Вирусы в js файлах !!!

[brand]

Добрый вечер.
Касперский обнаружил вирусы в js файлах на всех сайтах с Виартом!
Вылечил заменой на хосте.

Также вирусы обнаружены и на этом сайте:

07.03.2012 0:23:31 Opera Internet Browser Запрещено: HEUR:Trojan.Script.Generic http://viarts.ru/forum/clientscript/...hment.js?v=412

07.03.2012 0:23:29 Opera Internet Browser Запрещено: HEUR:Trojan.Script.Generic http://viarts.ru/forum/clientscript/..._init.js?v=412

и т.д.

[MilkeyWay]

кис 2012 тоже срабатывает,на этот форум,на демо сайт виарта,че за...?

[Mihail_52]

У меня Аваст определяет вирусы и на этом форуме.
Просьба к админам, либо опровергнуть эту информацию, либо почистить форум от вирусов

[DimTai]

Trojan.Script.Generic и redirect удалено. Настоятельно рекомендуем всем пользователям проверить содержимое директории /js на действующих проектах!

[MilkeyWay]

хотелось бы услышать,от чего такое вообще произошло,дабы избежать этого в будущем,есть у кого какие мысли?

[DimTai]

хотелось бы услышать,от чего такое вообще произошло

Это не уязвимость скрипта.
На одной из рабочих машин был обнаружен Trojan-Banker.Win32.Qhost отсюда и все вытекающие проблемы. Всё совершенствуется, в том числе, и вирусы. Универсального 100% щита нет ни у кого. Рекомендации стандартны - актуальный антивирус и контроль хоста.

[Bahus]

Это не уязвимость скрипта.
На одной из рабочих машин был обнаружен Trojan-Banker.Win32.Qhost отсюда и все вытекающие проблемы. Всё совершенствуется, в том числе, и вирусы. Универсального 100% щита нет ни у кого. Рекомендации стандартны - актуальный антивирус и контроль хоста.

Так же все js файлы были поражены вирусом на сайте. Дата модификации файлов 06.03.
Где-то нашли дыры в скрипте походу.

нод ругается:

07.03.2012 16:31:21 Защита в режиме реального времени файл D:\_WEB\\js_+_)\js_+_)\users.js JS/Agent.NEK троянская программа очищен удалением - изолирован

[DimTai]

Заливается через сессии зараженного компьютера, а не через уязвимости скриптов. Проанализируйте логи хоста.

[oldmanager]

У меня NOD32 вчера выругался на несколько файлов, но в папке JS я их не увидел. Подскажите, какие-то ещё файлы искать надо? Или достаточно работы антивируса?


P.S. И ещё не совсем понятно, как так сразу, одновременно у разных людей, во всех проектах на Виарте смог оказаться вирус? Откуда он туда попал, с этого форума? Где нужна дополнительная бдительность?
Объясните пожалуйста, а то я в этом не силён.

[brand]

Обнаружены вирусы в js файлах и на форумах vbullet.
Так-что, появились вирусы не только на проектах Viart.
Кстати на одном сайте просто html, в js файлах тоже обнаружены вирусы, видно уязвимость в самих js файлах!

[MilkeyWay]

да че-то странно это все,если это не взлом,как тогда зараженные файлы попали на сервер на многих проектах о которых выше написали о.О

[Mihail_52]

Обнаружены вирусы в js файлах и на форумах vbullet.
Так-что, появились вирусы не только на проектах Viart.
Кстати на одном сайте просто html, в js файлах тоже обнаружены вирусы, видно уязвимость в самих js файлах!

Да мы же не говорим, что ВиАрт хуже всех. Мы вообще о другом говорим: что нам делать? Как защититься?
Я к примеру тоже не понимаю, как может оказаться вирус у меня на сайте, если кроме меня ни у кого к нему нет доступа для записи и изменений файлов.
Значит это взлом?
А если нет, то что же это?
К примеру, как оказываются вирусы на моём компьютере, который подключен к интернету, я понимаю. А как они появляются на сайте - не очень.
Вы поймите, мы ж не из праздного любопытства и не из-за злорадства спрашиваем. А именно из-за того, чтобы выработать определённую стратегию.

Конкретный вопрос: какие превентивные меры мне следует произвести. (копии раз в неделю делаю сам, ежедневно делает хостер)

[oldmanager]

да че-то странно это все,если это не взлом,как тогда зараженные файлы попали на сервер на многих проектах о которых выше написали о.О

А может пользователи были на форуме и словили трояна, а потом заходили на свои проекты и что-то куда загружали вместе в вирусом.
Или он такой умный и размножается сам, используя кэш, сохранённые пароли и тому подобное?

[Mihail_52]

А может пользователи были на форуме и словили трояна, а потом заходили на свои проекты и что-то куда загружали вместе в вирусом.
Или он такой умный и размножается сам, используя кэш, сохранённые пароли и тому подобное?

Мне кажется это маловероятным (куда-то заходил, словил вирус, "случайно" его загрузил на сайт). Тут скорее другой механизм работает. Какой - я не знаю, поэтому и спрашиваю у других.

Ну то, что он размножается сам - это очевидно, на то он и вирус. А вот каков его механизм - пока неизвестно.

[MilkeyWay]

А может пользователи были на форуме и словили трояна, а потом заходили на свои проекты и что-то куда загружали вместе в вирусом.
Или он такой умный и размножается сам, используя кэш, сохранённые пароли и тому подобное?

если было бы так,то анитвирус это остановил бы заранее и не кричал бы на файлы сервера...

зы если это был взлом и виарт не хочет этого признавать,в лучшем случае остается ждать патча,в худшем подыскивать другую цмс

[ndmitry]

Уф... У меня всё нормально. Проверил все свои сайты и на 3.6 и на 4.х. Указанные файлы без изменений.

[Anstrem]

Тоже нормуль, дата на файлах не менялась уже давно. Так и не понял каким таким хитрым образом нахватало столько народу этой дряни...

[brand]

Ещё вопрос к спецам по вирусам.

При работе в админке Каспер блокирует вредоносные ссылки.

Происходит это только в двух случаях:
1. если захожу на страницу в админке ОТЗЫВЫ ПО ТОВАРАМ (admin_reviews.php)
2. если захожу редактировать сам отзыв

11.03.2012 11:14:59 SRWare Iron Запрещено: (проверка по базе подозрительных веб-адресов) Ссылка обнаружена в базе

Ссылки всегда разные:

virus.jpg
------
Скопировал admin_reviews.php, попробовал найти в нём qqyisgpbsm.dynalias.org, нету.

Взял чистый файл admin_reviews.php скопировал на хост, не помогло.

Проверил на разных браузерах в том числе и на Лисе.

Как лечить?

[exBitrix]

Как происходит заражение сайта вирусами?

Сайты заражаются приблизительно так:

Заходите на сайт злоумышленника или уже зараженный сайт (причем, таким сайтом может оказаться и весьма популярный ресурс — подобные случаи уже были), в который встроен код, устанавливающий на компьютер посетителя вредоносную программу — «троянского коня». Троян «живет» в компьютере незаметно для его владельца и ворует пароли доступа к его сайтам по FTP.

Получив пароль, «троянский конь» отправляет его своему владельцу. Имея пароль FTP-доступа, злоумышленник вставляет в код главной страницы сайта (или всех страниц сразу) специально сформированный HTML-код, который может как заражать вирусами компьютеры посетителей, так и перенаправлять их на другие сайты, показывать рекламные блоки и т. п.

Все это происходит в автоматическом режиме, и поэтому, даже если владелец пострадавшего сайта удалит код со своих страниц и сменит пароль на FTP, пароль будет снова украден, а вредоносный код вставлен на сайт уже на следующий день.


Превентивные действия от этих проблем

Ограничить доступ по FTP

Для этого нужно создать файл .ftpaccess и вставить туда такие строки:

<Limit ALL>
Order allow,deny
Allow from ::ffff:ваш_ip
Deny from all
</Limit>

«Ваш_ip» необходимо заменить на ваш IP-адрес. Если ваш IP — 123.45.67.89, то в результате эта строка должна принять следующий вид:

Allow from ::ffff:123.45.67.89

Если доступ необходимо открыть для нескольких IP, добавьте несколько соответствующих строк. Если у вас динамический IP-адрес, и доступ надо открыть для подсети (например, для подсети 123.45.67.*) используйте следующую форму записи:

Allow from ::ffff:123.45.67.

Созданный таким образом файл .ftpaccess нужно поместить в корневую директорию вашего аккаунта. Кроме того, если у вас есть дополнительные FTP-аккаунты, привязанные к внутренним папкам, то по такому же файлу нужно положить и в них.

[elmar]

В тему