Topic: sourceforge.net scarica malware da www.appworldcentral.com! Solo con Firefox

[Pahadimas]

Mi permetto di postare la seguente segnalazione di reindirizzamento al download di un software da un sito molto conosciuto (in realtà invece del software scarica un malware) perché il problema mi si presenta con Firefox e non con altri browser come Google Chrome.
Lo scopo è quello di capire il meccanismo che fa reindirizzare il download su Firefox a differenza di Chrome, e riuscire quindi ad aumentare la sicurezza di Firefox. Il risultato collaterale è poi la segnalazione del fare attenzione nel download dei file da Internet, e particolarmente da quel sito... mi pare buona come cosa.

Cercando un programma che permettesse di scaricare i sottotitoli dei video di YouTube mi imbatto in Google2SRT, trovandolo sul sito google2srt.sourceforge.net, e mi dico "ah, da qui posso scaricare tranquillamente... il dominio è sourceforge.net!". Clicco su scarica e mi reindirizza alla pagina

Codice: [Seleziona]

http://sourceforge.net/projects/google2srt/files/latest/download
Finché mi si aprono due finestre di download del file. (EDIT: Dopo altre prove, riavviando il browser, me ne ha aperto solo una, quella farlocca. Ma non anticipiamo niente e continuiamo...)
Quindi dicevamo due finestre di download del file: una con dominio sourceforge.net e una con dominio diverso... w*w.appworldcentral.com!



cosa che mi ha stranizzato: due download, sito diverso e versione "0" quando l'ultima versione dell'installer di Google2SRT non è un exe bensì un msi, e si chiama google2srt-0.7.3.msi.

Il sito in questione porta su una pagina completamente bianca.

Così comincio a fare un po' di prove, su altri software hostati da sourceforge.net, come per esempio FileZilla. Pagina di sourceforge:

Codice: [Seleziona]

http://sourceforge.net/projects/filezilla/
Vado per scaricare e scarica ancora da w*w.appworldcentral.com...



Provo allora con software mezzi sconosciuti, come questo (http://sourceforge.net/projects/smoothwall/) e questo (http://sourceforge.net/projects/texstudio/), e da questi progetti mi scarica invece i file da sourceforge.net!

Tutto questo con Firefox. Provo con Google Chrome, che mi scarica tutti i software correttamente da sourceforge.net! (...e dire che, a differenza di Chrome, su Firefox ho installato l'estensione NoScript, anche se con script abilitati... vabbé, "dettagli"...)
Pare che Chrome sia immune da questo problema e affezioni solo Firefox. Qualcuno riesce a risalire al perché? Non ho provato altri browser.

Così disabilito gli script, e anche Firefox mi scarica il file corretto! Faccio un po' di prove e vedo che il requisito minimo affinché venga avviato il download dal sito farlocco è abilitare contemporaneamente gli script provenienti da sourceforge.net e da fsdn.com:



Il sito fsdn.com dà errore caricamento pagina.

Ora andiamo agli eseguibili farlocchi. Intanto hanno una bella iconcina sf (sourceforge) su sfondo bianco:



come a dire "ehi, è un file di sourceforge!".
I file farlocchi scaricati hanno hash tutti diversi tra di loro, anche se scaricati due volte dalla stessa pagina (!). Hanno hash diverso ma comparandoli tra di loro sono tutti uguali presentando una differenza di soli 4 byte su 905.064 (dimensione del file).
Dettagli del programma? Il prodotto si chiama Program Installer versione 0.0.0.0, con copyright Installer Generic! Ma che bello!



Ma il file ha una firma digitale almeno? Sì, ce l'ha! E ha firmato la Theory Media (Fried Cookie Ltd)! Suvvia... chi non la conosce!?
Anche se il timestamp non è presente.



Il certificato della firma è stato rilasciato dalla GlobalSign CodeSigning CA - G2, ed è un certificato valido! Dal 28/04/2015 al 28/04/2016.



Tutto molto bello.

Provato anche su un profilo pulito di Firefox, e su macchina virtuale.

Esempi in rete di utenti che hanno riscontrato la cosa, sempre su FileZilla: link 1, link 2.

Che è successo a sourceforge? È stato hackerato?
Qual è il meccanismo che fa reindirizzare il download su Firefox a differenza di Chrome?

[Underpass]

Ciao, non riscontro il problema (provato su Linux e su Windows): il link che hai postato va a scaricare un file chiamato google2srt-0.7.3.msi.

In ogni caso, ultimamente mi pare di capire che molti progetti stanno migrando da Sourceforge a GitHub, proprio perché talvolta fa scaricare programmi indesiderati.

[Pahadimas]

Ma hai attivata NoScript? Provato anche su un nuovo profilo?

Comunque, la novità: sulla parte destra del bottone verde di download nella pagina del progetto c'è una piccola i che se si muove il mouse sopra di essa mostra un popup che dice This is an ad supported installer (ah, ora un eseguibile praticamente sempre uguale, o che, ancor meglio, che cambia di qualche byte se riscaricato, firmato da chissà chi, scaricato al posto del programma originario, si chiama "ad", "advertising", "pubblicità"??).
Appena sotto c'è un link Direct Download dal quale viene avviato il download del file corretto! Cliccando sul bottone verde invece invece viene scaricato l'eseguibile da quell'altro sito. Ancora, avviando il download dei file del progetto dell'ultima versione (0.7.3), sia msi che zip, viene avviato sempre il download dell'eseguibile dall'altro sito. Scaricando i file del progetto delle versioni precedenti (provata la 0.7.2), scarica il file corretto!

Tu hai cliccato su Direct Download, sul bottone verde, oppure hai avviato il download dai vari file del progetto?

Ed inoltre, ti compaiono quella piccola i e il link Direct Download oppure no? Perché su Google Chrome non compaiono! Mentre su Firefox compaiono anche disattivando gli script (anche se, in questo modo, scarica il file corretto). Resta da capire perché questo diverso comportamento dei due browser.

[Iceberg]

Provato, con NoScript, non ho avuto problemi, scaricato il file google2srt-0.7.3.msi. Attivati solo gli script del sito principale sourceforge.net, non di fsdn.com o altri.

[Pahadimas]

Provato, con NoScript, non ho avuto problemi, scaricato il file google2srt-0.7.3.msi. Attivati solo gli script del sito principale sourceforge.net, non di fsdn.com o altri.

L'avevo chiaramente specificato che con NoScript, anche se attivi gli script di sourceforge.net, il download avviene correttamente.
Riporto quanto ho scritto: il requisito minimo affinché venga avviato il download dal sito farlocco è abilitare contemporaneamente (almeno) gli script provenienti da sourceforge.net e da fsdn.com!

[Iceberg]

Nessun problema anche attivando gli script di fsdn.com.

[Selky]

Il problema di Sourceforge e malware è noto da parecchio. Negli ultimi mesi c'è stata anche la questione filezilla.

Uno dei tanti articoli riguardanti il caso sourceforge ma in italiano è questo: http://www.ilsoftware.it/articoli.asp?tag=Sourceforge-guarda-agli-adware-come-scaricare-solo-cio-che-interessa_10142

Ublock ad esempio blocca il link a sourceforge, ci sarà un motivo.

[Pahadimas]

Nessun problema anche attivando gli script di fsdn.com.

Eh beh, allora dimmi cos'ha di particolare il tuo sistema... o cos'ha di particolare il mio...

Ublock ad esempio blocca il link a sourceforge, ci sarà un motivo.

Uhm, che bel programmino... cosa blocca fa di preciso? Pagine con malware e poi?
Ho impostato una regola temporanea per un sito ma in regole temporanee non la trovo, e mi pare di capire che si disattiva dopo qualche minuto... è così?
Inoltre mi compaiono dei numerini in alto a destra dell'icona di uBlock. Come fare per vedere a cosa si riferiscono questi numeri?

[fabrixx]

Segnalo questa interessante discussione sull'argomento:
https://forum.filezilla-project.org/viewtopic.php?f=1&t=32945&start=150#p136354


https://blog.malwarebytes.org/fraud-scam/2014/12/potentially-unwanted-program-borrows-tricks-from-malware-authors/

[Pahadimas]

Ma allora è prassi dei più famosi siti download di software gratuiti!
Il download di Wise Registry Cleaner rimanda alla pagina di cnet.com... e menomale che mi avete consigliato uBlock, che mi ha allarmato della presenza di "badware"... così ho scoperto che anche cnet.com scarica chissà quale sorta di installer/downloader (un eseguibile riconosciuto dall'antivirus come malware), stavolta da w*w.proinstall-download.com! Menomale che c'è comunque in basso a sinistra il collegamento "Direct Download Link", che permette di scaricare il file pulito.
Stavolta disattivando gli script con NoScript non funzionano né il pulsante verde di cnet.com né il "Direct Download Link", e il requisito minimo affinché venga avviato lo script del download farlocco è abilitare contemporaneamente (almeno) gli script provenienti, ancora una volta, dal sito principale cnet.com e, ancora una volta, dal secondo sito presente in lista NoScript, che questa volta è fdlstatic.com!
Chrome, ancora una volta, c'è da ammetterlo, dimostra maggiore efficienza e sicurezza, facendo scaricare il file pulito sia dal bottone verde che dal "Direct Download Link"! In un primo momento ho pensato che Chrome disabilitasse automaticamente gli script, ma probabilmente non è così, perché come ho detto disabilitando gli script in Firefox non parte neanche il download del file, né quello farlocco né quello pulito.