Перейти к содержанию
andreyvebuiskii

Вам кажется , что ваш сайт взломан? Значит, так и есть.Вам кажется , что ваш сайт взломан? Значит, так и есть.

Рекомендуемые сообщения

Это перепечатка статьи "Вам кажется , что ваш сайт взломан? Значит, так и есть." с сайта: http://virusdie.ru/blog/2014/06/19/ismywebsitehacked/

 

phishing.jpg

 

Основная проблема с фишингом и причина, по которой так много людей подвергаются риску, заключается в том, что вредоносный фишинговый код трудно обнаружить. Почти во всех случаях он не выглядит подозрительным, он не обфусцирован, не зашифрован. Он выглядит так же, как и обычный код. Ну, почти.

 

Зачастую, владельцы веб-сайтов не будет знать о том, что их сайт взломали и производят фишинг-атаки с его использованием, пока посетители сайта не информируют их. Найти фишинг-страницы зачастую также сложно, как отыскать иголку в стоге сена. Вот почему дальнейшая история столь поучительна.
 
Проблема
Недавно, одному из наших клиентов потребовалась помощь нашей экспертной группы, поскольку автоматическое сканирование и лечение не справлялось с задачей. Тогда то, один из наших экспертов обнаружил интересную фишинговую страницу.
 
Где была инъекция?
В последнее время хакеры предпочитают прятать вредоносный код «оставляя его на виду». Код стараются делать максимально похожим на нормальный так, чтобы при беглом просмотре исходника взгляд специалиста не цеплялся бы за что-то подозрительное, за что-то, чего в этом месте быть не должно.
Для скрытия фишинговых страниц не используются вредоносные скрипты или iframe.
 
В этом конкретном случае странице не содержит ни подозрительных функций, ни обращений к русским доменам. Она просто содержит инпуты для ввода текста, такие же, как на миллионах обычных страниц любых сайтов. Для того же, чтобы найти что-то конкретное вам придется научиться думать как хакер.

 

На что обычно нацелено фишинговое мошенничество? Вот здесь-то как раз важно знать на что нацелен фишинг в обычных случаях. В большинстве случаев злоумышленники хотят получить банковские данные, данные кредитных карт и пароли. Что же мы сделали? Мы просто решили поискать по контенту файлов, что же мы найдем по вхождению строки "bank" и вот что мы обнаружили:

bank1.jpg

Видите? title_netbank.jpg выглядит подозрительно. Но это всего лишь одна ссылка в index.htm на файл с картинкой .jpg, которая и приведет нас на фишинговые страницы. На этом мы не остановились и вот что нашли в файле .htaccess в этом каталоге:

htaccessphishing.jpg

Видно, что это список IP адресов, с которых доступен просмотр фишинговых страниц. В этом случае, только пользователи с Датскими IP адресами будут перенаправлены на фишинговые страницы. Злоумышленники таким образом концентрируются на краже данных пользователей только необходимой им группы, именно на тех, кто с большей вероятностью воспользуется фишинговой страницей. Другие же пользователи для злоумышленников не интересны и нет ни какой необходимости пытаться взять их данные.
 
Вот так выглядела фишинговая страница. Пользователи перенаправлялись на страницу, похожую на стандартные страницы Nordea Bank AB (Nordea Bank — это крупная европейская финансовая группа). Вы едва ли слышали про Nordea, но пользователи из Северной Европы хорошо ее знают. Вот почему именно их IP адреса были в .htaccess.
 
nordea3.png
 
Так к чему мы все это
Этот конкретный случай, естественно, не был сколько-нибудь экстравагантным и изощренным. Код не обфусцирован. Мы достаточно просто нашли его и удалили. Все, что мы хотели здесь сказать, это то, что если вам кажется, что ваш сайт заражен, то скорее всего так и есть.

 

 

Эта статья взята с сайта virusdie.ru

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Гость
Вы комментируете как гость. Если у вас есть аккаунт, пожалуйста, войдите
Ответить в этой теме...

×   Вы вставили контент с форматированием.   Удалить форматирование

  Разрешено использовать не более 75 смайлов.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.


  • Похожий контент

    • От empty
      Добрый день.
       
      Перенес сайт на хостинг клиента, хостинг Hetcer, сайт https://confento.com, шаблон стандартный, и через некоторое время он оказался зараженным.
      Через ai-bolit прогнал, удалил все зараженные файлы, скрипты, заново рекурсивно в ISP панели выставил 755 на папки и 644 на файлы.
      Починил.
      Проходит дня 3-4 - ситуация повторилась вновь.
      .htaccess права с 644 сменил на 444, куча индексных файлов, index.html.bak.bak, в index.php ссылка на хедер вордпресса (оО), в айболите 8 заражений, куча каких то левых .php файлов.
      Все удалил, полазил по папкам, нашел кучу файлов левых, тоже удалил, снова права поправил.
      Но чувствую что в какой то момент снова может оказаться такая беда.
      Вот установленные дополнения - http://joxi.ru/4AkQEbOIydqozm - может кто в курсе, что с какого-то из них лезет вирусня.
       
      Подскажите пожалуйста, каким образом можно выявить, где уязвимость? Как узнать откуда лезет весь этот мусор?
      Так же - как можно защитить сайт от вирусных атак?
       
      Спасибо!
    • От Kapitoxaxa
      Ребята подскажите пожалуйста как это победить. Присутствует такая табличка только когда захожу на сайт через оперу.

    • От wolfxxx
      Ребята привет, подскажите плииз,
      В общем на хостинге стояла 3 сайта, на 2-их был установлен шаблон с вирусом.
      в итоге их стер.
      Начал проверять 3-ий и выскочила вот такая фигня, кто разбирается подскажите плиииз есть вирус или нет.
       
      Путь Изменение содержимого Размер blABLA/public_html/catalog/model/tool/image.php [x] 1…$height){$image=new Image(DIR_IMAGE.$image_old);$image->resize($width,$height);$image->save(DIR_IMAGE.$image_new);}else{ copy(DIR_IMAGE.$image_old,DIR_IMAGE.$image_new);}}$imagepath_parts=explode('/',$image_new);$new_image=implode('/',array 05/04/2018 20:48:23 1.77 Kb /blABLA/public_html/admin/model/tool/image.php [x] 1…$height){$image=new Image(DIR_IMAGE.$image_old);$image->resize($width,$height);$image->save(DIR_IMAGE.$image_new);}else{ copy(DIR_IMAGE.$image_old,DIR_IMAGE.$image_new);}}$imagepath_parts=explode('/',$image_new);$new_image=implode('/',array 05/04/2018 20:48:19 1.73 Kb blABLA.ru/public_html/catalog/controller/extension/payment/qiwi_rest.php [x] 1…);curl_setopt($ch,CURLOPT_USERPWD,$this->config->get('qiwi_rest_id').":".$this->config->get('qiwi_rest_password'));curl_ setopt($ch,CURLOPT_POSTFIELDS,http_build_query($data));curl_setopt($ch,CURLOPT_RETURNTRANSFER,true);curl_setopt($ch,CUR  

    • От alldell
      Добрый вечер! Кто сталкивался помогите) Взломали сайты, пока заметил на двух оба на opencart, всего Пять на хостинге. Три на opencart два на wordpress. Недавно установил новый сайт
      на OcStore скачивал с форума, шаблон с оф сайта разработчика TechStore. Суть проблемы, когда заходишь на сайт с телефона вылезает на новостной баннер и ведёт по ссылке на Риа новости) И эта зараза переодически пропадает и появляется снова. Кто знает как это лечить? Может кто с этим сталкивался )
    • От kolek5520
      Добрый день всем.
      Гонял сайт через  сервис http://www.webpagetest.org
       
      и заметил, среди запросов, странные ведущие на ALIEXPRESS  И com-sale.ru
      https://yadi.sk/i/Nhiz-49D3QpYV5
       
  • Последние посетители   0 пользователей онлайн

    Ни одного зарегистрированного пользователя не просматривает данную страницу

×

Важная информация

На нашем сайте используются файлы cookie и происходит обработка некоторых персональных данных пользователей, чтобы улучшить пользовательский интерфейс. Чтобы узнать для чего и какие персональные данные мы обрабатываем перейдите по ссылке. Если Вы нажмете «Я даю согласие», это означает, что Вы понимаете и принимаете все условия, указанные в этом Уведомлении о Конфиденциальности.