Занимательная вирусология

А вот Вы в курсе, уважаемые читатели, что некоторое кол-во сайтов в закарпатском интернете вот уже больше месяца заражено новым типом вируса? Обо всем по порядку. Сначала клиенты одного из моих хостингов стали жаловаться, что когда они заходят на определенный закарпатский сайт, их компьютер «как-то странно потом работать начинает». Я посмотрел код и обнаружил странные строчки в конце всех index.html файлов сайта. Код содержал конструкцию вида: <script>eval(unescape(«ххххх»)); </script>, где вместо ххххх были шестнадцатиричные коды. Сначала я не придал внимания этому факту, но когда однажды утром я обнаружил, что мой компьютер «тоже как-то странно стал работать», я забил тревогу. Стал разбираться. Обнаружил что на других сайтах хостинга тоже есть аналогичный код в конце. Все сайты принадлежали одному клиенту, но были разной направленности. После не долгих разбирательств я выяснил, что сайты заражены новой модификацией Trojan-Clicker.HTML.IFrame… и мало того, ни AVP, ни Dr.Web, ни NOD32 эту модификацию не знают… и спокойно разрешили вредоносному скрипту… «подтянуть» в систему более 30 модификаций своих же собратьев разной направленности. Первый ожил AVP. Это после того, как парочка неизвестных вирей и руткитов уже укоренилась в системе и стала действовать. Ожил, когда скрипт «подтягивал» очередного вредителя, не известного AVP. А потом как посыпалось… Система трещала, винт не останавливался. В итоге виндовз здох и я потратил пол рабочего дня времени не вставая с рабочего кресла, чтобы руками вычистить всю заразу, позаменять испорченные файлы, почистить кеши, и произвести прочие шаманства. Благо базис работы с вирусами остался в памяти. Когда система была почищена, я отправил все детальные отчеты в Лабораторию Касперского. От них, кстати, вот уже пару дней нет никаких известий, и AVP до сих пор вирус не обнаруживает. Обратился в дата-центр, так же подробно все описав. Там сделали проверку всех систем и сообщили список аккаунтов, которые заражены. Все аккаунты принадлежали одному и тому же ужгородскому клиенту. High level tech support подтвердил, что это local issue этих аккаунтов и сервер в порядке. Стали разбираться. Подключился владелец этих закарпатских сайтов. Благо, человек со знаниями сисадмина. Через сутки выяснили механизм. Его система была заражена вирусом, который не только перехватывал весь ввод паролей и логинов в формах, так еще и умел дешифровать парольные базы Total Commandera, к примеру. Пароли пересылались куда-то в сеть и оттуда по протоколу FTP моментально происходило заражение index.html файлов сайтов, чьи учетные записи были сохранены в Total Commander’е. Теперь клиент меняет все пароли и чистит руками систему, AVP и дальше молчит и «позволяет», NOD32 в очередной показал себя как недостойный быть проинсталленым в моем компьютере, а я поимел второй вирусный инцидент за последние 10 лет в своей системе (первый устроили друзья).

Уверен, вирус и его модификации поразили достаточное кол-во сайтов в том же закарпатском интернете. Так что будьте осторожны, друзья-читатели.