Google and more
Google is niet alleen een handige zoekmachine voor het vinden van .PDFen .doc bestanden, ook het zoeken naar malware is eenvoudiger dan veelmensen denken. De zoekopdracht "Signature: 00004550×94 levert tal vanlinks op naar uitvoerbare bestanden.
Dit komt omdat als Google een uitvoerbaar bestand indexeert, het het PEbestandsformaat van het executable bestand parst. Een van de dingen dieuit het PE bestand wordt gehaald is de handtekening "4550", wat dehandtekening van NT is, en die zich bevindt in alle geldige win32 PEbestanden.
Op deze manier is het mogelijk om duizenden kwaadaardige binaries tevinden, die voornamelijk in nieuwsgroepen en fora onder een valse naamworden geplaatst. Het gaat om varianten van de Bagel en Mytob wormen,en tal van andere malware. Dit is volgensWebsense geen ernstig probleem, maar het kan wel als een methodegebruikt worden voor het opslaan en verspreiden van kwaadaardige code.
Hier het artikel van websence
|
Mining for malcode with Google. |
Jul 7 2006 9:19PM |
|
Therehave been a few blogs from outside parties on the subject of Google’ssearch engine indexing not only file types such as PDF and doc, butexecutable files as well. A Google query for "Signature: 00004550×94 willresult in numerous links to executable files. The reason this searchworks is because when Google indexes the executable file, it parses thePE file format of the windows executable. One of the things that isextracted from the PE file is the signature "4550", the NT signature,present in all valid win32 PE files. As an experiment, we searched Googlewith Google’s own API to find malicious executables Googlex92s searchengine had indexed. We queried not only for the NT signature, but alsofor unique identifiers within the PE file format that would allude thatthe file was potentially malicious. Our results show that we were able tocollect thousands of pieces of malicious binaries, mostly posted tonewsgroups with false names that would normally trick a user, we foundmany on forum sites, as well as regular personal, educational,compromised, and underground sites. We also found several pieces ofspyware on poker and casino sites. We found variants of the Bagel, andMytob worms, various trojans, and many other malicious binaries. While we do not believe that the factthat Google is indexing binary file contents is a large threat this isfurther evidence of rise in websites being used as an method of storingand distributing malicious code. It should also be noted that althoughthis is also a useful tool for other security research experts todiscover malicious code, the potential for malcode authors to use it isalso there. There is however the potential for malicious codeauthors to embed strings within their binaries that match search termsin order to dupe users into running malicious code. Of course withoutthem actually exploiting a vulnerability the user would still have toaccept the running of the code. References: Google indexing executable files: http://homemade-tutorials.blogspot.com/2006/06/google-indexing-executable-files.html Some Google Results Are EXE Files: http://googlesystem.blogspot.com/2006/06/some-google-results-are-exe-files.html Google indexes .exe files – possible threat: http://digg.com/security/Google_indexes_.exe_files_-_possible_threat
|
|
