Diverse fonti del CERT-SPC riportano la notizia di un incremento delle infezioni veicolate attraverso Gumblar, la botnet comparsa nella primavera del 2009 capace di alterare i risultati delle ricerche effettuate nel web dagli utenti infettati dal malware.

L'infezione iniziale si realizza compromettendo siti web legittimi e successivamente infettando i visitatori, mediante file pdf e video in grado di sfruttare le vulnerabilità presenti in:

• Adobe Flash Player (CVE 2007-071);
• Adobe Acrobat e Acrobat Reader (CVE-2009-3459);
• Microsoft Office Web Components (CVE-2009-1136)

Tali vulnerabilità sono state tempestivamente segnalate a suo tempo dal CERT-SPC e recentemente corrette dai rispettivi produttori come indicato nei link seguenti:

• http://www.cert-spc.it/index.php/bollettini/vulnerabilita/296-adobe-vulnerabilita-di-tipo-qzero-dayq-per-reader-ed-acrobat
• http://www.cert-spc.it/index.php/bollettini/vulnerabilita/299-adobe-software-correttivo-per-acrobat-e-reader-ottobre
• http://www.cert-spc.it/index.php/bollettini/vulnerabilita/252-microsoft-vulnerabilita-di-tipo-zero-day-in-office-cve-2009-1136
• http://www.cert-spc.it/index.php/bollettini/vulnerabilita/270-microsoft-bollettini-di-sicurezza-per-il-mese-di-agosto

I risultati delle ricerche effettuate con Google dagli utenti dei sistemi compromessi condurranno a risorse web appositamente predisposte, al fine di continuare l'attività malevola. In questi giorni è stato registrato un incremento significativo delle "impronte" (signatures) identificative degli exploit in grado di sfruttare le citate vulnerabilità in Adobe.

Si raccomanda pertanto l'aggiornamento dei sistemi e un'attenta analisi degli alert prodotti dai propri IDS/IPS. Ulteriori dettagli ed aggiornamenti sono disponibili presso le seguenti URL:

• http://blogs.iss.net/archive/GumblarReloaded.html
• http://www.iss.net/threats/gumblar.html

L'incremento degli attacchi rilevati attraverso il dirottamento verso siti malevoli o diversi da quelli effettivamente rispondenti ai criteri di ricerca impostati e quindi delle aspettative attese conferma la strategia maggiormente seguita nel condurre attacchi mirati utilizzando il web ed in particolare i motori di ricerca e continua il solco già tracciato con gli attacchi ai DNS e alle recenti vulnerabilità corrette che consentivano di alterare a scopo fraudolento l'indirizzamento dei siti web.