Перейти к содержанию
Deja_Vu

Через сайт компании AvSoft распространялся вирус

Recommended Posts

Deja_Vu

Через сайт антивирусной компании распространялся вирус

Автор: Владимир Парамонов

Опубликовано 08 февраля 2008 года

Неизвестные злоумышленники смогли модифицировать один из разделов корпоративного веб-сайта антивирусной компании AvSoft Technologies таким образом, что при его посещении на компьютеры пользователей загружалось вредоносное программное обеспечение.

Как сообщает InfoWorld со ссылкой на заявления Роджера Томпсона, исследователя компании AVG, вредоносный код был внедрен в страницу загрузок сайта AvSoft. При попытке посещения этого раздела в браузере пользователя открывалось невидимое окно, перенаправлявшее посетителя на другой сервер. Этот сервер, в свою очередь, атаковал машину потенциальной жертвы.

По словам Томпсона, после несанкционированного проникновения на компьютеры пользователей Сети злоумышленники внедряли на ПК вирус Virut. Эта вредоносная программа после попадания на машину инфицирует все исполняемые файлы на локальных дисках и затем пытается поразить сетевые накопители. Кроме того, в состав Virut включены функции управления инфицированными компьютерами. К счастью, при распространении программы Virut киберпреступники использовали эксплойты только для хорошо известных дыр, патчи для которых уже выпущены. Это, как отмечают специалисты, несколько уменьшало вероятность успешного взлома атакуемой машины.

Вместе с тем, пока не совсем ясно, каким образом злоумышленники смогли взломать сайт AvSoft Technologies. Эксперты McAfee высказывают предположения, что, вероятнее всего, киберпреступникам удалось выявить ошибку в коде РНР. Комментарии от представителей AvSoft Technologies по поводу инцидента пока не поступали.

============

Robert McMillan

Thu Feb 7, 7:12 PM ET

San Francisco - The Web site for Indian antivirus vendor AvSoft Technologies has been hacked and is being used to install malicious software on visitors' computers, security researchers said Thursday. ADVERTISEMENT

The download section of AvSoft's S-cop Web site hosts the malicious code, according to Roger Thompson, chief research officer with security vendor AVG. "They let one of their pages get hit by an iFrame injection," he said. "It shows that anyone can be a victim.... It's hard to protect Web servers properly."

The technique used on the site has been seen in thousands of similar hacks over the past few months. The attackers open an invisible iFrame Window within the victim's browser, which redirects the client to another server. That server, in turn, launches attack code that attempts to install malicious software on the victim's computer.

The malicious software is a variant of the Virut virus family.

The iFrame pages are commonly used by Web developers to insert content into their Web pages, but because it is possible to create an invisible iFrame window, the technology is often misused by hackers as a way to silently redirect victims to malicious Web sites.

AvSoft, based in New Delhi, sells an antivirus product called SmartCOP and has sold a second antivirus product called Smartdog. The company, which is not well-known in the U.S., also specializes in recovering data lost due to virus attacks. The company could not be reached for comment Thursday afternoon.

That data recovery service could come in handy for some, as Virut is known as a "parasitic infector" virus that is extremely difficult to remove. "It infects all of your programs on your local hard drives, and then it starts hitting your network drives as well the first time you run," Thompson said.

Fortunately, the malware used to install Virut exploits only well-known bugs, meaning that users who are running antivirus software on fully patched systems will probably not be infected by the attack in its current state, security experts say.

Nobody knows how the malware got onto the Web site in the first place. News of the hack was reported on the Full Disclosure security discussion list on Thursday.

McAfee Security Research Manager Dave Marcus believes that the site was compromised by exploiting a Web programming error, most likely in the site's SQL or PHP code. Security experts say that criminals have written automated programs that scour the Web for these types of flaws and then automatically infect sites, making this an increasingly common problem.

http://news.yahoo.com/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

млин ну скока можно

мужик из AVG лишь прокоментировал новость о наличие зловреда на сайте конкурента

один придурок с синьюса криво перевел - все остальные перепечатали

AVG Technologies CZ бывший Grisoft это чешская компания

AvSoft Technologies со злополучным http://www.s-cop.com/ это индийское поделье

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

а вот не надо комментировать всякую чушь

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Deja_Vu

Хм, спасибо за разъяснения. А я то думаю, почему тут об этом молчек.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко

Отредактировал заголовок темы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

А может вообще ее удалить? Т.к. уже имеется аналогичная.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Deja_Vu
А может вообще ее удалить? Т.к. уже имеется аналогичная.

там вроде вообще о программе говорили ... и потом как то на эту новость выскочили(вот почему поиск в этой ветке мне ничего по этой новости не дал)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      а вот это странно, надо будет почитать может еще что-то отключать надо
    • SQx
      В моем случае я кажется нашел этот - DhcpDomain папаметр: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{64846981-4885-4d8b-af0b-1097a90e00f6} EnableDHCP REG_DWORD 0x1 Domain REG_SZ NameServer REG_SZ DhcpServer REG_SZ 192.168.2.1 Lease REG_DWORD 0x3f480 LeaseObtainedTime REG_DWORD 0x6145e5fe T1 REG_DWORD 0x6147e03e T2 REG_DWORD 0x61495bee LeaseTerminatesTime REG_DWORD 0x6149da7e AddressType REG_DWORD 0x0 IsServerNapAware REG_DWORD 0x0 DhcpConnForceBroadcastFlag REG_DWORD 0x0 DhcpNetworkHint REG_SZ 8616070797 RegistrationEnabled REG_DWORD 0x1 RegisterAdapterName REG_DWORD 0x0 IPAddress REG_MULTI_SZ SubnetMask REG_MULTI_SZ DefaultGateway REG_MULTI_SZ DefaultGatewayMetric REG_MULTI_SZ DhcpIPAddress REG_SZ 192.168.2.103 DhcpSubnetMask REG_SZ 255.255.255.0 DhcpDomain REG_SZ home DhcpNameServer REG_SZ 192.168.2.1 DhcpDefaultGateway REG_MULTI_SZ 192.168.2.1 DhcpSubnetMaskOpt REG_MULTI_SZ 255.255.255.0 DhcpInterfaceOptions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hcpGatewayHardware REG_BINARY C0A8020106000000B8D94D42ED7E DhcpGatewayHardwareCount REG_DWORD 0x1 также я могу его пинговать. >ping -a home Pinging home.home [192.168.2.1] with 32 bytes of data: Reply from 192.168.2.1: bytes=32 time=1ms TTL=64 Reply from 192.168.2.1: bytes=32 time=1ms TTL=64  
    • SQx
      Мне ЛК, также написали:
        Но пользователь сказал, что не было галочки на "Автоматически определять настройки".
    • PR55.RP55
      Например есть  пакет с драйверами ( сотни... тысячи драйверов ) Предполагается использовать этот пакет для обновления системных драйверов, или WIM Часть драйверов подписана, часть нет... Хотелось бы, чтобы uVS  ( по команде в меню: Файл ) - создала из этих драйверов пакет установки\обновления. Копию только из подписанных ( прошедших проверку ( и проверенных по SHA ) драйверов. Копию по типу программы: " Double Driver" http://soft.oszone.net/program/5936/Double_Driver/ + Возможность создать копию системных драйверов, системы - но, опять таки... копировать только подписанные драйвера и те, что есть в базе SHA.  
    • demkd
      гляну, но это дыра с wpad все равно закрывается лишь отключением автонастройки прокси в браузере, больше никак.
×