ааааааааааааа
ААААААААААААА
шоделать
ето же невероятно, ведь у нас идеальный форум!!! С ним ничего не может никогда случиться
Medved, А по сабжу, чего ты панику наводиш ? Вирусов никогда не видел ?
| Версия для печати темы
Нажмите сюда для просмотра этой темы в оригинальном формате |
| Форум программистов > Обсуждение форума > Антивирус ругается на форум |
| Автор: Medved 19.12.2008, 03:00 |
| При заходе на форум, уже второй день, постоянно браузер предупреждает о том, что сайт несет собой угрозу. В клубе я написал какой текст выдает. И вот дожились. При заходе в темы Наши фото и Линки на сайты KIS обезвредил трояны. обнаружено: троянская программа Trojan-Downloader.JS.Agent.cey URL: http://utevox.site90.com/f/index.php обнаружено: троянская программа Exploit.Win32.Pidief.tt URL: http://utevox.site90.com/f/readme.pdf//data0000 |
| Автор: Samotnik 19.12.2008, 04:07 |
| АААААААААААА ааааааааааааа ААААААААААААА шоделать ето же невероятно, ведь у нас идеальный форум!!! С ним ничего не может никогда случиться Medved, А по сабжу, чего ты панику наводиш ? Вирусов никогда не видел ? |
| Автор: ТоляМБА 19.12.2008, 06:37 |
| На Наши фото заходил каспер 6.0 для Windows workstations (Дата выпуска сигнатур 18.12.2008) молчит. Страницу обновлял, всё равно тишина. Согласен, иногда выскакивает при просмотре форума касперовское предупреждение о троянах, но опять таки у меня в опере параллельно открыта туева хуча других вкладок. Хотелось бы узнать, что скажут владельцы других антивирей? |
| Автор: Alexeis 19.12.2008, 10:28 |
| Avira вопит. |
| Автор: marykone 19.12.2008, 10:36 |
| drweb 4.44.4 молчит / |
| Автор: Samotnik 19.12.2008, 10:38 |
| нод молчит |
| Автор: bars80080 19.12.2008, 10:59 |
| мне честно говоря не понятны действия администрации. я уже говорил, что у меня аваст рубит js скрипты с форума как заражённые троянами. реакция оказалась просто удивительна, Вова перенёс тему во флейм, как будто это мне нужно по факту замечено, что разные ативиры не обладают одной базой вирусов. поэтому советую установить доп.защиту |
| Автор: Str!pe 19.12.2008, 11:05 | ||
все сразу? А вы не думаете что это кто то через подпись что то подгружает? Картинки вот смотрю у многих разные стоят, всякие фишки типа "бросил курить и теперь у меня стоит". Давайте точно вычислять источники. |
| Автор: kemiisto 19.12.2008, 11:49 | ||
Так вроде же в http://forum.vingrad.ru/topic-240719/unread-1.html к тому и пришли. И кстати-таки dixis.ru - тоже были счётчики для бросивших курить (не только nomac.ru). |
| Автор: bars80080 19.12.2008, 11:51 |
| у меня кстати, аваст хватался за js скрипты написанные судя по всему Сергеем |
| Автор: Alexeis 19.12.2008, 11:58 | ||
аналогично. Возможно это ложные в связи с тем что появился схожий по структуре вирь. |
| Автор: Medved 19.12.2008, 12:57 |
| Надо решать эту проблему. Так как сайт в данный момент относится к разряду неблагонадежных. Зачем отпугивать посетителей. |
| Автор: ksili 19.12.2008, 13:14 |
| Я лично за то, чтобы запретить навороченные подписи. Только утяжеляют страницу и отвлекают. Пусть подписи будут только текстовыми. Или все не текстовые подписи отправлять сначала на проверку админам. Можно сделать голосование насчёт этих подписей |
| Автор: Medved 19.12.2008, 13:44 |
| Ну тогда и аватары тоже надо отменить. |
| Автор: Str!pe 19.12.2008, 13:59 | ||||
0_o
Мне Опера выкидывает сообщение о просроченом сертификате на эти картинки... нод молчит. Картинки есть у Смартова и у Майка. |
| Автор: THandle 19.12.2008, 14:02 |
| У меня вчера вечером кидались на Винграде какие-то сообщения о каком то сертификате... Сегодня вроде бы все как всегда. Кстати, предлагаю еще убрать все стили, смайлы и сделать форум текстовым |
| Автор: Wowa 19.12.2008, 14:48 |
| Это скорее всего у кого-то в подписи ссылка на что-то или же аватарка грузится откуда-то. На самом форуме вирусов никаких нет. Касперский также молчит. Советую писать в антивирусные лабораторией и заявлять о ложной тревоге. Пусть правят свои базы. Участника который мог что-то внести в подпись или аватарку надо выявлять. Это очень просто. Те у кого антивир вопит. должны указывать ссылки на страницы форуме, где выскакивает предупреждение. Добавлено @ 14:51 Тему я переименовал, т.к. название не соответствует действительности. |
| Автор: Alexeis 19.12.2008, 15:24 |
| Avire отправил. |
| Автор: Alexeis 19.12.2008, 16:15 |
| Пришел ответ от лаборатории авиры. В лаборатории утверждают что оба скрипта являются вредоносными http://files.vingrad.ru/sergej.z/vgal/html/vingrad_style/gal.js http://files.vingrad.ru/sergej.z/vgal/html/vingrad_style/fotossz.js Чего дальше делать неясно, может в них пару букав поменять чтобы не детектились? |
| Автор: ТоляМБА 19.12.2008, 16:24 | ||
 |
| Автор: Alexeis 19.12.2008, 16:26 | ||
| Dr web и Касперский говорят что все чисто. Скорее всего так и есть, но тем не менее гугл детектит как вредоносный скрипт и авира тоже. Добавлено через 3 минуты и 57 секунд
|
| Автор: Samotnik 19.12.2008, 17:05 |
| ... |
| Автор: smartov 19.12.2008, 17:12 | ||||||
Alexeis,
OMG! Еще бы! Кто бы мне сказал, что в конце обоих скриптов делают строки
Это тоже функционал Винграда?! Добавлено через 3 минуты и 10 секунд На мою подпись никаким сертификатом ругаться не может, т.к. у меня запрос картинки по http а не https. Если заметите, что ругается на мою картинку чем-то - пишите мне. Разберусь и уберу Добавлено через 6 минут и 34 секунды Alexeis, а где ты взял эти скрипты? Добавлено через 9 минут и 9 секунд bars80080,
Какие именно? |
| Автор: Alexeis 19.12.2008, 17:21 |
| smartov, мне они тоже показались подозрительными. Имена как-будто специально измены чтобы сигнатурный поиск антивируса не мог задетектить. Может все таки вирь? Авира сейчас на первых позициях, у нее самые частые обновления, кроме того скорее всего тут поработала эвристика. Из лаборатории написали что они добавят новые сигнатуры для правильного детектирования этих вирусов. |
| Автор: smartov 19.12.2008, 17:23 |
| Alexeis, к гадалке ходить не надо ,мне даже лень смотреть результат выполнения, уверен что там используется какая-то уязвимость. Откуда эти скрипты? |
| Автор: Alexeis 19.12.2008, 17:26 |
| smartov, зайди в наши фото в тему sergejz и сам их получишь. Добавлено через 1 минуту и 51 секунду вот тут в первый раз описали их появление http://forum.vingrad.ru/forum/topic-240719/hl/sergej/index.html |
| Автор: smartov 19.12.2008, 17:42 | ||||
На выполнение это строка отправляет вот этот javascript код
Добавлено @ 17:42 По этому адресу, как уже зарепортили, сидит троян Добавлено @ 17:45 Эти скрипты подключаются http://forum.vingrad.ru/forum/topic-140640.html странице (НЕ ЗАХОДИТЕ!) Добавлено через 4 минуты и 29 секунд
|
| Автор: Str!pe 19.12.2008, 17:50 |
| Кто мне скажет куда этот троян прописывается и что он делает? |
| Автор: smartov 19.12.2008, 17:52 |
| Судя по тому, что было по ссылке атакующий сайт пытается использовать уязвимость в Adobe Acrobat (reader?) Добавлено через 25 секунд Сайт походу запоминает IP жертвы, и страница жертве выдается только 1 раз |
| Автор: Str!pe 19.12.2008, 17:54 |
| smartov, сертификат запрашивает у Майка. Твоя картинка молчит, но раньше вроде бы то же просила. |
| Автор: smartov 19.12.2008, 17:55 | ||||
Вот http://www.viruslist.com/ru/viruses/encyclopedia?virusid=219295 Модификации "cey" там нет, но общий смысл работы остается тот же Добавлено через 2 минуты и 39 секунд
http://forum.vingrad.ru/users/Mayk - тишина. А у тебя? |
| Автор: Str!pe 19.12.2008, 18:00 | ||||
спасибо!
А у меня:  |
| Автор: sergejzr 19.12.2008, 18:02 |
| по всей видимости сайт был сломан 13 декабря. Я уже удалил скрипты. так что теперь на форуме всё ок. Добавлено через 23 секунды Не Винград, а винградовский FTP |
| Автор: UniBomb 19.12.2008, 18:03 | ||||
Появляется окошко с надписью
|
| Автор: Str!pe 19.12.2008, 18:08 |
| sergejzr, надо хоть форумчанам дать знать об этом... многие его не задетектили. А эта гадость подгружает на машину что то... ладно если из зараженного компа только проксю сделают... |
| Автор: smartov 19.12.2008, 18:14 |
| Str!pe, UniBomb, с Майком уже увидел. Firefox даже не спрашивает - прсто режет. Действительно у него там https в одной картинке Добавлено через 4 минуты и 47 секунд Послал Майку письмо в просьбой поменять. |
| Автор: bars80080 19.12.2008, 18:41 | ||
как раз эти самые два. сейчас снова словил запрос https здесь: http://forum.vingrad.ru/index.php?showtopic=240685&view=findpost&p=1733728 в наличии всего четыре участника AntonSaburov, VSergeyV, Sun, December, |
| Автор: Wowa 19.12.2008, 20:10 |
| Это видимо связано с тем, что кто-то из модераторов подхватил вирус, который спер у него хранящийся на компе ФТП-пароль к вспомогательному серверу files.vingrad.ru Вот там вот и пошерстил вирус слегка заразив некоторые расположенные там файлы. |
| Автор: Medved 19.12.2008, 22:14 |
| Значит надо вводит персональные политики безопасности. Цель которых - обеспечение сохранности административных данных от посягательства злоумышленников. 1. Отказаться от общего пароля. 2. Ввести персональные пароли на каждого члена администрации, имеющих доступ к административным данным. 3. Деактивировать персональные пароли, после того, как член администрации ее покинул. 4. Тщательно следить за соблюдением этих политик. Добавлено через 4 минуты и 11 секунд При таком раскладе можно будет и отследить источник заражения |
