ed appaia con modalità veramente random senza nessun dato preciso. Mi dispiace ma ho dovuto nuovamenet togliere ogni vostro banner i miei utenti potrebbero avere problemi ed io non voglio riternermi responsabile, spero vivamente che al più presto risolviate questo dannoso e pericoloso problema.

PS. come appunto scritto da Johel non potete inserire un blocco che impedisca il reindirizzamento dei vostri script ad altro sito?

Confermo che il problema persiste.
Sul mio sito al momento ho disattivato la pubblicità, ma andando nella cache di Google c'è una copia del 24 dicembre nella quale ovviamente gli script sono ancora attivi e continuano a fare la redirezione.
Sarebbe carino che lo Staff Tecnico ci informasse sullo stato di avanzamento delle operazioni eventualmente in corso per la risoluzione del problema.

Salve, continuo qui il topic aperto ieri ( non mi ero accorto che ci fosse un altro topic con stesso argomento ).

Volevo segnalare che il banner che ieri apriva pagine continuamente , non è più apparso ) vedi foto nel topic Banner con Malware.

E aggiungo se può essere d'aiuto, che il redirect al java.exe persiste ma ho attivato il controllo url tramite antivirus e l'unico banner che non si carica è quello che segnalo sotto ( preso da ispeziona elemento con google chrome ):

<script type="text/javascript" src="http://tag.contextweb.com/TagPublish/GetAd.aspx?tagver=1&amp;ca=VIEWAD&amp;cp=557432&am p;ct=171714&amp;cn=1&amp;crtg=&amp;cwod=&amp;epid= &amp;esid=&amp;ifurl=&amp;tppg=&amp;brk=false&amp; ccid=&amp;wp=0&amp;asv=1&amp;cf=728X90&amp;rq=1&am p;dw=728&amp;cwu=http%3A%2F%2F78.129.205.10%2Fifra me.ad%2F121328538%2Fx%3D592%2Fy%3D38%2Ff%3D0%2Fpe% 3D0%2Fav_u%3Dgustosericette&amp;cwr=&amp;mrnd=2834 5742&amp;if=3&amp;tl=-1&amp;pxy=&amp;cxy=728,90&amp;dxy=&amp;tz=-60&amp;ln=it"></script>

<a href="https://www.facebook.com/pages/Fans-of-Robbie-Gil/241251159901" target="_blank"><img src="http://srv4.mediashakers.com/robbiegil/Robbie-Gil-LIKE-728x90.jpg" width="728" height="90" border="0"></a>

<img src="http://srv4.mediashakers.com/robbiegil/Robbie-Gil-LIKE-728x90.jpg" width="728" height="90" border="0">

</a>


Quando attivo questa funzione in Kaspersky internet security il redirect non avviene e non si carica il banner.

[Johell]

Salve, continuo qui il topic aperto ieri ( non mi ero accorto che ci fosse un altro topic con stesso argomento ).

Volevo segnalare che il banner che ieri apriva pagine continuamente , non è più apparso ) vedi foto nel topic Banner con Malware.

E aggiungo se può essere d'aiuto, che il redirect al java.exe persiste ma ho attivato il controllo url tramite antivirus e l'unico banner che non si carica è quello che segnalo sotto ( preso da ispeziona elemento con google chrome ):

<script type="text/javascript" src="http://tag.contextweb.com/TagPublish/GetAd.aspx?tagver=1&ca=VIEWAD&cp=557432&ct=171714& cn=1&crtg=&cwod=&epid=&esid=&ifurl=&tppg=&brk=fals e&ccid=&wp=0&asv=1&cf=728X90&rq=1&dw=728&cwu=http% 3A%2F%2F78.129.205.10%2Fiframe.ad%2F121328538%2Fx% 3D592%2Fy%3D38%2Ff%3D0%2Fpe%3D0%2Fav_u%3Dgustoseri cette&cwr=&mrnd=28345742&if=3&tl=-1&pxy=&cxy=728,90&dxy=&tz=-60&ln=it"></script>

<a href="https://www.facebook.com/pages/Fans-of-Robbie-Gil/241251159901" target="_blank"><img src="http://srv4.mediashakers.com/robbiegil/Robbie-Gil-LIKE-728x90.jpg" width="728" height="90" border="0"></a>

<img src="http://srv4.mediashakers.com/robbiegil/Robbie-Gil-LIKE-728x90.jpg" width="728" height="90" border="0">

</a>


Quando attivo questa funzione in Kaspersky internet security il redirect non avviene e non si carica il banner.

L'avevo notato anche io questo banner, che appare vuoto ma con link a quella pagina facebook da te indicata...
Solo che non mi ha mai lanciato il redirect all'aggiornamento falso di java. Quindi non so che pensare.
O il redirect parte casualmente oppure non è quello il banner malevolo.

[crosem]

anche per il mio sito, il redirect è verso :
http://www.javaonlined.com/

Personalmete non ho mai avuto il redirect in questione, sistema operativo linux Mageia 3 browser firefox 17.09,
ma alcuni utenti lo lamentano.

Quindi Altervista, considerando che i banner sono da lei gestiti deve provvedere, o sarò costretto ad eliminare i banner dal mio sito.

[Gianluca]

Come ho scritto nel precedente post le segnalazioni e i dati raccolti in questa discussione sono stati inoltrati a tutti i network pubblicitari interessati per le verifiche del caso.

Dato il periodo dell'anno in cui ci troviamo le tempistiche per avere un feedback possono essere un po' più lunghe della media.

Di seguito comunque l'esito della verifica dei domini segnalati su una cinquantina di liste in uso dai più diffusi antivirus:

https://www.virustotal.com/it/url/9c...44c5/analysis/
https://www.virustotal.com/it/url/71...is/1388196902/
https://www.virustotal.com/it/url/39...6b9c/analysis/

Gentile Gianluca perdonami se uso il "tu", ma mi viene naturale.

Ci stai dicendo con quei report che i domini verso i quali avviene la redirezione sono innocui??? allora qui abbiamo tutti le allucinazioni???

Quello che noi stiamo chiedendo ad Altervista non è di fare i miracoli, ma di darci informazioni aggiornate. La sicurezza non va in vacanza.

Puoi farci sapere la situazione esatta?
Ci sono previsioni sui tempi di risoluzione del problema?

Ciao.

AGGIORNAMENTO: avevo segnalato che le pubblicità erano sparite da tutti i circuiti. Devo scusarmi ma la segnalazione sul fatto che le pubblicità sono sparite è probabilmente errata, io non le vedo da quando ieri sera ho sostituito l'antivirus, sono passato da Avira ad Avast, altri le vedono regolarmente. In caso prego di scusarmi.

[ediboard]

Come ho scritto nel precedente post le segnalazioni e i dati raccolti in questa discussione sono stati inoltrati a tutti i network pubblicitari interessati per le verifiche del caso.

Dato il periodo dell'anno in cui ci troviamo le tempistiche per avere un feedback possono essere un po' più lunghe della media.

Di seguito comunque l'esito della verifica dei domini segnalati su una cinquantina di liste in uso dai più diffusi antivirus:

https://www.virustotal.com/it/url/9c...44c5/analysis/
https://www.virustotal.com/it/url/71...is/1388196902/
https://www.virustotal.com/it/url/39...6b9c/analysis/

Mi scusi Gianluca ma anche io non capisco i suoi report cosa dovrebbero dimostrare ? il problema non sono i siti a cui siamo reindirezzati ma il file JAVA.EXE che propongono di scaricare a tutti gli utenti che si collegano ai siti con banner altervista, non appena ho occasione lo scarico e lo testo su virustotal per ottenere i risultati, il problema come ripeto non sono i siti a cui siamo reindirezzati ma il FILE che truffaldinamente quei siti invitano a scaricare per aggiornare java e siccome lei ben sa che il 99% degli utenti che usano internet non sono pratici della rete e dei vari pericoli presumo molto seriamente che parecchi lo facciamo ed installino il file in questione, il che comporta i rischi del caso, ritengo sia veramente una situazione pericolosa e dannosa per altervista in previsioni future.

Cordiali Saluti e se riesco nel mio intento riporterò i risultati del caso.

Questo è il rapporto sul file Java.exe

https://www.virustotal.com/it/file/c...is/1388221533/

A chi ha un Mac viene inviato un altro file: "ZipCloud Installer.pkg"

[Johell]

Il problema non è se il file o il sito che reinderizza sono dannosi...
Il problema è che il redirect e la richiesta di download non devono proprio esserci, a prescindere dalla presenza o meno di codice malevolo!

Da ciò che leggo mi sembra di aver capito che non è possibile risolvere il problema a monte.
Ma è davvero così?

Per me risolvere il problema a monte è vietare ai banner l'esecuzione di alcune operazioni potenzialmente dannose (come il redirect).
Se bloccate quest'azione, non vi servirà neppure più sapere chi era il banner malevolo; se non altro, nell'immediato, tamponate in modo efficiente il problema... Poi con calma potete anche fare verifiche più approfondite per eliminarlo anche dal circuito.

Vi è impossibile inserire un sistema di controllo che impedisce ai banner queste azioni?

Vi è impossibile inserire un sistema di controllo che impedisce ai banner queste azioni?

Johell credo che Altervista possa fare poco se non tenerci informati sull'evolversi della situazione. Il problema infatti è che il codice degli script è generato dai network e Altervista è solo un "ponte" tra i network stessi e i siti. Forse Altervista li potrebbe in qualche modo "filtrare" ma non so se la cosa sia tecnicamente possibile.

Ripeto che da parte mia l'unica richiesta è quella di essere informato. Qualche giorno senza pubblicità a me non cambia nulla visto che, per me!, si tratta di pochi centesimi al giorno... il danno grosso è per Altervista e per i circuiti di bloggers che ad essa si appoggiano per centinaia se non migliaia di blog...

Ciao!

AGGIORNAMENTO: avevo segnalato che le pubblicità erano sparite da tutti i circuiti. Devo scusarmi ma la segnalazione sul fatto che le pubblicità sono sparite è probabilmente errata, io non le vedo da quando ieri sera ho sostituito l'antivirus, sono passato da Avira ad Avast, altri le vedono regolarmente. In caso prego di scusarmi.

[Johell]

@pastamadre
Capisco... Sono ignorante per quanto riguarda il sistema di funzionamento dei banner, ma a livello logico, pensavo fosse possibile per altervista inserire qualche genere di controllo.
Se così non è pazienza..

[Gianluca]

pastamadre:

ho eseguito i report a scopo puramente informativo raccogliendo i dati presenti nella discussione, non hanno lo scopo di dimostrare nulla, non ho pubblicato report nello specifico sul file java.exe perché non è stato possibile riprodurre il problema lato nostro anche testando il tutto con differenti combinazioni di OS e browser, grazie comunque a stefanodurso per l'integrazione.

Quello che noi stiamo chiedendo ad Altervista non è di fare i miracoli, ma di darci informazioni aggiornate. La sicurezza non va in vacanza.

Ho infatti postato ieri alle 3:30 tutti gli aggiornamenti del caso, ovvero quello che si è fatto e si sta facendo per risolvere il problema, nei limiti di quello che può essere fatto lato AlterVista.
Nonostante il periodo festivo ogni segnalazione, sia sul forum che via email è stata scrupolosamente esaminata e i dati raccolti sono stati inviati ai network adv che alimentano l'erogazione, chiaramente il processo coinvolge anche aziende esterne ad AlterVista, quindi i tempi di reazione possono essere un po' più lunghi che in altri periodi dell'anno.

Personalmente ritengo che siano stati hackerati proprio i network, tanto che ancora adesso e da ieri sera mi sembra che le pubblicità in rete, non solo su Altervista, siano quasi tutte ferme (appaiono banner vuoti). Sicuramente è sparita da tutto il circuito Altervista, e questo in assenza di una soluzione certa è un bene.

Come hai giustamente osservato non si tratta di un problema legato nello specifico ad AlterVista o dipendente da AlterVista bensì un problema generale trattandosi di campagne non erogate direttamente da AlterVista o dalla sua concessionaria bensì da network esterni.

Allo stato attuale ci è stata confermata la presa in carico del problema ma non abbiamo ancora una conferma in merito alla sua risoluzione, appena ci saranno aggiornamenti saranno postati qui.

Salve, mentre noi non capiamo come possa avvenire questo redirect per far scaricare qualcosa, Loro si sono fatti più furbi!

Prima ti avvisava di una versione obsoleta di java ( 7.25 ) mentre io ho la versione 7.45.

Oggi mi ha mandato a questo link

http://www.javainstall.org/topic/jav...untry=IT&ext=1

Come vedete molto più professionale.

[ediboard]

Nuovo Aggiornamento:

Alcuni utenti sono stati reindirizzati a questo nuovo URL:

http://www.readjava.com/IT/?s1=AAAAAFt8OwDxmnIBAAAAAOPPbwAAAAAAAgAAAAYAAAAAAP8AAAAHD0TzVQAAAAAARXeDAAAAAADIZokAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABhuhYAAAAAAAIAAwAAgD8AdeNwOUMBAAAAAAAAAGRkMjIzYmQyLTZmYzUtMTFlMy05YWFhLTRmNWIxODJhNmNmNAAAAAAAAAA=&s2=29507&s3=IT&s4=11003728&s5=24287985

Qui un Log malwarebytes bloccato che identifica IP del sito SEMPRE lo stesso IP degli altri JAVA

2013/12/28 13:22:55 +0100 PC-PINKFLOYD197 Pinkfloyd1972 MESSAGE Starting IP protection
2013/12/28 13:23:01 +0100 PC-PINKFLOYD197 Pinkfloyd1972 MESSAGE IP Protection started successfully
2013/12/28 14:42:34 +0100 PC-PINKFLOYD197 Pinkfloyd1972 IP-BLOCK 23.238.187.118 (Type: outgoing, Port: 50526, Process: firefox.exe)
2013/12/28 14:42:34 +0100 PC-PINKFLOYD197 Pinkfloyd1972 IP-BLOCK 23.238.187.118 (Type: outgoing, Port: 50527, Process: firefox.exe)
2013/12/28 14:44:02 +0100 PC-PINKFLOYD197 Pinkfloyd1972 IP-BLOCK 23.238.187.118 (Type: outgoing, Port: 50662, Process: firefox.exe)
2013/12/28 14:44:02 +0100 PC-PINKFLOYD197 Pinkfloyd1972 IP-BLOCK 23.238.187.118 (Type: outgoing, Port: 50663, Process: firefox.exe)

QUI avete il file .EXE zippato che viene scaricato , magari potrebbe esservi utile.
http://www.wikifortio.com/889260/Java.zip

Ulteriore analisti Virustotal del file JAVA.EXE scaricato poco Fa:
https://www.virustotal.com/it/file/8...is/1388243166/

Cliccando un banner EASYJET è apparsa la pagina di redirect e si nota un banner che non carica parzialmente del tutto e crea un sacco di URL strani nella barra di caricamento pagine e riportano a questa pagina facebook:

https://www.facebook.com/pages/Fans-...l/241251159901

se avrò ulteriori informazioni le inserisco anche se il tutto sta diventando veramente dannoso per i siti.

[crosem]

Dato che i banner continuano a dare problemi nel mio sito gli ho disabilitati.

Li riattiverò quando la situazione sarà tornata alla normalità.

[meteostorm]

Ma il problema riguarda solo i banner Altervista o anche quelli di Adsense ?

Buongiorno.
Stamattina mi sono fatto un giro su alcuni siti Altervista e GialloZafferano (con la pubblicità attiva) che fino a ieri sera presentavano il problema.
Stamattina sembra tutto a posto, in circa 10 minuti di navigazione su vari siti e varie pagine.
Sono stato solo fortunato o effettivamente il problema è stato risolto?
Ciao e buona domenica a tutti!

Aggiornamento: come non detto... Avast su uno dei siti di GialloZafferano ha appena bloccato questo URL:
http :// www. cruisercustomizing-s.com /creative.php?siz...
Ho inserito alcuni spazi per evitare che il link funzioni anche se incompleto. Purtroppo ho perso nel copia e incolla i parametri, ma erano molto simili a quelli già segnalati per i vari domini a cui si veniva rediretti ieri...

Aggiornamento: sono riuscito a salvare il codice dell'iframe contenente il link malevolo ma non riesco ad inserirlo in questo messaggio perchè troppo lungo, come e a chi posso farlo avere via email o altro?.
La pubblicità è un banner 728x90 distribuito dal network pubblicitario di yahoo.

Sicuramente dico una stupidata, ma hai visto mai...
Non è che c'entra qualcosa cloudflare visto che a quanto ne so tiene in cache anche gli script?

Adesso vado a infornare la ricetta che stavo guardando su quel blog di GialloZafferano dove c'era il virus... chi lo sa se invece della torta salata sarò rediretto durante la cottura su un panettone???

Ciao!

[Gianluca]

pastamadre:

La pubblicità è un banner 728x90 distribuito dal network pubblicitario di yahoo.

cloudflare fa un caching della pagina e degli elementi statici, non dovrebbe però agire sugli script js inclusi, comunque puoi inoltrare i dati all'Abuse: http://it.altervista.org/contatti.php#abuse facendo riferimento a questa discussione, è utile inoltre se specifichi anche il browser che stai usando, la lista dei componenti aggiuntivi che esso ha attivi e i siti che hai visitato.

Inoltre puoi provare a cancellare i cookies e la cache di navigazione e vedere se il problema persiste?

Inoltre puoi provare a cancellare i cookies e la cache di navigazione e vedere se il problema persiste?

Già fatto poco prima di rilevare il problema.

Invio il tutto all'abuse secondo tue istruzioni, grazie.

Ore 12:25 mi ha reindirizzato verso questo link:

http://www.readloadja.com/IT/?s1=AAA...34&s5=24289638

Sempre un aggiornamento di java che ti avvisa di avere una versione vecchia ( 7.25).

SE può essere d'aiuto, faccio notare che nel tempo che scrivevo questa replica, ho lasciato la pagina del redirect.... dopo poco è sparita da sola facendomi vedere il sito.

Aggiungo che ispezionando elemento nel codice uno script conteneva questa informazione:

/**
*
* redirectUrl 跳转地址，为空就不行跳转
* msg 第一个弹窗的信息，可以为空 如果为空就不显示第一个信息提示框
* msg2 确认页面上的信息，可以为空
* 例如：setExitDirect('http://www.google.com.hk');
*/

[ediboard]

Sicuramente dico una stupidata, ma hai visto mai...
Non è che c'entra qualcosa cloudflare visto che a quanto ne so tiene in cache anche gli script?

Io non uso cloudflare è il problema esiste alla grande.

[ModSkyrimPictures]

neanch'io sto usando cloudflare e sto problema persiste! vengo reindirizzato con la media di 6 volte su 10 sulla pagina fake di java :(
inoltre a me escono anche banner con scritto "sei il millesimo visitatore, clicca per ottenere un premio... oppure clicca per avere gratis e bla bla bla.. " ma sti banner (che io non clicco) sono anche loro fake e malevoli?

[Gianluca]

Chiunque stia ancora visualizzando il redirect menzionato può indicare:

1) Il browser in uso in quel momento
2) Le estensioni/componenti aggiuntivi installati sul proprio browser
3) Una lista di url d'esempio su cui ha visto verificarsi il problema

Grazie per la collaborazione

[ediboard]

Io uso firefox 26
Estensioni: adblock plus
Vari siti Altervista con banner a rotazione compreso il mio ovviamente ( ma ora i banner sono disabilitati da me )