Пошук по сайту

На этой неделе обнаружилось большое количество случаев скрытого внедрения вредоносных редиректоров в код сайтов, перенаправляющих посетителей на порно-ресурсы. Все выявленные инъекции кода были сделаны единообразно и ориентированы только на пользователей мобильный устройств. Все внедренные редиректоры работали по условию, что делало их практически не детектируемыми владельцами сайтов и веб-мастерами. Сейчас мы объясним, что происходило. Условные перенаправления на порно-сайты, нацеленные на мобильные устройства Звучит сложно, но это не так. Если посетитель приходит а Айфона, Айпада, Андройдного или другого аналогичного мобильного устройства, страница перенаправляет его на случайный порнографический сайт. Если же человек пытается зайти на сайт снова, ничего не происходит, и сайт загружается как обычно. Что это дает? Слово Условный Вредоносная программа, внедренная в веб-сайт является интеллектуальной. Она хранит IP адреса всех посетителей, которых перенаправляет на сайты с порно. Если вы видите перенаправление один раз, то вполне вероятно, что вы не увидите его снова в течение многих часов. Это делает вредоносную программу тяжело обнаруживаемой и заставляет людей думать, что это случайная ошибка, или, возможно, они опечатались в URL. Только мобильные устройства Эта инъекция предназначается только для владельцев мобильных устройств: Айфонов, Айпадов, Виндоус- или Андройдофонов и планшетов. Редиректор перенаправляет на порно только если вы работаете через мобильные браузеры. Для всех остальных сайт выглядит чистым и безопасным. В браузере инъекция отображается следующим образом: Со случайными доменами (intelligenthometheater.com, gridironservices.com, и т.д.). Само по себе это выглядит вполне нормальным, однако, тут вы обнаруживаете Javascript код: Теперь POST будет перенаправлять посетителей. На первый взгляд оба эти выражения выглядят вполне нормальными и будут игнорироваться большинством антивирусов. Как упоминалось ранее, вся суть вредоносного вмешательства проявляется только на мобильных устройствах. Но в чем смысл, спросите вы? Естественно, как часто бывает, все дело в деньгах. Такое перенаправление - это лишь первый шаг в цепочке. Главная задача злоумышленников - подтолкнуть человека, чтобы он совершил переход по какой-либо партнерской или рекламной ссылке (например, вида: httx://ads.mobiteasy.com/ или httx://www.instabang.com/tour/zinstabang) на таком сайте, что приносит злоумышленнику достаточно высокую материальную выгоду. Как убрать порно-редирект Обнаружить такой редирект при проверке сайта не просто. Если вы запустили поверхностное (по файлам и признакам, доступным без установки синхронизационного файла на ваш сайт) сканирование и первый раз обнаружили вредоносный код или предупреждение, то при повторном сканировании вы можете уже не обнаружить угрозу, поскольку IP будет сохранен вредоносом и тот не проявит себя еще какое-то время. Наша команда поможет вам справиться с этой проблемой, вам необходимо просто обратиться в нашу техподдержку. Для того, чтобы вручную справиться с этой проблемой вы можете проверить следующие места на своем сайте: /index.php /WP-config.php (при использовании WordPress) /configuration.php (при использовании Joomla) /wp-content/themes/yourtheme/functions.php (при использовании WordPress) Таковы четыре места, в которых нами было замечено добавление вредоносного кода. Обратите внимание, что вредоносные вставки закодированы и вам придется внимательно искать фрагменты, кажущиеся подозрительными в этих файлах. Помните, что такая инфекция — лишь верхушка айсберга. Если ваш сайт заражен, то вы должны понимать, что защита ресурса взломана и на него , вполне вероятно, добавлены скрытые элементы управления, позволяющие легко получить доступ к вашим файлам и управлению сервером. Не забывайте обращать внимание на бэкдоры. Подготовлено по материалам http://virusdie.ru/blog

Это перепечатка статьи с сайта: http://virusdie.ru/blog/2014/07/16/badoinkpornappmalware/ Вредоносный мобильный редирект на BaDoink Porn App Несколько недель назад мы писали о большом количестве обнаруженных сайтов, скомпромитированных в следствие перенаправления пользователей на порно-контент. Это была очень не обычная и хитрая инъекция с редиректом, происходящим всего лишь один раз в день для одного IP и только при условии, что пользователь зашел на ресурс с мобильного устройства под управлением iOS или Android. Этот тип инъекции называется Условным Редиректом, поскольку для его срабатывания действия пользователя должны удовлетворять сразу нескольким условиям. Это вредоносный мобильный редирект не всегда обнаруживается, а его авторы старательно скрывают его от владельцев и администраторов веб-сайтов. Вредоносный код отслеживает входящих в админ-панель пользователей и никогда их никуда не перенаправляет. Ну и наконец, если пользователь был однажды перенаправлен, вредоносная программа больше не будет его перенаправлять. В таком случае, если вы посетите такой сайт — вы будете отредирекчены, но с вашей точки зрения, возможно, это покажется вам случайность. Вы попробуете посетить сайт еще раз и ни какого перенаправления не произойдет. Вы не будете сообщать об этом владельцу или администратору сайта, что позволит вредоносной программе спокойно жить дальше. Как вы можете предположит, такой тип вредоносного ПО тяжело обнаружить. Многие веб-мастера не замечают или пропускают, сославшись на свою опечатку, прециденты редиректа на своих сайтах. По этой то причине многие ресурсы за последний месяц были скомпромитированы, попав в соответствующие блэк-листы, за перенаправление пользователей на «instabang.com» или Badoink Porn App. Если вы замечали на своем ресурсе, хотя бы однократно, редирект на подобное направление — ваш сайт, должно быть, взломан. Технический анализ вредоносного мобильного редиректораВ новой версии этот вирус изменился. Он использует JavaScript для перенаправления пользователей на второстепенные лэндинг-страницы. Вот этот код: Как вы можете видеть, используется top.location.replace для перенаправления человека на другой скомпромитированный домен (в этом примере на «1strateannuities.com»), где затем происходит перенаправление на http://ads.mobiteasy.com/mr/?id=SRV0102. Здесь уже решается куда будет перенаправлен пользователь, на приложение «BaDoink porn app» или на «instabang». За последние несколько дней были выявлены следующие сайты, участвующие в перенаправлении: http://www.1strateannuities.com/199c99c6d718c7b222eaa1a5fabd2467.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102″); http://www.1strateannuities.com/199c99c6d718c7b222eaa1a5fabd2467.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://www.2013foundations.com/22ab9c9bdeae7b074719eca789ea3397.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://medicalhospitalitygroup.com/28d8e465d7d573b25255f5d56750faef.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://www.10dayssold.com/3615ccfb9d6365cf44b9b34a941ccaf4.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://www.10k-cash.com/3f7c4df28646c8fd08285cfbd8ba3cee.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://sifamuk.com/f3d61b9cc0e63a87dccf63754bdd2dd6.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://www.10dayweightlosschallenge.com/276f2bb01190a423ec7b9ca7d8e9fad0.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://robbiehoucek.com/83b028352b34c11fb2cddff566c9fd8a.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://urbanincubation.com/d275d964cd71fc4c8f0963450b6958a0.php?s=http://ads.mobiteasy.com/mr/? id=SRV0102http://testx2.vladogeorgiev.com/7a9ca9045edbb37f0eaa13cd3f6071d0.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://knoxvillewaterfirerestoration.com/3cef451625a50c08bff223372895dd33.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://sorianoproperties.com/22ffc02b577e6d1fa21813e208417d14.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://riverstonefitness.com/ca785b5cbf87edf65e02423cb2d36e67.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://sportsbettorz.com/4c9269300f2a7ed6c8e7a1db7f7cae09.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://roofingservicesct.com/489219955adc40fc371fc60d230cc583.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://pinkyoda.com/f8c07d6deddf8d43360860efa140da44.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 http://quemooono.com/8c6d28f83c82058736543b0cb6905045.php?s=http://ads.mobiteasy.com/mr/?id=SRV0102 О том, как удалить данный рекдирект вручную мы уже писали ранее статье: https://opencartforum.com/topic/35322-%D0%B2%D1%80%D0%B5%D0%B4%D0%BE%D0%BD%D0%BE%D1%81%D0%BD%D1%8B%D0%B9-%D0%BC%D0%BE%D0%B1%D0%B8%D0%BB%D1%8C%D0%BD%D1%8B%D0%B9-%D1%80%D0%B5%D0%B4%D0%B8%D1%80%D0%B5%D0%BA%D1%82-%D0%BD%D0%B0-%D1%81%D0%B0%D0%B9%D1%82%D0%B5/