Бесплатно раздаваемый зловред Symchanger оказался забэкдоренным

Бесплатно раздаваемый зловред Symchanger оказался забэкдоренным

Бесплатно раздаваемый зловред Symchanger оказался забэкдоренным

Создатель Symchanger, нового PHP-инструмента для массового взлома сайтов, отдает его в пользование на безвозмездной основе. Как оказалось, это не совсем благотворительная акция: вирусописатель добавил в свой скрипт бэкдор, чтобы пожинать плоды его работы без особых трудозатрат.

Анализ вредоносного кода, проведенный в Sucuri, показал, что автор Symchanger не утруждал себя написанием кода с нуля. Он попросту позаимствовал скрипт, уже используемый рядом вредоносных программ, и присовокупил функциональность бэкдора. Новый зловред активно продвигается в профильной группе на Facebook вместе со ссылкой на видеоинструкцию по использованию.

Код Symchanger защищен несколькими слоями обфускации, поэтому пользователю будет трудно обнаружить бэкдор. Массовая компрометация сайтов, размещенных под одним и тем же хостинг-аккаунтом, осуществляется с помощью символьных ссылок (симлинков).

На взломанный сайт зловред устанавливается как файл symchanger.php. Остальные сайты того же пользователя он отыскивает по именам конфигурационных файлов — WordPress, Joomla, Drupal, WHMCS. Обнаружив совпадение с заданным списком, Symchanger генерирует симлинк для текстового файла (формат .txt в данном случае используется, чтобы файл можно было загрузить как PHP).

При наличии доступа к файлу /passwd (на некоторых хостах он ограничен) вредоносный скрипт читает его содержимое для определения пользовательской аудитории веб-сервера. Затем он выполняет перебор массивов по методу foreach, чтобы заполучить регистрационные данные всех пользователей. Создав симлинки для ассоциированных файлов конфигурации, зловред считывает информацию об установке SQL-соединения и подключается к базе данных, чтобы внести новую учетную запись администратора во все индивидуальные базы, до которых он сможет дотянуться.

Свой успех Symchanger показывает оператору в виде URL страницы регистрации сайтов, для которых был создан новый аккаунт администратора.

Добавленную функциональность бэкдора зловредный скрипт реализует, незаметно используя взломанный сервер для отправки email-сообщений на множество адресов. При этом он применяет пять разных шаблонов для передачи конфиденциальных данных — таких как URL активированного файла symchanger.php, список директорий, краденые учетные данные и т. п.

Эта информация обеспечивает получателям писем несанкционированный доступ к сайтам, скомпрометированным Symchanger. В итоге им не нужно самим взламывать серверы и устанавливать скрипт для сбора данных — достаточно просто дождаться сообщения, которое все это преподнесет им на блюдечке.

Brave начал скрывать видеокарту от любопытных сайтов

В Brave 1.93 появилась защита от отслеживания пользователей по характеристикам графического оборудования. Браузер теперь маскирует подробные сведения, которые сайты получают через WebGL и WebGPU. Функция включена по умолчанию на компьютерах и Android, а обновление будет распространяться постепенно в течение нескольких дней.

WebGL и WebGPU нужны для ускоренной графики, игр и интерактивных элементов.

Однако вместе с полезными возможностями они раскрывают модель видеокарты, сведения о драйверах и поддерживаемых функциях. Трекеры объединяют эти данные с другими параметрами и получают устойчивый цифровой отпечаток браузера.

Графический адаптер особенно удобен для слежки: пользователи меняют его заметно реже, чем IP-адрес или файлы cookie. Видеокарта может годами работать внутри компьютера и всё это время исправно представлять хозяина каждому любопытному сайту.

Теперь Brave заменяет строки производителя и визуализатора WebGL одним универсальным значением, скрывает данные адаптера WebGPU и случайным образом меняет списки расширений WebGL. Это должно сделать отпечатки менее точными и не позволить сайтам уверенно связывать разные сеансы с одним устройством.

Перед массовым запуском разработчики проверили механизм в Nightly- и бета-версиях браузера. Компания старалась сохранить работу сайтов, урезав только объём информации, доступной системам слежения.

Если новый режим всё же сломает графику или интерактивные функции, его можно отключить для конкретного сайта. Пользователям также разрешено полностью выключить защиту от цифровых отпечатков или систему Shields.

В дальнейшем Brave собирается рандомизировать и список поддерживаемых расширений WebGPU. Проверить, сколько информации раскрывает браузер, можно с помощью сервиса EFF Cover Your Tracks.

RSS: Новости на портале Anti-Malware.ru