Websense предупреждает о массовом заражении вебсайтов

Websense предупреждает о массовом заражении вебсайтов

Специалисты из Websense предупреждают о массовом заражении вебсайтов новым вредоносным кодом. К прошлой пятнице количество таких сайтов достигло 30 000.



При открытии зараженного сайта JavaScript-код незаметно перенаправляет пользователя на сервер, который анализирует программное обеспечение его компьютера. В зависимости от результатов анализа производится попытка использовать одну или несколько из десятка различных уязвимостей и установить фальшивый антивирус.

Если же на компьютер пользователя установлены "заплатки", закрывающие эти уязвимости, то используется другой план заражения. Всплывающее окно пугает пользователя сообщением о том, что его компьютер заражен, и предлагает установить "антивирус" самостоятельно.

Предполагается, что на сайты этот вредоносный код проникает за счёт использования какой-то известной уязвимости с помощью SQL-инъекцией. При этом встраиваемый скрипт маскируется под код Google Analytics, что затрудняет его обнаружение. Сам лже-антивирус является полиморфом, что также мешает его определению (по данным Virustotal от 29 апреля, этот вредонос вычисляли только 4 из 39 антивирусных программ).

Также отмечается, что JavaScript активно использует цифровые коды вместо символов. Подобной техникой воспользовались и авторы недавних JavaScript-троянов Gumblar/Martuz, которые, по прикидкам Websense, захватили в короткий срок около 60 000 сайтов.

Однако, специалисты считают, что несмотря на некоторую схожесть, новый вредонос не имеет отношения к Gumblar. Напротив, не исключена возможность, что он каким-то образом связан с русским хостингом RBN. На такую гипотезу сотрудников Websense натолкнуло использование той же тактики, которой придерживались в RBN: JavaScript, если его раскодировать, указывает на веб-адреса, очень похожие на легитимные домены Google Analytics.

Источник

Под видом новой Kingston DDR5 покупателю продали перепаянную DDR4

Пользователь соцсети X под ником watagjt столкнулся с необычной подделкой оперативной памяти. Купленный им якобы новый модуль Kingston Fury Beast DDR5-5600 объёмом 32 ГБ внешне не вызывал подозрений, но работать отказался. После снятия радиатора выяснилось: на плату DDR5 установили микросхемы DDR4.

Упаковка выглядела нераспечатанной, радиатор, наклейка и маркировка — стандартно.

Модуль выдавал себя за Kingston KF556C40BB-32 с частотой 5600 МГц и таймингами CL40.


Под радиатором обнаружились следы флюса и пустые контактные площадки, указывающие на перепайку. При этом на самих микросхемах красовалась маркировка Micron 2UG45 D8DDZ. Код D8DDZ действительно относится к чипам DDR5-5600, поэтому по одной надписи подвох заметить было практически невозможно.


Подделку выдала физическая конструкция. Некоторые микросхемы Micron DDR4 выпускаются в корпусах размером 9 × 11 мм — таких же, как DDR5. Однако их BGA-разводка различается: у DDR4 предусмотрено 78 контактов, а у DDR5 — 82. Чипы удалось припаять к плате, но часть площадок осталась незадействованной, поэтому модуль оказался электрически несовместимым и не мог запуститься.

Пока радиатор находился на месте, увидеть следы переделки и лишние контакты было невозможно. Владелец посоветовал осторожнее относиться к подозрительно дешёвой памяти, даже если продавец клянётся, что упаковку никто не вскрывал.

RSS: Новости на портале Anti-Malware.ru