Más de 40.000 páginas web se han visto afectadas por un ataque masivo denominado Nine Balls. La firma de seguridad Websense ha seguido su rastro durante una semana y media y ha identificado su modo de actuación: introduce código malicioso en las webs legítimas, que redireccionan al usuario a otra página con malware que, en primer lugar, identifica al visitante por su dirección IP para descubrir si es repetidor. Si detecta que así es, y para evitar que los investigadores de seguridad vuelvan a entrar, la página en cuestión derivará al visitante repetidor al motor de búsquedas Ask.com.

“Ask.com no contiene nada malicioso, solo te rebotan allí si ya te han visto antes”, aclara Stephan Chenette, director de investigación de seguridad de Websense. Este tipo de inspección y redireccionamiento se está convirtiendo en algo común en los ataques web como modo para evadir el ser investigado.

No obstante, si un visitante web es nuevo, pasa por unas cuantas redirecciones para terminar aterrizando en el site www.nine2rack.in, que parece una página de India pero en realidad está en Ucrania, tal y como cree Websense. Precisamente es el nombre del URL el que ha inspirado a esta firma de seguridad a llamar al método del ataque Nine Ball.

La parada final de la víctima web incluye un intento de descarga drive-by después de que el malware revise las vulnerabilidades del navegador y del software Adobe o Quicktime instalado en el equipo del usuario. Si tiene éxito, el ataque descargará un troyano con un componente de keylogger que muchos paquetes de software antivirus aún no identifican, de acuerdo con Websense. “Estos troyanos tienen un bajo índice de detección”, amplía Chenette. “Muchos son polimórficos o creados en el instante”.

Además, hay cierto número de fallos de seguridad que pueden ayudar a Nine Ball a comprometer la fiabilidad de las páginas web, incluyendo ataques de inyección SQL en websites susceptibles, así como bots que han robado las claves del usuario y los logins de los administradores de páginas web.

El exploit Nine Ball es distinto a los otros dos métodos masivos observados últimamente –Beladen y Gumblar- pero es posible que tras él estén los mismos instigadores, tal y como creen desde Websense.