@batollo12 янв 2013 в 14:19

Сайт Yota оказался взломан

1 мин

30K

Информационная безопасность *

+34

Комментарии 53

@reaferon 12 янв 2013 в 14:29

Взлом сайта далеко не всегда происходит через CMS. Недавно наблюдал схожую интеграцию JS в футере страницы у клиента. Как выяснилось, сделано это было через FTP (Total Commander клиента был заражен и внедрил код во все сайты списка FTP-серверов)

@nick4fake 12 янв 2013 в 14:36

У меня у одного знакомого через SSH поломали идиотским способом. Принес зловреда на флешке, тот из PuTTY (!) вытащил ключ. Вообщем, мало ли, как сервер заразили.

@ArtRoman 12 янв 2013 в 15:04

Пора придумывать (или уже есть?) способы двухэтапной аутентификации при доступе по ssh или sftp. К примеру, QR-код псевдографикой, сканируемый телефоном для получения ответа в соответствующей программе на предварительно настроенном мобильном телефоне.

@noma4i 12 янв 2013 в 15:34

Все уже придумано до нас: www.mnxsolutions.com/security/two-factor-ssh-with-google-authenticator.html

@zwie 12 янв 2013 в 17:53

На ssh-ключ без проблем ставится passphrase.

@BarsMonster 12 янв 2013 в 19:43

Который вирус с кейлоггером тоже может вытащить :-)

@smart 12 янв 2013 в 21:28

Ну на то есть железные устройства для аутентификации.

@anephew 12 янв 2013 в 16:17

Кстати автор данного топика в конце (сейчас уже потер) написал что-то насчет доверия компании Битрикс. Любая CMS может быть взломана, но отчасти проблемы безопасности далее лежат на разработчике который делает интеграцию. А так канечно интересно узнать где была дыра, проблема ли это в коробочной версии или же действительно кривая интеграция или как уже подмечено — через ftp.

@batollo 12 янв 2013 в 17:35

Да, в первом варианте я написал про Битрикс, но сразу же после публикации понял, что ляпнул глупость. Видимо, мой кредит доверия Yota так высок, что я даже не подумал, что есть вероятность халатности самих интеграторов-администраторов Yota. А репутация 1С, в моих глазах, напротив — значительно ниже. Но это порочная точка зрения, был неправ, нужно быть куда более объективным.

НЛО прилетело и опубликовало эту надпись здесь

@batollo 12 янв 2013 в 14:58

Симптом уже устранили, да. Но пост убирать не стал, потому как не до конца понятно только ли эта гадость была внедрена (может там и к БД доступ получили, бог его знает), да и чисто для истории информация имеет небольшую ценность.

@dreamerchant 12 янв 2013 в 18:52

При попытке читать новости ёты он есть, ничего не убрали.

@batollo 12 янв 2013 в 19:11

См. комментарий.

@iborzenkov 12 янв 2013 в 15:14

Блин, неужели на это еще кто-то ведется…

@batollo 12 янв 2013 в 15:17

Конечно! Тут всё достаточно аутентичненько так, тем более…

@iborzenkov 12 янв 2013 в 15:23

Ну там же столько различий будет…
Плюс — ну какой нафиг введите SMS для антивируса, ну какая реакция будет у человека, если его честно купленный/взломанный касперский (я так понимаю под него косят) вдруг SMS запросит…
Я уж молчу про темы оформления в очередной говносборке — сейчас еще попробуй у обычного пользователя найти чистую винду, а не очередное творенье зверя, про XP.

@batollo 12 янв 2013 в 15:27

Косят под MSE, от Каспера там только звук свиньи, потому кредит доверия значительно выше. MS как-то покрупее Касперского будет. Мне вот интересно какая у сайта посещаемость по субботним вечерам и сколько это безобразие там провисело. Совсем сказочно было бы выяснить сколько же в итоге людей и правда SMS отправили и коды вводили.

НЛО прилетело и опубликовало эту надпись здесь

@ArtRoman 12 янв 2013 в 15:35

Ладно 7, уже восьмёрку начали пачкать говнотемами и модификациями.

@batollo 12 янв 2013 в 15:38

Модификация темами возможна же только для цвета хрома у окон, обоев и заставки, разве нет?

@Colobock 13 янв 2013 в 06:27

Вы просто глубже не смотрели. Да, оформление оставили в покое и перестали гоняться за иконками, стартовыми экранами и прочей мишурой. Зато у половины отключен UAC и команды из «Run» выполняются с админскими правами. Видать, UAC мешает стричь — его заранее лохам выключают.

@ZUZ 13 янв 2013 в 11:51

Более того — в большинстве не только сборок восьмерки, но даже просто в обазах с интегрированными обновлениями (и/или выпиленным метро) и то везде отрубают не только UAC, но и Defender с Firewall'ом.
Приходиться вручную включать службы: Центр обеспечения безопасности, Защитник Windows и Брэндмауэр, и идти в перезагруз.

@guyfawkes 12 янв 2013 в 18:09

Всегда не могу удержаться от смеха, когда вижу это у себя под убунтой, а у коллеги под freebsd/debian :)

@Roler 12 янв 2013 в 19:26

Да, это самое потрясающее, что только можно придумать =)

@Screatch 12 янв 2013 в 15:50

Вы недооцениваете компьютерную неграмотность абсолютного большинства населения.

@iborzenkov 12 янв 2013 в 15:55

Не, компьютерную неграмотность я уже оцениваю адекватно — полный ноль, но тут уже похоже не функционирует здравый смысл :)

НЛО прилетело и опубликовало эту надпись здесь

@Disasm 12 янв 2013 в 15:57

Обожаю лицезреть такие окна в линуксе)

@iborzenkov 12 янв 2013 в 16:00

О да, а еще искать — где же блин у тебя папка system32, диск С и прочие атрибуты.

@Zerstoren 12 янв 2013 в 17:55

@dlinyj 12 янв 2013 в 18:49

Так же, открылось, няшненько посмотрел :)))

Интересно, зачем им номер моего телефона?

@BarsMonster 12 янв 2013 в 19:44

Подпишут на услугу 100 рублей в день, или пришлют СМС и попросят прислать СМС на спец.номер.

@Athari 13 янв 2013 в 07:34

Хм, спортивный интерес. А можно таким макаром отсылать несколько СМС подряд на телефон врагу?

@Superblaze 12 янв 2013 в 16:12

А как ещё Ёте пиариться? Хабраэффект обеспечен )

@batollo 12 янв 2013 в 17:37

Надо мне тогда не забыть им с начала рабочей недели счёт выставить :)

@klikalka 12 янв 2013 в 18:56

Не починили, а обидно. Только что открыл сайт йоты, вылезло это второе окошко… Оказывается, у меня есть диски C/D =)
Второй раз окошко уже не вылезает, так как в первый раз оно появляется после подтверждения города (javascript).
habrastorage.org/storage2/ab8/936/bc4/ab8936bc498feed2d71a0543512cd6b8.png

@batollo 12 янв 2013 в 19:10

Починили, но полчаса назад зловредный код снова вернулся. Что позволяет заключить, что источник пока так и не нашли и уязвимость сохраняется.

@VaMpir 12 янв 2013 в 20:10

Судя по всему, юзер-агент не смотрят. При смене показывается тот же сайт причесок и выставляется кукис
nl19154O3515=1

@VaMpir 12 янв 2013 в 20:14

Промахнулся с ответом. Это на пост ниже

@VaMpir 12 янв 2013 в 20:27

Забавные ребята взломали. Если посмотреть внедренный js-код, там есть ссылка на ихний сайт с указанием номера целевого сайта для открытия в качестве рекламы. При переходе с левым номером выдает

@batollo 12 янв 2013 в 23:05

А где именно этот код?

@VaMpir 12 янв 2013 в 23:36

Был вверху body исходника главной страницы Йоты. Сейчас уже убрали.
Там был включен слегка обфусцированный js-код, в котором происходил переход на указанный в скрине сайт с параметром sid=51 и реферером. После чего с данного сайта шел редирект на рекламный либо на гугл, если подставлять несуществующий sid.

НЛО прилетело и опубликовало эту надпись здесь

@batollo 12 янв 2013 в 23:06

Ну я их в курсе и держу ;) Присуммонил PR-службу в этот пост, но у них пока выходные.

@Isopropil 12 янв 2013 в 19:24

Подтверждаю, страница вылазит. Но либо они страницу сменили, либо таки на юзер-агент смотрят, т.к. у меня на убунте вылез просто какой-то спамовый говносайтик. Долго фиксят, однако.

@Lsh 12 янв 2013 в 20:17

>Будьте бдительны
Спасибо конечно, но как-то прямо неуважительно к аудитории хабра.

@batollo 12 янв 2013 в 23:09

Не все на хабре знают JS. И я больше всё-таки насчёт не «не вводите свой номер куда попало», а чего-то большего. Например, лучше на сайте, как мне кажется, пока не авторизовываться, раз уж он такой дырявый — могут и данные перехватить. Ну и в ещё большей степени это призыв предупредить своих не столь ИТ-грамотных знакомых, если они пользуются Yota.