Вирус fat-obfuscated что это
Вылечим любой сайт от вирусов за 2500 рублей.
Привет, друзья. Раз себя уж мы прорекламировали, можно переходить к основной теме статьи, это самостоятельное лечения сайта от вирусов. Вирусов бывает много, но в рамках этой статьи мы поговорим о трех распространенных видах: Obfuscated.Globals, Trojan.Inject и вредоносные JavaScript инъекции (его часто помечают как “подозрительный JavaScript код”).
Чтобы самостоятельно вылечить сайт от вирусов потребуется владение базовыми навыками веб-разработки, а именно:
● Умение ориентироваться в файлах сайта;
● Хорошо владеть основами управления хостингом;
● Быть уверенным пользователем SSH;
● На базовом уровне владеть PHP*;
● На базовом уровне владеть JavaScript*.
*Когда мы говорим “на базовом”, то имеем в виду, что Вы сможете отличить PHP код от JavaScript, знаете, что такое переменные, функции, условия и понимаете с каких строк начинается тот или иной язык.
P.S: Иногда файлы бывают конкретно так повреждены, что приходится переписывать весь файл на том или ином языке программирования (чаще всего это PHP).
Как вылечить сайт от вирусов
Итак, приступим. Сначала нужно определить какой же из трех видов вируса подхватил Ваш сайт: Obfuscated.Globals, Trojan.Inject или вредоносный JavaScript код. С этим пунктом Вам поможет лишь антивирус.
Чаще всего самый легкий вариант для лечения. Обычно легко внедряется в виде подгружаемого из вне скрипта во всякие CMS, где есть кеш — Битрикс, Webasyst. Выглядеть может так:
Естественно, это не код от Google Analytics, хотя неопытного пользователя это может ввести в заблуждение. Обычно вирусы просто маскируют таким образом. Всегда можно вырезать код из тега class="lazyload" data-src=”” и кинуть ссылку в Google.
Если, по какой-то причине Вы не знаете точного нахождения файла, то воспользуйтесь поиском через SSH. Обычно такое происходит, когда вирус показывает сторонний сервис-антивирус с какого-нибудь сайта.
Команда grep -rn “искомый текст” отлично подойдет. Если будете указывать ссылку на скрипт с HTML атрибутами, не забывайте про экранирование кавычек. Также, с помощью того же терминала можно запустить проверку всех файлов и показать какие из них были добавлены или изменены за месяц. Например, find -type f -mtime -30 ! -mtime -1.
За подробными описаниями этих команд просим проследовать в Google. Ибо если сейчас это тут объяснять может уйти еще килотонна букв (когда-нибудь мы напишем свою статью про работу с терминалом).
Чтобы избавиться от этой заразы, достаточно просто удалить эту нехорошую строчку и снова запустить антивирусную проверку.
Важно: иногда антивирусы принимают за “вредоносный JavaScript код” вполне нормальные скрипты, например, код от JivoSite или Callibri. Хотя антивирусы внутри хостинга reg.ru, nic, netangels почти не допускают таких ошибок.
В нашей практике чаще всего это обычный web shell. Это такой злой скрипт (а иногда веб-приложение), который используют для управления чужими сайтами и серверами: выполнения SSH команд, перебор паролей, доступ к файловой системе и т.д.
Если антивирус показал только строчки кода или название файла, можно воспользоваться терминалом и командами grep -rn (искать строчки кода с нужными словами) или find -name (искать файл по имени).
Здесь есть два стула…
Первый, это если злой файл оказался пришельцем. Вы хорошо знаете структуру своего сайта, поняли это, когда внимательно изучили сам файл (без этого никуда) или проверили через SSH появление/обновление файлов. Тогда просто его удаляйте.
Кстати, для того, чтобы нормально прочитать злой код, хорошо подойдет декодер PHP. Не факт, что Вы все сразу поймете, придется сильно напрячь мозги.
Второй, если инъекции подверглись важные файлы системы. Тут либо бэкап, либо страдать. Если бэкап не помогает, и мы выбираем страдания, то внимательно читаем сам код вируса (или файла), хотите Вы этого или нет. Ибо простое удаление повредит работоспособность Вашего сайта.
Опытный пользователь поймет, что это лишь искусственно воссозданный пример. Конечно, что-то подобное можно увидеть и в реальной жизни.
Если Вы нашли зашифрованную инъекцию, просто удалите ее начиная с .
Обфускация — процесс превращения очевидного в неочевидное.
Почти любой вирус проходит через обфускацию, поэтому, когда антивирус не уверен в содержимом файла, то он дает ему обозначение Obfuscated.Globals.
Через обфускацию проходит Doubt.Obfuscated.Globals, иногда Doubt.PHP.Spaces (более гениальное решение, стоит проскролить нормальный код направо и за кучей пробелов находишь “подвох”.) и даже Eval.gz.b64.short, хотя это закодированный base64, но автору статьи все равно. Ибо на первый взгляд это какие-то каракули.
Важно: иногда это может быть не вирус. В нашей практике программист шифровал важные куски кода для одного веб-приложения, и впоследствии антивирус указывал на наш код. Так что, если Вы когда-то шифровали файл сами — не пугайтесь.
Все такие же способы как с Trojan.Inject. Если известен только кусок кода или имя файла, включаем SSH и начинаем: grep -rn или find -name. Можно через терминал сравнивать все измененные файлы.
Здесь только два пути.
Первый. Делаем бекап всего сайта или нужного файла до состояния, когда он был “нормальным”.
Второй. Если бэкапа нет или он не помог. Идем в “злой” файл и ищем вредоносный код, а далее, как на скриншоте выше, удаляем его начиная с . Если весь наш файл зашифрован, то добро пожаловать в ад. Читаем, декодируем, удаляем ненужное или просто переписываем весь файл.
Если Вы удалили вирус, то нет смысла радоваться. Он ведь как-то попал на сайт, поэтому включите голову и ищите дырку! Возможно, обычное обновление Вашей CMS сможет закрыть этот вопрос. Если имеете дело с самописным движком, то проверьте корневые файлы сайта. Может, в каком-нибудь router.php реализация маршрутизатора URL сделана на школьном уровне. Кто знает, кто знает, дыр может быть много.
Вылечим любой сайт от вирусов за 2500 рублей.
Что такое Obfuscated
Скачать утилиту для удаления Obfuscated
Удалить Obfuscated вручную
Получить проффесиональную тех поддержку
Читать комментарии
Описание угрозы
Имя исполняемого файла:
Obfuscated
(random file).exe
Ransomware
Win32 (Windows XP, Windows Vista, Windows Seven, Windows 8)
Obfuscated копирует свои файл(ы) на ваш жёсткий диск. Типичное имя файла (random file).exe. Потом он создаёт ключ автозагрузки в реестре с именем Obfuscated и значением (random file).exe. Вы также можете найти его в списке процессов с именем (random file).exe или Obfuscated.
Если у вас есть дополнительные вопросы касательно Obfuscated, пожалуйста, заполните эту форму и мы вскоре свяжемся с вами.
Скачать утилиту для удаления
Скачайте эту программу и удалите Obfuscated and (random file).exe (закачка начнется автоматически):
* SpyHunter был разработан американской компанией EnigmaSoftware и способен удалить удалить Obfuscated в автоматическом режиме. Программа тестировалась на Windows XP, Windows Vista, Windows 7 и Windows 8.
Функции
Удаляет все файлы, созданные Obfuscated.
Удаляет все записи реестра, созданные Obfuscated.
Программа способна защищать файлы и настройки от вредоносного кода.
Программа может исправить проблемы с браузером и защищает настройки браузера.
Удаление гарантированно - если не справился SpyHunter предоставляется бесплатная поддержка.
Антивирусная поддержка в режиме 24/7 входит в комплект поставки.
Скачайте утилиту для удаления Obfuscated от российской компании Security Stronghold
Если вы не уверены какие файлы удалять, используйте нашу программу Утилиту для удаления Obfuscated.. Утилита для удаления Obfuscated найдет и полностью удалит Obfuscated и все проблемы связанные с вирусом Obfuscated. Быстрая, легкая в использовании утилита для удаления Obfuscated защитит ваш компьютер от угрозы Obfuscated которая вредит вашему компьютеру и нарушает вашу частную жизнь. Утилита для удаления Obfuscated сканирует ваши жесткие диски и реестр и удаляет любое проявление Obfuscated. Обычное антивирусное ПО бессильно против вредоносных таких программ, как Obfuscated. Скачать эту упрощенное средство удаления специально разработанное для решения проблем с Obfuscated и (random file).exe (закачка начнется автоматически):
Функции
Удаляет все файлы, созданные Obfuscated.
Удаляет все записи реестра, созданные Obfuscated.
Программа может исправить проблемы с браузером.
Иммунизирует систему.
Удаление гарантированно - если Утилита не справилась предоставляется бесплатная поддержка.
Антивирусная поддержка в режиме 24/7 через систему GoToAssist входит в комплект поставки.
Оставьте подробное описание вашей проблемы с Obfuscated в разделе Техническая поддержка. Наша служба поддержки свяжется с вами и предоставит вам пошаговое решение проблемы с Obfuscated. Пожалуйста, опишите вашу проблему как можно точнее. Это поможет нам предоставит вам наиболее эффективный метод удаления Obfuscated.
Эта проблема может быть решена вручную, путём удаления ключей реестра и файлов связанных с Obfuscated, удалением его из списка автозагрузки и де-регистрацией всех связанных DLL файлов. Кроме того, отсутствующие DLL файлы должны быть восстановлены из дистрибутива ОС если они были повреждены Obfuscated.
Чтобы избавиться от Obfuscated, вам необходимо:
1. Завершить следующие процессы и удалить соответствующие файлы:
Предупреждение: вам необходимо удалить только файлы, контольные суммы которых, находятся в списке вредоносных. В вашей системе могут быть нужные файлы с такими же именами. Мы рекомендуем использовать Утилиту для удаления Obfuscated для безопасного решения проблемы.
2. Удалите следующие папки:
3. Удалите следующие ключи и\или значения ключей реестра:
Предупреждение: Если указаны значения ключей реестра, вы должны удалить только указанные значения и оставить сами ключи нетронутыми. Мы рекомендуем использовать Утилиту для удаления Obfuscated для безопасного решения проблемы.
Как предотвратить заражение рекламным ПО? Мы рекомендуем использовать Adguard:
4. Сбросить настройки браузеров
Obfuscated иногда может влиять на настройки вашего браузера, например подменять поиск и домашнюю страницу. Мы рекомендуем вам использовать бесплатную функцию "Сбросить настройки браузеров" в "Инструментах" в программе Spyhunter Remediation Tool для сброса настроек всех браузеров разом. Учтите, что перед этим вам надо удалить все файлы, папки и ключи реестра принадлежащие Obfuscated. Для сброса настроек браузеров вручную используйте данную инструкцию:
Если вы используете Windows XP, кликните Пуск, и Открыть. Введите следующее в поле Открыть без кавычек и нажмите Enter: "inetcpl.cpl".
Если вы используете Windows 7 или Windows Vista, кликните Пуск. Введите следующее в поле Искать без кавычек и нажмите Enter: "inetcpl.cpl".
Выберите вкладку Дополнительно
Выберите галочку Удалить личные настройки для удаления истории, восстановления поиска и домашней страницы.
Предупреждение: В случае если это не сработает используйте бесплатную опцию Сбросить настройки браузеров в Инструменты в программе Spyhunter Remediation Tool.
Для Google Chrome
Найдите папку установки Google Chrome по адресу: C:\Users\"имя пользователя"\AppData\Local\Google\Chrome\Application\User Data.
В папке User Data, найдите файл Default и переименуйте его в DefaultBackup.
Запустите Google Chrome и будет создан новый файл Default.
Настройки Google Chrome сброшены
Предупреждение: В случае если это не сработает используйте бесплатную опцию Сбросить настройки браузеров в Инструменты в программе Spyhunter Remediation Tool.
Для Mozilla Firefox
В меню выберите Помощь > Информация для решения проблем.
Кликните кнопку Сбросить Firefox.
После того, как Firefox завершит, он покажет окно и создаст папку на рабочем столе. Нажмите Завершить.
Предупреждение: Так вы потеряте выши пароли! Рекомендуем использовать бесплатную опцию Сбросить настройки браузеров в Инструменты в программе Spyhunter Remediation Tool.
После поста о взломе моих сайтов и успешном их лечении мне написали пару вопросов о том, каким образом чистятся файлы, не удалились ли после лечения все файлы с сервера и не становится ли вообще хуже после использования сервиса Virusdie.
Удивительно, сегодня можно нагуглить сотни тысяч советов о том, как очистить от паразитов свой дырявый Windows, но не так много информации о том, как чистить именно блоги, лендинги и т.д. Решил поподробнее рассказать, какие типичные вирусы обычно хватают сайты, как их лечить и что для этого нужно.
Как вообще понять, что сайт заражен?
Зачем ломать мой сайт, у меня же нет миллионной посещаемости?
По статистике, одни из самых популярных систем управления — WordPress и Joomla, их версии обновляются почти каждый месяц, вносится исправления в код, улучшается безопасность. Старые же версии так и остаются с дырами, а багрепорты становятся известны любому интересующемуся. Поэтому ничто не мешает какому-нибудь молодому умному Мистеру Роботу прочекать сайты на сервере, найти не обновленные и использовать уязвимость в своих целях.
Как ты избавился от 280 вирусов? Ты использовал Virusdie для лечения сайтов?
В принципе, я пока знаю только два эффективных способа избавиться от вредоносного кода: пытаться копаться в нем самостоятельно, перелопачивать файлы, мониторить время изменения и размеры, либо пользоваться внешними сервисами для анализа. Один из таких редких сервисов — Virusdie.
Их решение сейчас встроено в некоторые виртуальные хостинги (в предыдущем посте упоминали рег.ру), в случае, если у вас собственный сервер, то удобно использовать модуль для ISPmanager.
После установки модуля переходим в раздел Virusdie в левой колонке. Иногда может потребоваться перезагрузка панели ISP или всего сервера, чтобы менюшка появилась.
Кликаем на самый свежий отчет (автоматически на вирусы сервер будет проверяться каждую ночь) и смотрим, какие файлы подверглись заражению и имя вируса.
Если кликнуть на угрозу, можно посмотреть на кусок зараженного кода. В случае с первой строчкой (.htaccess файл с угрозой Doubt.h.BotCheck) получаем такое сообщение:
Это вирус, записанный в htaccess, он берет посетителя с определенного источника или устройства (чаще всего мобильных пользователей) и редиректит на свою страницу. Для лечения его надо найти примерно такого вида код
И удалить его. К сожалению, Virusdie не всегда автоматически удаляет код из файлов, часто нужно самому залезть в них и вычистить вредоносные строки. Но самое главное уже сделано — дан полный адрес, куда копать и строки, на которые обратить внимание.
Описание угроз, которые я встретил
(прим. — в расшифровке угроз могу ошибаться, не профессионал, если что, ткните меня)
* Doubt.h.BotCheck — описанный выше вирус. Если вы сами не делали клоаку на своем сайте, то значит кто-то редиректит ваш трафик к себе.
* Obfuscated.Globals.5.3 — обфусцированный (закодированный) код. Чаще всего названия файлов странные, проверьте старые бэкапы, скорее всего, этих файлов раньше вообще здесь не было, их нужно удалить полностью.
* Doubt.PHP.Spaces — а вот это интересная штука — подозрительное количество пробелов. Я уже удалил код, поэтому придется объяснять на сделанном на коленке примере. Например, у нас есть файл index.php, в котором лежит вот такой простой код
И вроде бы все выглядит нормально, и даже я не понимал, почему ругается Virusdie, но стоит крутануть файл вправо, и за пробелами мы видим спрятанный код.
Я не знаю, как это называется у хакеров и специалистов по безопасности, но это гениально.
И самое важное: просто удалить вирус недостаточно, нужно понять, где лежит дырка, через которую все это просочилось. Теперь придется включить смекалочку, посмотреть свои скрипты, перепроверить права на файлы и воспользоваться советами ниже.
Как не попасть под удар и не словить вирусов?
Несколько советов, так сказать, для профилактики:
- Обновляйте версию WordPress до последней и устанавливайте расширения для защиты движка. Если интересно, о лучших плагинах расскажу в отдельной заметке, а то получится слишком объемно.
- По возможности, не держите десятки и сотни скриптов на одном сервере. Больше кода — больше риска его взлома. Забросили сайт, не следите за ним, не обновляете — лучше скопируйте его на локальный компьютер и избавьтесь от его файлов на сервере, это поможет лежащим в соседних папках актуальным сайтам не схватить заразу.
- На всякий случай, удалите Sypex Dumper. Говорят, что этот прекрасный скрипт, который не раз помогал мне перенести огромные базы данных без единой ошибки, является причиной взломов MySQL-баз. Не знаю, правда это или нет, но у себя на сервере я нашел 3 копии скрипта разных версий. Теперь стараюсь использовать его только при необходимости и сразу удалять.
- Вообще, немножко паранойи никогда не повредит. Если сомневаетесь, проконсультируйтесь со своих сисадмином, хостером или хотя бы гуглом.
На вашем винчестере похозяйничала злобная тварь Win95.CIH ? Да — этот зловред до сих пор бродит по свету, то и дело принимаясь за старое. BIOS цел, но испорчен FAT? Еще не все потеряно — бесценная информация поддается восстановлению!
Все не так уж плохо: вирус портит каждый восьмой сектор всех жестких дисков. А это значит, что в любом случае теряется Master Boot Record (главная загрузочная запись), так как она находится в самом начале диска: Cyl0, Side0, Sec1 — что на русском языке означает: "Цилиндр 0, Сторона 0, Сектор 1". Иногда (в зависимости от объема диска) может потеряться Boot Record, расположенная на Cyl0, Side1, Sec1. То есть частично разрушены обе FAT. Первая копия начинается с Cyl0, Side1, Sec33. А вторая копия идет следом за ней.
Также частично разрушены файлы, находящиеся в самом начале диска. Это служебные файлы операционной системы, интереса они не представляют, и то, что они не подлежат восстановлению, нас не должно огорчать.
Теперь нужно восстановить Master Boot Record, Partition Table, Boot Record и FAT. Это не так сложно и страшно, как звучит. Для восстановления нам понадобятся программы Diskedit и dub.exe ( можно взять на нашем компакте ), а также второй жесткий диск.
Процесс пошел
Так как всего существует две копии FAT, то
|
Теперь немного устного счета: из начального сектора второй копии вычитаем начальный сектор первой и получаем размер FAT-1 в секторах. Теперь, когда известны размеры обеих копий, можно перейти непосредственно к сохранению.
Перейдя на физический сектор (уже знакомая комбинация ALT+P), указываем адрес начала первой таблицы, а в поле "количество секторов" заносим вычисленный размер FAT-1. Далее нажимаем ALT+W\to a file . Указываем путь, куда сохранить файл и имя. Сохраняться FAT должен на второй винчестер, потому что ваш пока система не видит . Точно те же действия необходимо повторить для получения FAT-2.
Теперь предстоит самый нудный процесс ручной сборки FAT. Запускаем утилиту dub.exe с параметром . Можно проще — пишем dub.exe fat1 fat2 . Где fat1, fat2 — имена файлов-копий FAT.
Появляются два окна. В верхнем — первый файл, а в нижнем, соответственно, — второй. Отличающиеся байты маркированы желтым цветом. Так что если увидели желтые байты — жмите F6 . Это заменит сбойные участки. Продвигаемся по файлу стрелочками. Процесс долгий — запаситесь терпением. Добравшись до конца файла, жмем F10 , файл автоматически сохранится, и мы окажемся в первозданном DOS.
Теперь следует найти ROOT (корневой каталог). Для этого в Diskedit надо перейти на начало диска и пройти в Tools\FindObject\Subdirectory . Показанное и будет искомым ROOT’ом. Теперь его тоже нужно сохранить на диск файлом рядом с FAT’ом.
Финишная прямая
Теперь запускаем fdisk.exe . Надо создать основной раздел точно такого же размера, как раньше. Если этого не сделать — будут отличаться размеры FAT, и ROOT окажется в другом месте. Выходим из fdisk, перезагружаемся. Теперь форматируем диск: format /u /s . Это восстановит Master Boot Record, Partition Table и Boot Record.
Теперь, в качестве финального штриха, запускаем Diskedit, копируем на место первой и второй существующих FAT нашу исправленную версию. На место нового ROOT копируем старый, сохраненный. Перезагрузка.
All done!
Уф-ф. все получилось. Если нигде не было ошибок. Здесь, как у саперов, — достаточно одной неточности, и. Сапер от лопатки недалеко падает.
Будьте бдительны — не позволяйте всякой нечисти хозяйничать у вас на винчестере. Иначе придется пройти через то, что я описал.
"Лабораторией Касперского" (www.kaspersky.ru) меньше месяца назад был запущен новый сетевой проект — TOP 20 самых распространенных в Рунете вирусов (обновляется ежемесячно). Данные для сводки собираются не только по комментариям пользователей, но и по информации, предоставленной почтовыми службами и сайтами различной направленности. Так что выборка довольно большая, и на ее основе можно делать соответствующие выводы. По крайней мере, ознакомление со сводкой может локализовать поиск злобных вирей на вашей машине.
Если вы подозреваете, что на вашем компьютере поселился злобный "зверь", а полноценного антивирусного пакета под рукой нет, то, сверившись со сводкой, вы можете скачать из Сети несколько бесплатных утилит, призванных уничтожить конкретные вирусы (подобные программы выпускаются самыми различными компаниями и частными лицами). Сканируете свои винты на предмет наличия болезнетворных тварей — и спите спокойно.
Nimda шагает по Сети
Сбываются худшие предсказания экспертов, согласно которым червь Nimda войдет в историю Интернета как один из самых заразных вирусов. Казалось бы, сколько предупреждали, сколько объявлений на сайтах вешали. ничто не помогает. По сей час заражению ежедневно подвергаются около пятидесяти тысяч компьютеров. И на данный момент по всему миру заражено около трех миллионов машин, а ущерб от действия Nimda составил порядка четырехсот миллионов долларов.
Конечно, пока это не идет ни в какое сравнение с ущербом, нанесенным "червем" Code Red, буйствовавшим на территории Сети с июля по август месяц сего года. Тогда потери составили порядка двух с половиной миллиардов "зеленых рублей". Но Nimda, по заверениям тех же специалистов, только набирает обороты, и покончить с ним столь же быстро, как и с "Красным Кодом", не удастся.
А ведь для защиты от напасти достаточно лишь обновить антивирусные базы (практически все антивирусы на данный момент лечат Nimda) или скачать бесплатную утилиту-доктор с сайта "Лаборатории Касперского".
Вирусы — убийцы Интернета?
Не секрет, что человечество, сведя практически на нет потуги главного слуги эволюции — естественного обора — контролировать людскую численность и допускать к размножению лишь самых выдающихся, лоб в лоб столкнулось с проблемой чистоты вида. Увы, давно канули в бозе времена, когда генофонд нации составляли крепкие, здоровые гены сильнейших ее представителей. С ростом технологии рос и уровень жизни, а это, в свою очередь, вело к тому, что даже самые слабые — а зачастую именно они — имели возможность наравне с сильными оставить после себя потомство. В генофонде человечества начали накапливаться всевозможные заболевания, и сейчас мы, можно сказать, стоим на грани вымирания. Так считают ученые.
И кто бы мог подумать, что похожая картина происходит сейчас и с Интернетом. Только темпы развития ее куда как более высоки, а жизнь Сети, по мнению тех же самых ученых, увы, подходит к концу. Группа исследователей из корпорации MessageLabs, специализирующейся на контроле-сканировании почтовых отправлений, пришла к таким неутешительным выводам.
В начале 1999'го года каждое тысячное виртуальное письмо было заражено тем или иным вирусом. С наступлением 2000'го года количество инфицированной почты возросло ни много ни мало в два раза. Сейчас — в конце 2001'го — заразу можно подхватить из каждого 300'го послания. Проведя ряд несложных подсчетов, специалисты MessageLabs сделали заключение, что уже в 2004'ом году будет заражено каждое сотое письмо, ну а к 2008 году Сетью вообще нельзя будет пользоваться для общения, не боясь заразиться. Увы, Интернет оказался эволюционно несовершенным, его "иммунная" система — антивирусы — пока не выдерживает столь мощной атаки вирусов извне. Так что либо в самом ближайшем будущем будут придуманы радикально новые способы защиты виртуальных сообщений, либо Сеть будет мертва для общения. Хочется надеяться, что антивирусные лаборатории не подкачают, и наши внуки еще смогут насладиться радостью пребывания в онлайне.
Червь-FATоед
Читайте также: