IPB დაინფიცირდა, უცნაური შემთხვევა პარამეტრები

[K.C.]

მოგესალმებით ყველას. და მოდერატორთან დიდი ბოდიში წინასწარ , უბრალოდ ვერ მივიფიქრე სად შეიძლებოდა დამეპოსტა ეს ტოპიკი და ვინაიდან ეს ვებ განყოფილება იყო და ვინაიდან ჩემი პრობლემაც სწორედ ვებს ეხება და კერძოდ კი IPB ს. თუ მოდერატორი არ შეწუხდება და ამ ტოპიკს სხვა ადგილი ეკუთვნის ვთხოვ გადაიტანოს შესაბამის განყოფილებაში, ოღონდ ძალიან გთხოვთ წაიკითხოთ ტოპიკი.

საქმის არსი კი აი რაში მდგომარეობს, მაქვს საკუთარი სერვერი და საიტიც IPB ბაზაზე. კერძოდ კი დააპგრეიდებული ვერსია 2.1.7 დან 2.2.x ზე. რამდენიმე დღეა კი ხდება ესეთი რამ, index.php და index.html რომელიც კი მაქვს რუთ დირექტორიაში, ასევე ქვე დირექტორიებში ( როგორც ვიცით ყველა საქაღალდეში არის მოთავსებული index.html რათა ცნობისმოყვარე თვალები მოარიდონ შიგთავსს.) ვირუსდებიან Trojan Clicker_ით. საინტერესო კი ისაა რომ ეს ვირუსი მისით იცერება სკრიპტში ანუ ინდექს ფაილებში ჯდება თავისით რაც ძალიან მიკვირს, რამდენიმე მიზეზის გამო:

1. ამ დირექტორიებთან მარტო მე მაქვს შეხება და იქ ნამდვილად ჩემი ხელით ვირუსს არ ჩავტენი.
2. ეს მეორდება მისით და რაც მთავარია იწერება სკრიპში ისე რომ არ უშლის ზოგადად საიტის ფუნქციონირებას ხელს ანუ არანაირ ერრორს არ ვიღებთ ამ ვირუსის სკრიპტში მოხვედის შემდეგ.
3. ვირუსის სკრიპთი, არის ჯავა ენაზე დაწერილი, და არის კოდირებული ანუ ჩვეულებრივ რეჟიმში ის არის შემდეგი სახით ( echo 5466843.246874316764 ). აქედან გამომდინარე ვერ გავარკვიე რომელი საიტი თუ რა ან რას იძახებს ეს სკრიპთი.
4. შემდეგ იგივე სკრიპთი აღმოვაჩინე page_default.php _ ფაილში. ( თავდაპირველად ვიფიქრე რო მხოლოდ ინდექსებს დაერია. ეგრე არ აღმოჩნდა)

ამავე დროს მინდა აღვნიშნო, რომ სერვერი ფუნქციონირებს ლინუქსზე სადღაც 1 წელია. და ამავე სერვერზე არის ანონიმუს ფტპ, ანუ მომხმარებლები ტვირთავენ და იწერენ ჩემივე სერვერიდან.

რისი ბრალი შეიძლება იყოს ეს ყველაფერი?? ან ვთქვათ შეიძლება იყოს ეს IPB_ს ბრალი?? მე პირადად ძალიან მეეჭვება მაგრამ მეტი ვერაფერი დასკვნა ვერ გამომიტანია. როგორ შეიძლება ფტპ ზე დავირუსდეს რაღაც ფაილები ისე რომ იქ არავინ შევიდეს?? და თუ შევიდნენ რატო არ წაშალეს ვთქვათ მთლიანად საიტი??

რაც შეეხება ანონიმუს ფტპ სა და საიტის რუთ დირექტორიას დძალიან რადიკალურად განსხვავებულ საქაღალდეებში არიან განთავსებულები.
ამავე დროს მინდა აღვნიშნო ის რომ. საიტზე ასევე არსებობს სუბ დომენები რომელთაც არცერთი ფაილს არაფერი მოსვლია ნუ ჯერ ყოველ შემთხვევაში. და რომელთა საქაღალდეები მდებარეობს მომიჯნავე საქაღალდეში რუთთან.


P.S. ადმინისტრაციასთან ისევ დიდი ბოდიში, თუ თემა ძალიან უადგილოდ გავხსენი.
იმედი მაქვს ვინმეს ეცოდინება თუ რა შეიძლება ეშველოს ამ პრობლემას. საიტის მისამართს არ ვწერ რათა რეკლამად არ ჩამომერთვას. წინასწარ დიდი მადლობა.

[domen]

K.C.
პირველ რიგში - ძალიან, ძალიან დიდი მადლობა! :-) პირველად ვნახე თემა ასე კარგად ჩამოყალიბებული კითხვით (IMG:style_emoticons/default/biggrin.gif)

შენს პრობლემას რაც შეეხება, ძალიან გავრცელებულია - იმ მომხმარებლის კომპზე, რომელიც უკავშირდება FTP-ს, თუ აღმოჩნდა შესაბამისი ვირუსი, როგორღაც (დეტალებში პროცესი ჩემთვის უცნობია) ის იწერება FTP-ზეც და ჯდება ყველა index.* ფაილში (გამიკვირდა page_default-ის ამბავი, ეგეთი ჯერ არ გამიგია). მით უმეტეს, რომ შენს სერვერთან წვდომა ნებისმიერს აქვს, რისკი იზრდება. თუნდაც მოდიფიცირება გაუკეთო ფაილს, ხელახლა გახსნისას მაინც შეცვლის (IMG:style_emoticons/default/smile.gif)

პრობლემის გადაწყვეტის გზას ვერ გეტყვი ნამდვილად (IMG:style_emoticons/default/sad.gif) ერთი ვარიანტია, მომხმარებლებს შეუზღუდო უფლებები და ვებ-გარსით აატვირთინო ფაილები, მაგრამ მაქამდე მაგ ვირუსის მოცილება დაგჭირდება, ეგ კი არ ვიცი, როგორ ხდება (შეიძლება რომელიმე Linux ანტივირმა გიშველოს, ასევე არსებობს სპეციალური სერვერული ანტივირუსული პაკეტებიც).

[K.C.]

domen

მადლობთ რომ გამომეხმაურე, ეხლა რა ხდება, სამწუხაროდ ვებ გარსით ატვირთვა იქნება შეუძლებელი ვინდაიდან ჩემს ფტპ სერვერზე იდება საკმაოდ დიდი ფაილები რომელთა ზომა ხშირ შემთხვევაში აჭარბებს რამდენიმე გიგაბაიტს, თამაშები და ფილმები (1 გიგაბაიტდან დაწყებული 6-7 გიგაბაიტით დამთავრებული, ასევე ფილმები 600მბ დან და ზემოთ ).
აქედან გამომდინარე უბრალოდ ვერ გავაკეთებ ამას.
რაც შეეხება ვიღაცის კომპიდან ვირუსის სერვერზე მოხვედრას ეგ უკვე ვიფიქრე, მაგრამ ყველაზე საინტერესო ისაა რომ გოგორც ზემოთ აღვნიშნე სერვერზე ასევე არსებობს კიდევ ერთი IPB რომელსაც არაფერი მოსვლია, ასევე მანდვე დაინსტალებულია DLE, AIHS 2.1, VBulletin Torrent Tracker (მართალია ეს უკანასკნელი უბრალოდ აყენია,მაგრამ მაინც) .
ამ ჩამოთვლილთაგან არცერთი ფაილი არ დაინფიცირებულა, ანუ არცერთი სხვა ინდექს ფაილი არაა დაზიანებული დაედიტებული ამ ტროიანით, არც მეორე IPB არც DLE და ესაა რო მიკვირს. ვინაიდან ორივეში საკმაოდ არის ინდექსები, რაღა ამ მთავარ (უხეშად რო ვთქვათ) საიტს ეცა??? ერთი და იგივე სერვერში სხვა არ აინტერესებს ამ ვირუსს?? თუ ასეთი ჭკვიანია რო ტრაფიკს ხედავს და რომელსაც მეტი აქვს იმას აინფიცირებს?? ეს ხო ჩემი აზრით ნონსენსია?? (IMG:style_emoticons/default/huh.gif) თუ რაიმე მეშლება??
რაც შეეხება ანტივირუსს, აყენია ანტივირუსი რომელიც ვერ ხედავს ამ ვირუსს რატომრაც, მაგრამ რომც ხედავდეს მე მაქვს ერთი შიში (უხეშად რო გამოვხატო ჩემი აზრი) ვაითუ :
ვირუსის აღმოჩენის შემთხვევაში ეს ანტივირუსი მოიქცეს ისევე როგორც ვთქვათ Kaspersky AV ან Kaspersky IS, და უბრალოდ მიაშალოს დაინფიცირებული ფაილი?? მაგ შემთხვევაში მე ვრჩები როგორც მთავარი index.php და index.html გვერდების გარეშე (რაც ავტომატურად მტელი საიტის კვდომას გამოიწვევს ვინაიდან IPB_ის ყველა მიმართვა გადის ინდექსზე : მაგალითად [ http://compinfo.ge/forum/index.php?showtopic=1833 ] ასევე ყველა დირექტორიაში მდებარე ინდექსის კვდომა გამოიწვევს მთელი საიტის ღიად დარჩენას)
ამ შემთხვევაში მე სანამ მოვხვდები კომპიუტერთან და ნუ სანამ შევიტყობ ამ ამბავს მთელი საიტი რჩება ღიად ( მიდი მოვდივარ ) და მიხვდებით რაც შეიძლება მოხდეს.

დიდი ბოდიში ძალიან ბევრი ვწერე, მაგრამ ძალიან ვარ შეშფოთებული ამ ამბით, + ამას ნამდვილად არ მაქვს სურვილი ჩემი საიტიდან დავირუსდეს რომელიმე მომხმარებელი. მიუხედავად იმისა რომ ტროიან კლიკერზე ჩემთვის ცნობილი ანტივირუსების არქივიდან არაფერი საგანგაშო არაა თქმული (თუმცა შეიძლება ვცდებოდე).

თუ ვინმე შეძლებს რაიმენაირად დამეხმაროს ძალიან მადლობელი დავრჩები.