WEB VIRUSES - НАЧИНИ НА ПРЕДПАЗВАНЕ
Спамването в IRC, както и mass invite, разпространяване на вируси не е от вчера. Със всеки изминал ден обаче спамерите* стават все по-изобретателни. Хит на последък е рекламирането на сайтове из IRC, за които се твърди, че съдържат безплатни порно снимки, кракове, хакерски програми и т.н. Трянва обаче да се отбележи, че при посещаването на един такъв сайт се стартира скрипт (най-често vbs), който прави промени по вашия IRC Script (mIRC ако трябва да бъда по-точен), и след като се заразите - започвате и Вие да спамвате/инвайтвате, без дори да знаете че го правите. А друг е въпроса, че чрез тези скриптове могат да ви откраднат паролите - за Internet Account, за NS, CS и т.н., както и да ! използват компютъра Ви за флудене на друг потребител/канал и т.н. Започнах да се боря с тези вируси някъде преди месец - тогава написах първия Removalр беше за вируса, разпространяван от сайта petq-nikolaeva.net. Няколко дни след това се появи още един, доста по-опасен сайт - PORN.BG-Server.Com. И тъй заразените потребители от първият сайт вече почти изчезнаха (може би благодарение на моята програмка :о), ще обърна по-голяма внимание на втория - PORN.BG-Server.Com. Когато потребителя посети въпросния сайт, се заразява mIRC скрипта. При установяване на връзка към който и да е IRC Server, съответния потребител започва да спамва - прави се random спам - ту за сайт, на който се предлагат шелове, ту за PORN.BG-Server.Com. По-лопото е, че всеки потребител, заразен с вируса има свой "клон" в сървър irc.bg-server.com. От там създателя на вируса краде пароли и т.н. Никовете, които се присвояват на всеки заразен потребител са генерирани с функцията random, както и са с дължина до 7 /! седем/ символа. Влизайки на въпросния IRC сървър - irc.bg-server.com:6465 IP адреса/хоста на заразения потребител бива spoof-нат, и не може да се установи точо кой е той :). Аз влязох на този сървър, и започнах да наблюдавам действията на "хакера" там. Само че не видях много - дадох му whois (и аз не знам защо), след което последва kline (за мен естествено)... с няколко думи, ето как деиства този вирус, т.е. командите му:
n26= if ( $remove($gettok(%in.bot,4,32),:) == !stat ) - стартира троянеца
(!start)
n27= if ( $remove($gettok(%in.bot,4,32),:) == !pwd ) - крааде .pwl файловете Ви.
(!pwd)
n30= if ( $remove($gettok(%in.bot,4,32),:) == !nspass ) - показва паролата Ви за NS
( !nspass )
и така нататък.........
Как да се предпазим от тези вируси?
Първо, и най - важно, което съм го казвал стотици пъти, ама няма кой да ме чуе - НИКОГА не трябва да се посещават сайтова, рекламирани в IRC. Посещавайте само ако пзнавате човека, който ви казва адреса.
Второто: /mode yournick +S - така няма да Ви досаждат гадните инвитери/спамери/абусери..... няма да можете да получавате messages/notices/ctcp от нерегистрирани в NS nicknames. Доста полезна опция, когато не съм на лов за инвитери, я ползвам.
Ако вече сте заразени?
Можете да познаете, че сте заразени, ако например получите бан в даден канал с reason (spamer, inviter i etc.), ако разбира се не го правите съзнателно :)
В такъв случай, вместо да се карате с този, който ви е сложил бан - проверете си компютъра (по-точно mIRC Script-a) за подозрителни неща.
Проверете съдържанието на всички .ini, .txt, .mrc файлове в скрипта си. Ако откриете нещо от вида на:
n0=on 1:join:#:{ if ($nick == $me) { .disable #msg | .timer 1 20 .enable #msg } | chkip1 }
то със сигурност сте заразени!
Най-лесния начин за изчистване на вируса - триете стария mIRC, и го инсталирате отново.
Ако искате да имате realtime antivirus monitoring програма, а и ако ми имате доверие, можете да използвате една моя програма - Mitak Antivirus. Тя е напълно безплатна, както и без реклами по нея, така че не можете да ме обвинявате в спам :)
Можете да си я свалите от сайта ми:
http://www.unix-bg.org/antivirus
както и да изтеглите малък patch:
http://www.unix-bg.org/update/update.exe
Тази програма разпознава и премахва изброените вируси, и някои други още щом посетите заразения сайт.
Кой пуска тези вируси?
Според мен - това са абсолютни комплексари!
Последния, на чийто сървър беше хостнат въпросният сайт (PORN.BG-Server.Com), получи gline от minix, а след това сървъра му беше хакнат(root-nat)... и естествено,
rm -rf /*
Е от мен толкова, за сега... че май се поувлякох, и бая локуми разтегнах :)
До нови срещи.
2002-08-01
фотография Kaladan | email | www
