Malware MySQL invade computadores por meio de site oficial

Uma empresa de segurança alertou na segunda-feira (26/09) que o site para baixar a open source popular MySQL estava infectando PCs por meio de drived-by downloads.

Os navegadores que visitaram o MySQL.com na segunda-feira foram imediatamente injetados com um executável JavaScript, que gerava um iFrame que redirecionava-os para um site hospedando o kit de exploração crimeware Black Hole. “Ele explora a plataforma de navegação do visitante (o navegador, os plug-ins do navegador como o Adobe Flash, Adobe PDF, etc, Java,…) e assim que a exploração tem sucesso, instala permanentemente uma peça de malware dentro da máquina do visitante sem seu conhecimento”, afirmou Wayne Huang, CEO da empresa de segurança Armorize, que descobriu o ataque. “O visitante não precisa clicar nem concordar com nada; basta visitar o mysql.com com uma plataforma de navegação vulnerável e o resultado é uma infecção”.

No final da segunda-feira (26/09) a Oracle – proprietária do MySQL – aparentemente incapacitou o ataque.

Black Hole, cuja cópia pode ser alugada por cerca de US$ 1,5 mil por ano, é um dos kits de ferramentas crimeware mais amplamente usadas, e é projetada para automatizar o processo de exploração de PCs e colher dados financeiros.

O Black Hole explora os PCs usando vulnerabilidades conhecidas – contanto que não tenham sido corrigidas – incluindo uma falha no Windows Hardware Counter Profiling, Adobe Reader, bem como inúmeras falhas do Java. Isso torna o ataque o MySQL.com irônico, já que a Oracle é dona não apenas do MySQL como também do Java.

O ponto interessante desse ataque contra o MySQL.com – visitado em média por 40 mil pessoas por dia – pode ter custado apenas alguns milhares de dólares. “Na semana passada, estava olhando um fórum Russo exclusivo de hackers  e me deparei com um membro vendo acesso root ao mysql.com”, afirmou um jornalista de segurança Brian Krebs. “Ele vendia o acesso remoto para a primeira pessoa que pagasse pelo menos US$ 3 mil”.

Essa é a segunda vez no ano que o site MySQL é explorado. Em março, o site foi comprometido por meio de injeção SQL, resultando no comprometimento de inúmeros usuários e senhas fracas.

(Tradução: Alba Milena, especial para o IT Web | Revisão: Thaís Sabatini)