В пятницу "Лаборатория Касперского" предупредила интернет-пользователей, что хакеры предприняли успешную попытку массового заражения веб-сервисов, в результате которой на 10 000 серверов были размещены опасные ссылки, без согласия пользователей перенаправляющие их на сервер с вредоносным ПО, расположенный по адресу vvexe.com и находящийся в Китае. Данный сайт загружает на машины жертв опасные программы. Упоминание об этом ресурсе также можно найти на сайтах Norton Safe Web и StopBadWare.org.
Впрочем, если у тебя установлены все необходимые патчи и самые свежие версии антивирусных баз, от перехода на этот сайт, ты, возможно, уже застрахован. Тем не менее пока непонятно, каким образом удалось взломать все эти сайты, и почему "Лаборатории Касперского" не удалось обнаружить эту проблему сразу же. Ранее в этом году подобная атака уже затронула около 1,5 миллионов серверов, так что последний случай выглядит достаточно скромно, однако в Kaspersky Labs предостерегают, что атака только началась.
При проведении атаки в html-код взломанного сервера добавляется ссылка, которая запускает Java Script, расположенный на одном из шести серверов. Эти серверы используются в качестве шлюзов для дальнейшего перенаправления запросов. Вот их адреса:
armsart.com
acglgoa.com
idea21.org
yrwap.cn
s4d.in
dbios.org
Далее запросы несанкционированно перенаправляются на сайт vvexe.com, расположенный в Китае и содержащий целый набор эксплоитов, которые атакуют компьютер. Если твоя машина окажется уязвимой хотя бы к одному из них, на нее установится Trojan-Downloader.Win32.Hah.a.
Этот троян загрузит другие программы, находящиеся на сайте. На данный момент таких программ обнаружено три:
Trojan-GameThief.Win32.WOW.cer – троян, крадущий данные о лицевых счетах в игре World of Warcraft
Trojan-Spy.Win32.Pophot.gen – еще один шпион, ворующий данные, и удаляющий все антивирусы
Trojan.Win32.Agent.alzv – этот троян загружает еще три трояна: Trojan-PSW.Win32.Delf.ctw, Trojan-PSW.Win32.Delf.ctx и Trojan-PSW.Win32.Delf.cty.
Как уже сказано выше, способ заражения сайтов пока неизвестен, однако можно предположить, что это либо SQL-инъекция, либо использование ранее украденных лицевых счетов с этих сайтов. Также стоит отметить, что большинство зараженных ресурсов использовали похожие версии движков ASP.
