Kosyan Jun 7 2007 at 11:29

Эксплоит на rbc.ru

1 min

1.7K

Information Security*

+26

Comments 53

GogA Jun 7 2007 at 11:42

Нод с сегодняшними бд не нашёл ничего, глянул - ифрейма нет, а вот страничка есть...
фф+нод32, я рискнул, и тишина

Kosyan Jun 7 2007 at 11:55

Уже убрали. http://www.crutop.nu/Vbulletin/showthrea…

hostmaster Jun 7 2007 at 12:51

самоубийца ну что же ты делаешь ....

hostmaster Jun 8 2007 at 20:57

зря заминусили, есть сплоиты которые вообще не ловятся ничем. так что не я бы не рисковал.

SpiritOfVox Jun 7 2007 at 12:03

Странно что не сделали дефейс

hostmaster Jun 7 2007 at 14:57

а зачем ? на дефейсе денег не заработаешь, а так трафика продали думаю не слабо.

Nicholass Jun 7 2007 at 12:25

При открытии данного адреса FF закрылся без каких либо вопросов или претензий. Так что пока баловаться не советую

UFO just landed and posted this here

hostmaster Jun 7 2007 at 12:50

Вот хакеры пошли .... даже папку переименовать в лень было :)

entze Jun 7 2007 at 13:49

А это уже не первый раз с РБК такое.
В сентябре прошлого года была зараза на top.rbc.ru. Тогда только повесили ее вечером, когда посещаемость резко падает да и нашли ее быстро. Подробнее...

alammi Jun 7 2007 at 13:56

теги разделяются запятыми, поправьте пожалуйста

Kosyan Jun 7 2007 at 14:07

Спасибо, поправил

khekkly Jun 7 2007 at 14:19

мдас.. самое интересное что и не ново.
Mpack - программа, которая используется для загрузки вредоносного ПО на удаленные компьютеры за счет эксплуатации многочисленных уязвимостей. Mpack уже использовался в нескольких случаях. Одна из версий, к которой удалось получить доступ PandaLabs, была использована для заражения 160000 компьютеров.

Mpack заражает скрыто. Кибер-преступники используют несколько технологий для того, чтобы заставить пользователя запустить вредоносный файл. В случае с веб-серверами, они обычно добавляют в конце i-кодированную ссылку на файл, загружаемый по умолчанию и содержащий классификационную страницу, на которой установлен Mрack. Иногда они используют тот же самый взломанный сайт для размещения Mpack или других видов вредоносного ПО. Они размещают вредоносное ПО на серверах третьих сторон для того, чтобы скрыть свои следы.

iloveyoutoo Jun 7 2007 at 14:26

У нас на сайте такая зараза была. Кто-то ее словил. Толи на сайте, толи в письме. Она стырила пароль из базы паролей Total Commandera и обновила все index.html нескольких сайтов. Удалили, обновили пароли - она еще раз стырила. Потом поняли, что все компы, на которых пароль доступа к сайту был, надо вычистить, а потом уже только менять пароль.
Кстати, FF эта зараза либо валит, либо он ее не замечает. А вот IE замечательно ее пропускает.

hostmaster Jun 7 2007 at 14:53

Поставте в FF расширение NoScript, отключите автоматическое проигрывание медиа-файлов и будет вам счастье.

hostmaster Jun 7 2007 at 14:53

http://noscript.net/

iloveyoutoo Jun 7 2007 at 16:19

Спасибо, только это не мне надо ставить. У меня с защитой все в поряде... Есть люди... Редакторы........

manny21 Jun 7 2007 at 15:06

А что за база паролей Тотала? К фтп-серверам?

iloveyoutoo Jun 7 2007 at 15:41

Да, к ftp-серверам.

cepik Jun 7 2007 at 15:14

Я теперь просто пароли не сохраняю, тоже попался.

Пароли похоже експлойт передает на сервер или еще куда. Инфрейм вставлен в 2-30 ночи, в это время комп выключен был.

Поймать мог через AllSubmitter, он ведь IE использует.

iloveyoutoo Jun 7 2007 at 15:50

AllSubmitter на этих машинах не пользовали. Я попробовал зайти эксплорером на один из наших сайтов, пока тот был еще заражен - в память сразу пролезли 5 файлов и попытались работать с другими приложениями. Благо Outporst Firewall не дал им такой возможности.

DEL Jun 7 2007 at 15:48

Каспер сошел с ума. Орет на все в интернете. На помойку его выбросите и все.

-8

Kosyan Jun 7 2007 at 16:02

От этого исчезнут эксплойты на сайтах?

DEL Jun 7 2007 at 17:47

Жизнь станет намного веселее. Сиди с тормозящим компом. У меня эта гадость вешает даже двухядерные ксеоны.

FanXFire Jun 7 2007 at 19:39

Правильно, DEL. Быстрый компьютер с вирусами - вот, что круто!

DEL Jun 8 2007 at 10:17

Большинство вирусов я вычищаю руками с помощью кое-каких инструментов. А вообще пользуюсь в основном линухой не под рутом, что и вам советую. Каспер - вот что есть стереотип:)

muar Jul 10 2007 at 15:27

у меня каспер 7-ка не вешает даже второй пенек.
нейтрализует руткиты, которые не видит AVZ, и чистит зараженные бибилиотеки

Siddthartha Jun 8 2007 at 14:09

настроить надо аккуратно - вешать не будет.

Siddthartha Jun 7 2007 at 16:10

На реальный эксплоит он орет. Показать код этой гадости?

m0sia Jun 7 2007 at 17:19

покажи. я не успел посмотреть. его уже убрали.

DEL Jun 7 2007 at 17:25

Не суть. Каспер все равно идиотский антивирус:)

-1

Siddthartha Jun 7 2007 at 18:06

Это устаревший стереотип. Он сейчас совсем неплох.

DEL Jun 7 2007 at 18:19

Устаревший стереотип - это то, что каспер стал лучше. На самом деле он становится только хуже.

UFO just landed and posted this here

Kosyan Jun 7 2007 at 16:08

Ломать грамотно настроенный сервер задачка не из легких.
Большинство наблюдаемых мною "взломов" происходили через утечку паролей с компов пользователей.
Спасает файрволл, хороший антивирус и редкий браузер.
Посему, пусть лучше ФФ остается непопулярным, меньше шансов подхватить заразу.

sgnppv Jun 8 2007 at 23:49

редкий браузер=non-ie? :)

Siddthartha Jun 7 2007 at 16:14

Кстати на моих сайтах произошла аналогичная проблема однажды.
Судя по всему ФАРовские пароли у меня украло и все index.html в аккаунте поменяло -
но я не понял такую вещь:
даты последнего доступа и модификации всех файлов равны до секунды. По фтп с моего компа все файлы пересохранить уходит секунд 30-ть минимум (их там много).
Как же это было сделано? Такое ощущение что это было сделано на стороне сервера и мгновенно.

Кто-небудь может прояснить мне ситуацию? (дело было давно но мне до сих пор интересно)

Siddthartha Jun 7 2007 at 16:14

сорри index.* оно меняет - не обязательно html конечно.

Ashot Jun 7 2007 at 16:59

я тоже как-то попался. он ломает практически все index.* на сайте. так что советую осмотреть все index на сайтах

Red_Lemur Jun 7 2007 at 18:26

Так же были случаи добавления ифрейма в файлы template.* , header.* и main.*
Кроме того были прецеденты с полным стиранием файла (индекса) когда оставался ифрейм и больше ничего...

iloveyoutoo Jun 7 2007 at 16:21

Конечно со стороннего сервера. Маленькая програмка на компе, по ходу, только ворует пароли и сливает их в сеть программе-сообщнику. А уже там, я пологаю, расшифровываются базы и от туда меняются index.*

Siddthartha Jun 7 2007 at 16:24

К сожалению это был не виртуальный сервер, так что доступ только к апачевским логам - даже и не узнать откуда... А поддержка хостера отморозилась мгновенно.

MashaLaufer Jun 7 2007 at 21:19

а как вы вычистили заразу? а то у меня подозрение на такую же хрень. Так хочется наверняка ее с компов снести

Siddthartha Jun 8 2007 at 14:07

я ничего не нашел. переустановил систему.
больше не храню пароли в фтп-клиентах )

Raesvelg Jun 8 2007 at 02:27

Кстати, Вы троян потом сами удалили? На моей памяти аналогичный зверек самоуничтожался после отправки паролей на сервер хозяйна - поскольку к аккаунту имело доступ несколько человек, мы в итоге так и не смогли определить, кто конкретно его подцепил.

Siddthartha Jun 8 2007 at 14:05

Аналогично.
Острый приступ паранойи увенчался ничем - смена всех паролей, сканирование всем чем можно, просмотр логов, в результате ничего не обнаружилось кроме парочки adware и, вобщем, переустановка систем на рабочих местах.

webmaster Jun 7 2007 at 16:56

Как это ни стыдно признать - тоже попались на подобную уловку.
Помимо поломки сайтов еще и огребли кучу исходящего траффика.

Я наблюдал за этим несколько дней и сделал следующие выводы:
эта штука ДОСила сайты. И посредством подмены индексов и тупой отправкой запросов с зараженного компа.
Причем ни докторвеб ни штатный касперский сделать с ним ничего не могли.
Пришлось искать нестандартные решения.

Siddthartha Jun 7 2007 at 17:07

У кого ДОС-ила, у кого загружала SdBot, а у кого еще что-то - это способ доставки. )

Aven Jun 7 2007 at 19:19

Недавно на яндексе справа на рекламку кликнул - попал на что-то.narod.ru - тоже весь сайт в эксплоитах :(

SerZh Jun 8 2007 at 01:20

Угу, на jino.ру тоже много кто огребся. И я в том числе.
Как результат: поменял (наконецто!) давно застоявшиеся пароли и перешел на ФаерФокс :)

webmaster Jun 8 2007 at 22:10

Мы:
сменили все пароли;
сделали все бэкапы;
продумали ставить cvs:
продумали работу и хранение паролей;
Круто, но все по-русски... после того как петух клюнул.

SerZh Jun 9 2007 at 01:02

И после этого, кто-то еще сомневается в полезности вирусов.
Одна из причин развития и прогресса.
В рамках КСЕ об этом очень интересно говорится :)

prudis Jun 8 2007 at 01:44

Все на линукс :)

Show the best of all time