Начнем с того, что Гугл считает сомнительным даже самого себя, не говоря уже о других крупных проектах.

Google.com

Facebook.com

Liveinternet.ru

Вирусы на сайтах — это более сложная для обнаружения вещь, чем вирусы на локальных компьютерах. На то есть технические причины: вирус «сидит» на сервере, а «работает» у клиента, при открытии сайта в броузере. Серверный антивирус (который ставят редко) конролирует только сервер. Обычный антивирус контролирует клиентский компьютер. И нет какого-то механизма, который бы контролировал все звенья этой цепочки.

 Возможно, в будущем появятся комбинированные антивирусы, которые будут стоять и на сервере, и в клиенском компьютере, и общаться друг с другом.

 Тогда будет так: заходит посетитель на зараженный сайт, и у него не только срабатывает оповещение о вирусе, а идет обращение к серверному антивирусу, и тот уже в свою очередь находит проблему и сообщает в техподдержку сайта.

Но пока системных, действенных решений в этой области нет, остаются компромиссы.

Первый вариант — обнаружение по коду. Есть типичные для вирусов способы «запрятывания» вредоносного кода, его шифрования. Правда, эти же шифрования часто применяются и в обычных нормальных скриптах. Отсюда и невысокая эффективность обнаружения по коду: часто ложно срабатывает и часто пропускает вирус.

Второй вариант — общественное мнение. Пользователи сообщают, на каких сайтах сработали их клиенские антивирусы. Иногда такие сообщения умеют отправлять и сами антивирусные программы — и это шаг вперед. Из адресов этих сайтов формируются черные списки (блэклист).

Черных списков множество, это отдельная тема. Остановимся на том блэклисте, который использует Гугл. Его ведет организация stopbadware.org (использующая также ряд других доменов). Они собирают информацию отовсюду, где только можно. И у самого Гугла, и у всех остальных партнеров есть «стучалки», и вовсю работает принцип «тут-тук, я ваш друг»:

 — здесь любой может пожаловаться на phishing:
http://www.google.com/safebrowsing/report_phish/?continue=http%3A%2F%2Fwww.google.com%2Ftools%2Ffirefox%2Ftoolbar%2FFT2%2Fintl%2F%3Clang%3E%2Fsubmit_success.html&hl=ru

— а здесь — реабилитироваться от phishing:
http://www.google.com/safebrowsing/report_error/?continue=http%3A%2F%2Fwww.google.com%2Ftools%2Ffirefox%2Ftoolbar%2FFT2%2Fintl%2F%3Clang%3E%2Fsubmit_success.html&hl=ru

 То же самое по вирусам на сайтах:

 — пожаловаться на вирусы (чтобы заблэклистили):
https://badwarebusters.org/community/submit

— реабилитироваться (де-блэклист):
http://www.stopbadware.org/home/reviewinfo

 Очевидно, что такие «стучалки» могут использоваться конкурентами любого сайта в их гнусных целях. Это беда, потому что блэклист — быстрая автоматизированная операция, а де-блэклист долгая процедура с ручным рассмотрением заявки. Они деблэклистят более 100 сайтов в день, реабилитируя 20% сайтов, попавших в их черный список.

 Блэклист — страшнее DDos, поскольку никто не может успешно ддосить долгое время (фильтры забанят ботнет), а вот блэклист — это надолго. И, в отличие от DDos, ещё и дает пятно на репутацию сайта, даже преданные постоянные посетители просто боятся потом заходить.

 Подтверждением того, как пока сыра вся эта система и какие сильные перекосы есть в её работе, как раз является приведенная выше страница диагностики для google.com. Для тех, кому все же хочется понять, как именно, — очень просто, кто-то настучал на страницу, содержащую вирусную ссылку. Например, по ситуации, описанной в другой нашей статье. Кто-то кликнул объявление в Adwords, ему выскочило предупреждение его антивирусной программы, он его скопировал и послал в стучалку, указав в качестве урла гугловский, поисковую строку. Чтобы разобрались. А система рада стараться, заблэклистила это дело как только набралась нужная масса таких стуков. Возможны варианты, не обязательно в точности так все было — мы просто обрисовали сам принцип, а в действительности есть ещё много деталей.

Ещё один пример: однажды все форумы Рунета, как один, оказались в черном списке Гугла, да и Яндекса, причем пометка у всех отображалась в результатах поиска. Причина — кто-то загрузил на общедоступный фотохост radikal.ru картинку с кодом, напоминающим эксплойт. Это мог быть и не хакер, просто человек где-то нашел картинку и захотел вставить её в пост форума. (Менее вероятно — вирусный код был в рекламе, размещенной в партнерке на «Радикале» по заказу хакера). В результате домен этого фотохостинга попал в блэклист. И тут же в блэклист попали тысячи сайтов и форумов, отображающих на своих страницах пользовательские картинки с «Радикала». Причем хотлинк был не той пресловутой сомнительной картинки, а совершенно других изображений — просто с того же домена. Антивирусные алгоритмы по сайтам (даже используемые лидерами рынка) ещё в пеленках, они не разбирают таких тонкостей и банят все оптом. Так тысячи сайтов оказались без вины виноватыми.

Наперегонки с Гуглом идут и другие участники рынка — mail.ru в прошлом году стали использовать WOT для фильтрации вредных ссылок в почте. Вроде бы здорово, но данный блэклист основан только на стуке (причем достаточно единичных стуков, не нужно критической массы) и автоматизирован. То есть злодей-конкурент может запросто заблэклистить вас в WOT, и потом надо будет долго отмываться. А тем временем почта от ящиков Вашего домена не будет приходить абонентам mail.ru. Да и сайт не будет открываться у всех, у кого стоит разрекламированный плагин WOT для Mozilla.

С другой стороны, мы имеем обратную ситуацию: распространять вредоносные программы можно по обычным отлаженным рекламным каналам. Лучше всего это иллюстрирует упомянутый ранее пример с Google Adwords. Все, даже самые крупные и именитые игроки рынка, сталкиваются с этой проблемой. Баннеры и объявления везде принимаются в ротацию автоматически. Помещая у себя код любого агрегатора рекламы, можно стать невольным распространителем вирусов.

 Хакер размещает баннер: «Осторожно, вам надо почистить компьютер! Установите бесплатный антивирус!» или «У вас старая версия flash, вам надо скачать обновление!», и много людей покупаются на это и ставят себе вредную программу сами, своей рукой скачивая её в компьютер и запуская, как обычно. Тут все антивирусы бессильны — если человек сам себе такое делает. Со временем, конечно, все раскрывается с помощью разных «стучалок», но до той поры тысячи зараженных компьютеров пополняют ряды ботнетов.

 Бороться с этим должны бы агрегаторы рекламы (баннерные сети, тизерные партнерки, продавцы попандер/кликандер трафика). Кому-то из них все равно, лишь бы рекламодатели деньги платили, а некоторые из них действительно заинтересованы решить проблему. Только иметь в штате модераторов для предварительной цензуры публикуемой рекламы им не выгодно. А автоматического решения, разумеется, нет и пока не предвидится. Мы вели переговоры с некоторыми, в том числе довольно крупными агрегаторами, изучали эту тему, и пока ни одно из предлагаемых решений не обладает нужным сочетанием производительности (сайтов в сутки), эффективности (процент обнаружения) и стоимости создания. В двух словах: мы предлагаем метод на основе использования компьютеров-жертв, которые будут имитировать действия пользователя — кликать по баннерам, ходить по сайтам и нарываться на заражение.

В итоге приходится признать, что «темная сторона силы» идет на шаг впереди. Даже на два шага. Причина — как всегда, экономическая. Цепочка такая:

 поиск уязвимости в популярном сайтовом движке или описанные выше баннеры —> заражение сайтов и через них — компьютеров —> большой ботнет

 Ботнет — это сразу деньги, если его продать. Или ещё бОльшие деньги, но постепенно, от использования ботнета для кардинга (похищение денег с кредиток), скликивания adwords и других злодейств. Во многих странах, в том числе в России, программисту невозможно в обычной работе получить столько денег, сколько может принести ботнет (многие из которых состоят из сотен тысяч и даже миллионов зараженных компьютеров, примерно по доллару каждый), поэтому денежный стимул, как у наркобизнеса. Люди готовы жить ради этого, годами искать дырочку в Joomla или Wordpress, чтобы потом заразить тысячи сайтов за день. Заражение — автоматическая, оптовая операция. А вот очистка сайта от вирусов — это штучная ручная работа, требует опыта и терпения.

Руководители антивирусных компаний предлагают ужесточение наказаний за создание и распространие вирусов. Чтобы партнерки начали модерировать баннеры под страхом штрафов. Чтобы громко посадить ряд хакеров, и подросткам не повадно было идти по их стопам. И конечно, чтобы антивирусы поспевали за хакерами, а то новой заразы все больше, а число продаваемых лицензий на коробочные антивирусы и соответственно бюджеты компаний растут не так уж быстро.

Касперский также высказывался за введение лицензирования антивирусной деятельности — чтобы фальшивых антивирусов не было. Довольно сомнительное предложение, как нам кажется.

Проще всего людям, далеким от этих подробностей, — они просто не знают о проблемности антивирусной ситуации и имеют иллюзию безопасности. Как говорится — меньше знаешь, крепче спишь.

 Как быть владельцу сайта?

Вирус на сайте — это тот случай, когда надо «стрелять на шорох». Потому что простого посетителя не интересует, по правде на сайте есть вирус или это ложное срабатываение. Он видит метку в Гугле или предупреждение своего антвируса — и убегает прочь. Поэтому на первом месте должна быть не правда — заражен сайт или нет, а имидж — чтобы ни в коем случае при заходе на ваш сайт ни у кого ничего не срабатывало. Например, если рекламная партнерка не сеет вирусы в данный момент, но вообще считается сомнительной — приходится её менять, даже ценой снижения прибыли от сайта. Посетители дороже. Таковы правила этой игры, и увы не мы их устанавливаем.

Видео курс - тренинг экстремального тайм - менеджмента!

Персональный Мотиватор! У каждого свой путь! К чему стремишься ТЫ?! - Пройти свой путь! А кто пройдёт свой путь - Свой путь пройдёшь ли ТЫ?      А если "Пустота"  Её пройдёшь ТЫ тоже, в движении вся ЖИЗНЬ, в сиденье "Пустота". И если ты способен улыбаться жизни, жизнь тоже улыбается тебе в ответ, чудеса лишь там, где верят в чудеса, и чем ТЫ больше веришь в чудо, тем чаще оно случается, и Пустота сменяется!   Дорогу осилит ИДУЩИЙ!

Как самостоятельно бесплатно удалить вирус с сайта

Вы можете заказать удаление вирусов или удалить вирус самостоятельно, действуя по данной инструкции.

Инструкция подходит для DLE, Bitrix, Drupal, Joomla, ipb, vbulletin, phpBB, ucoz и других cms. В инструкции делается упор на очистку сайтов на LAMP (как наиболее распространенная технология), но работа с сайтами на ASP.NET и других технологиях в основном аналогична. В данной инструкции предполагается, что Ваш собственный компьютер полностью чист от вирусов и локальная сеть, в которой Вы находитесь, безопасна. Иначе необходимо сначала очистить от вирусов свой компьютер. Также предполагается вледение языком программирования, на котором написан сайт, так как без этого нет смысла браться за очистку.

1. Диагностика.

Если Ваш сайт находится на сигнализации, то в письме от antivirus-alarm будет ссылка на описание вирусного кода. Иногда изучение и описание вирусного кода требует больше времени, и тогда такая ссылка идет в письме от нашего сотрудника. В особо сложных случаях, требующих глубокого изучения, конкретный код вируса в рамках сигнализации не может быть предоставлен, так как нужны полные доступы к сайту, а иногда и к серверу.

При отсутствии конкретного указания кода вируса, или если сайт не поставлен на сигнализацию, диагностика проводится по следующей схеме, от простого к сложному:

1.1 В исходном коде html страницы ищем вхождения слов "iframe" и "javascript". Исследуем найденные фреймы и внешние скрипты на предмет чужеродности, не принадлежности к нашему сайту. Особенно подозрительными являются iframe малой или нулевой ширины и высоты, а javascript - с использованием eval, unescape, String.fromCharCode, а также подвергнутый обфускации. В javascript особое внимание надо обратить на document.write с вписанием другого javascript или iframe, либо вписанием meta-редиректа, а также javascript-редирект. В некоторых случаях вирусный код маскируется под счетчики посещаемости. Иногда производится полная замена обфусцированной javascript библиотеки наподобие jquery на такую же, но содержащую вирус. В таких случаях необходимо сверить размеры активной библиотеки с размерами того же файла в имеющейся у Вас резервной копии сайта.
Если в iframe, javascript или в редиректе фигурирует любой чужой домен (не Ваш и не размещенный там Вами) - это сигнал тревоги, даже если на домене пусто или там нормальный сайт. Вирусы очень часто идут "матрешкой", когда реальное вредоносное содержимое выскакивает только на третьем или пятом редиректе или фрейме.

1.2 Проводим такое же исследование по подгружаемым внешним javascript файлам. Во внешних css проводим поиск behavior, содержащих чужеродный код.

1.3 Если на сайте есть картинки, подгружаемые с других сайтов - проверяем, что выдается при запросе броузером этих картинок. При этом реферрер и агент должны быть как при обычном открытии страницы Вашего сайта с этой картинкой. Если вместо картинки выдается редирект, запрос пароля или иное чужеродное содержимое - это как правило вирус.

1.4 Перечисленные в пп. 1.1-1.3 действия необходимо выполнить с запросом страницы и скриптов несколько раз, в идеале с разных ip, с разными cookies и разными user-agent (броузерами) поскольку вирусный код может выдаваться случайным образом либо только тем броузерам, которые уязвимы, либо только поисковику, либо по иному критерию.

1.5 Добавляем сайт в Яндекс-вебмастер и Google-вебмастер, в некоторых случаях эти сервисы дают указание конкретного вредоносного кода, либо доменов, с которых подгружается вирус.

1.6 Если Вы зашли на зараженный сайт с включенным javascript в броузере (чего вообще-то лучше не делать), то Ваша антивирусная программа может дать список угроз, которые были обнаружены при посещении сайта. Из этих данных также можно выделить список вирусных доменов.

1.7 Смотрим коды http-ответов сервера на предмет редиректов разными user-agent и с разных ip адресов, поскольку зачастую редирект выдается случайным образом либо используется клоакинг. Иногда вирус ведет дневник и выдает редирект или попап только один раз каждому посетителю.

2. Удаление вируса.

Знание, какой именно код вирус выдает посетителям сайта, помогает найти на сервере источник проблемы. Если в ходе диагностики выдаваемый посетителю вредоносный код не был конкретизирован - не беда, очистка может быть успешно проведена и без этого, просто будет намного сложнее.

2.1 Скачиваем себе на локальный компьютер все файлы сайта, делаем резервную копию перед проведением очистки.

2.2 Проводим полнотекстовый поиск (по самим файлам, а не только по их заголовкам), ищем вхождения найденного в пп. 1.1-1.3 и найденных в пп. 1.5 и 1.6 вирусных доменов. Альтернативный вариант - вести поиск прямо на сервере специальным серверным скриптом.

2.3 С помощью ssh команд либо серверного скрипта находим на сервере все файлы сайта, которые были изменены в день заражения сайта и изучаем их на предмет внешних нежелательных дополнений. Это могут быть:

При анализе нежелательных дополнений может помочь знание кода, выясненого в ходе диагностики (п.1).

Помимо выдачи посетителям вредоносного содержимого, перечисленные выше чужеродные вхождения могут представлять собой web shell или backdoor, с помощью которых злодей контролирует Ваш сайт.

2.4 Делаем дамп базы данных, и изучаем аналогично п.1.1, но с учетом того, что в базе код может быть преобразован в мнемоники и вместо <iframe> будет &lt;iframe&gt;

2.5 Удаляем все чужеродные вхождения, обнаруженные в ходе работы по перечисленным выше пунктам.

2.6 Проверяем работоспособность сайта, его функционал. Иногда вирус затирает собой важные файлы или нарушает их синтаксис, и после очистки обязательно надо все восстановить. В очень редких случаях вирус затирает все так, что файлы сайта уже невосстановимы. Хорошо, если есть копия у хостеров или подключена услуга резервное копирование.

2.7 Создаем резервную копию очищенного сайта. В случае повторного заражения можно будет восстановить сайт из этой резервной копии.

Если остановиться на этом, то на следующий день либо в пятницу вечером на этой же неделе произойдет повторное заражение сайта и все с начала. Поэтому необходимо двигаться дальше.

3. Выясняем и ликвидируем причину заражения.

3.1 В первую очередь необходимо проанализировать лог веб-сервера и лог ftp, найдя в них время, предшествовавшее заражению. Если имеется лог ошибок php и лог командного интерпретатора, они тоже могут оказаться полезны. Иногда в логах бывает достаточно данных, чтобы определить источник заражения сайта. Но нельзя ограничиваться только закрытием первоначальной проблемы, необходим комплексный подход.

Самые распространенные пути заражения:

3.2 Похищение ftp паролей. Причины бывают разные:

3.3 Уязвимости в движке (CMS).

Многие CMS все ещё содержат уязвимости типа SQL injection, source include, xss и др. Обычно сообщения об обнаружении таких уязвимостей появляются на сайтах поддержки данных CMS, например, http://dle-news.ru/bags/. В ходе очистки сайта необходимо закрыть все уязвимости, описанные на сайте разработчика CMS, а также проверить движок на наличие уязвимостей, добавленных туда при установке модов или ином дополнении функционала. Как движок, не имеющий подобных явных проблем можно порекомендовать UMI CMS.

Помимо собственно дыр в движке бывают ещё уязвимости, связанные с сочетанием определенных настроек движка и/или определенных настроек сервера. Например, если настройки сайта позволяют посетителям постить на сайт картинки с других сайтов, то это автоматически увеличивает риск проблемы, упомянутой в п.1.3. Некоторые CMS не имеют явных уязвимостей, но в случае несоответствия настроек сервера системным требованиям эти CMS могут быть очень уязвимы. В ходе очистки необходимо уточнить соответствие сервера требованиям безопасности конкретной CMS.

3.4 Заражение от соседних сайтов на том же сервере.

Если Вы подключаетесь к своему сайту по ftp и не видите других сайтов, кроме своего - это ещё не значит, что от Вас нет доступа к соседям и от них нет доступа к Вам. Необходимо подключиться по ssh (если хостер дает такую возможность) и проверить, не видны ли файлы других пользователей. Также пробуем подняться выше своей директории php файл-менеджером, или perl, или программами на других языках, работающих на этом сервере. Если такая возможность подняться выше и перейти в папки других пользователей есть - необходимо сменить хостинг, так как очистка в рамках отдельно взятого сайта в таких условиях невозможна.

3.5 Движок сайта может быть хорошим, но при этом у хостера могут стоять утилиты управления базами данных или скрипты статистики, имеющие уязвимости или пригодные для брутфорса. Это может быть phpMyAdmin с единой авторизацией для всех клиентов, что в сочетании с короткими паролями может дать успешный взлом управления базами и как следствие - добавление вирусного кода в хранящиеся в базе статьи или шаблоны. По возможности необходимо закрыть эти пути проникновения вирусов. К сожалению, это зачастую также означает смену хостера.

4. Меняем все пароли: ftp, ssh, mysql, пароли на администрирование сайта (пароли cms).

Зачем все так сложно? Я вот просто убрал из шаблона сайта строчку с вирусом, и у меня теперь все хорошо.

Вам повезло. Но нельзя считать хакера глупышом. Обычно если вирус не дотерт, он возвращается. И возвращается в значительно более хитром и зашифрованном виде, и его удаление становится на порядок более сложной задачей.

Если самостоятельное удаление вируса не увенчалось успехом, к Вашим услугам очистка сайта от вирусов от antivirus-alarm.ru

«Как раскрутить любой сайт?» Подробное пошаговое видео руководство на компакт-диске покажет вам как вывести любой сайт до абсолютно любого уровня посещаемости! Ознакомиться с курсом...