Моя предыдущая заметка про борьбу с Trojan.Winlock, судя по всему, затронула актуальную тему — много живых и толковых комментариев, перепубликаций и обсуждений по всей сети.

Большинство восприняло идеи этой статьи негативно, и так же негативно прокомментировало, что было вполне предсказуемо.

Фанаты альтернативных операционных систем назвали MS Windows основной причиной эпидемии, манимейкеры потребовали прекратить завидовать и не мешать им зарабатывать деньги, уже отправившие SMS пользователи подробно и в лицах объяснили всю бесперспективность идеи добиться справедливости.

Увы, все эти комментарии не являются ничем большим, чем самоутверждением, попытками сохранить самооценку и проявлениями стадного инстинкта. Большую их часть вызвала специально оставленная в статье фраза про «левые отмазки слабаков, прикрывающих собственное бездействие». Повелись.

Было одно интересное заявление, в котором меня обвинили в том, что я действую только ради действия — «им подсказали, что нужно что-то делать и они начали делать». На самом деле интересная мысль, и может даже в чём-то верная — действие интереснее и полезнее просиживания штанов. Даже если результата не будет, ценный опыт будет получен. А вот на счёт «им подсказали» — не могу согласиться. В ситуации с Агавой в 2008 году справедливости мне добиться удалось, были с тех пор и другие конфликты: с WMT Russia, с ООО «Продвижение», правда заметки об этом по различным причинам из блога убраны.

Положительный момент обратной связи тоже есть. Около 10 человек выразило согласие с моей позицией и готовность предоставить помощь. Этот результат превзошёл мои ожидания.

Вернёмся к нашим троянам. По телевидению, насколько мне известно, показали несколько сюжетов об этой эпидемии. В плане поднятия интереса к вопросу это отлично, но… Во-первых, это был просто пиар Dr.Web и Лаборатории Касперского, а во-вторых непосвящённые зрители восприняли эти сюжеты как «в интернете стало много вирусов, чтобы их убрать надо отправить SMS». Телевизионщики — тоже молодцы.

Оператор сотовой связи МТС ввёл временные крайние меры по коротким номерам. Каждый абонент при попытке отправить SMS на любой «дорогой» номер (более $10), получает уведомление о стоимости, если абонент подтверждает отправку, то деньги снимаются.  Такие «оповещения» введены на 14 коротких номерах, на которые чаще всего поступали жалобы абонентов. Кроме того, арендаторов этих номеров оператор оштрафовал на суммы свыше 10 млн рублей, а одному из них отключил ряд номеров.

Похоже, моего ОСС всё-таки достали. Направление его движения верное, но надо бы идти до конца. Нужно чтобы временные решения стали постоянными, а борьба с мошенниками не выглядела лицемерием. Уважаемый МТС, а как же платные подписки? Сейчас очень многие (vipsexcash.com, например) кормятся на них, а вы даже не предупреждаете абонентов и подключении платных и бесполезных услуг.

В общем, я призываю к дальнейшему распространению информации о проблеме, а так же к поиску новых путей к её решению. В комментариях к прошлой статье были высказаны хорошие идеи, и кое-что даже было сделано, так что всё это уже не зря.

Жилинский Владимир

По данным российских антивирусных компаний, уже несколько миллионов россиян пострадало от вредоносных программ семейства Trojan.Winlock и аналогичных. Для заражения компьютеров на данный момент используются практически все известные способы и уязвимости браузеров, операционных систем, а так же методы социальной инженерии.

Эти вирусы объединяет одна общая черта — требование от пользователя отправить SMS на короткий номер. Стоимость такой отправки является максимальной для оператора пользователя (примерно от 300 до 1000 рублей), и отправить для разблокировки как правило необходимо несколько таких SMS. Из-за постоянной модификации исходного вируса антивирусные программы против этой эпидемии практически бессильны. Часто в качестве стимула вирусы выводят незакрываемое штатными средствами окно с порнографическими картинками на рабочий стол, а так же отключают диспетчер задач и блокируют выход в интернет.

А кормятся на этом:

• авторы модификаций вируса;
• владельцы сайтов, используемых для распространения вируса (партнёрские программы);
• сервис-провайдеры коротких номеров;
• операторы сотовой связи (40 – 50% дохода, между прочим);
• возможно, что и некоторые антивирусные компании, впрочем не факт, что с ними делятся.

Парадокс: в соответствии с законами РФ и техническими характеристиками используемой цепочки нет никакой трудности в выявлении организаторов и исполнителей этого мошенничества. Но результат, как мы видим, отрицательный, при чём в геометрической прогрессии.

Мошенники продолжают зарабатывать огромные (откройте калькулятор, посчитайте) деньги, нарушая чуть ли не весь уголовный кодекс — это и вымогательство, и распространение порнографии, и взлом компьютерной системы.

Немного сарказма. Чем же занимается наше доблестное? Не знаю как у вас, а в нашем маленьком Пскове предприимчивый отдел «К» занимается продажей пиратских дисков через торговую сеть «Навигатор». Борются с конкуренцией, им не до этого.

Обычно, когда заходит речь об этих вирусах, сразу появляются комментарии в стиле «используйте линукс, сами виноваты, не ходите по ссылкам», и так далее. Левые отмазки слабаков, прикрывающих собственное бездействие.

Чем занимаются антивирусные компании? Не успевают за вирусмейкерами. Dr.Web даже официально это признал и воззвал к доблестным, но пока тоже без особых результатов. Но у них и у Лаборатории Касперского есть сервисы, позволяющие подобрать код для разблокировки компьютера от вируса в большинстве случаев:

http://www.drweb.com/unlocker/index
http://support.kaspersky.ru/viruses/deblocker

Именно эти адреса вирус, разумеется, блокирует в первую очередь.

ЖЖ-блогер, ведущий блог «Реверсивные коммуникации», первым поднял достаточно много шума на эту тему. В его блоге есть исчерпывающие инструкции по борьбе с мошенниками, требующие правда небольшой поправки на разницу между законами Украины и России. Этот человек на самом деле молодец, он не опустил руки как все остальные, желание сделать жизнь в своей стране хоть немного лучше — достойно уважения.

Мне «посчастливилось» поучаствовать в этой заварухе, вирус умудрился поймать мой родственник. Я взял дело под свой контроль и могу сказать следующее:

• SMS отправлять не нужно. Не факт что это вообще поможет.
• Если SMS отправлено — ищите сервис-провайдера. Вбейте в Яндекс короткий номер и префикс и всё поймёте.
• Писать туда бесполезно — звоните сразу на горячую линию и требуйте юридически компетентного специалиста.

Виновных, скорее всего, не накажут, но хоть деньги вернут. Не думаю, что компания пойдёт на риск больших штрафов ради 500 рублей.

Это был рецепт для пользователей. А теперь мысли для тех, кто уже съел пару собак на просторах интернета.

Жилинский Владимир

12 января 2010 года.

По сообщению компании Google, её сервис электронной почты Gmail подвергся серьёзной атаке, ориентировочно с территории КНР. Позже стало известно, что этой атаке, получившей кодовое имя «Aurora», подверглись сервисы ещё 33 компаний. Атака реализовалась набором эксплойтов под Internet Exporer 6, 7 и 8.

15 января 2010 года.

Компания MicroSoft в одном из своих блогов поднимает эту тему и сообщает, что меньше всего опасным уязвимостям подвержена 8-я версия IE.

Антивирусные компании (в т.ч. McAfee) бьют тревогу: эксплойты после некоторой модификации применимы ко всем версиям IE.

Германия (BSI), и Франция сочли необходимым предупредить пользователей об опасности и призвали отказаться от использования браузера Internet Explorer.

18 января 2010 года.

Исходный код эксплойта публикуется в открытом доступе и становится частью популярных хакерских инструментов.

Появился эксплойт под IE 8 (работающий под XP, Vista и 7). Пока приватный.

MicroSoft советует всем пользователям срочно обновиться до IE 8 и повысить уровень безопасности в настройках IE до уровня High и обещает выпустить экстренные заплатки для браузеров не 9 февраля, как планировалось до этого, а в ближайшие дни, внепланово.

Начинается скандал между Google и властями КНР, которых Google якобы подозревает к причастности к этой атаке. Пока явных действий стороны конфликта не предприняли.

———————————

А меж тем, в этом месяце мой блог посетили 1168 человек, использующих IE 6 и 855 человек, использующих IE 7.

Народ, поставьте себе уже нормальный браузер!

Как видите, используя дырявые программы вы не только подвергаете опасности себя, но и других, и даже можете послужить причиной международного конфликта.

И не надо ныть, что у вас в офисе запрещена установка программ. Вам же просто лень объяснить начальству или сисадмину необходимость обновления. Или работать в FireFox Portable, не требующим установки.

Жилинский Владимир

Компьютерный фестиваль хак- и демосцены Chaos Constructions 2008 подошёл к концу. Мы все жутко устали – хочется спать, есть, в душ… Все организаторы фестиваля (включая меня) находятся здесь с четверга, и уже имеют зеленоватый оттенок, путают слова и засыпают практически стоя.

К счастью, в этом году у нас есть автоматы с кофе и энергетиками, поэтому сон победить вполне удаётся. Но резервы организма всё-таки исчерпаемы.

Мы сделали огромное количество фотографий, и видеозаписей, которые ещё придётся долго обрабатывать. Мои фотографии с фестиваля можно найти на Яндекс-Фотках по тегу “cc08“, а краткая фотохроника Chaos Constructions 2008 – по ссылке.

Читать далее »

Не знаю кому как, а лично я после перехода на Gmail просто перестал устанавливать почтовый клиент на свои компьютеры. Судите сами – никаких проблем с доставкой почты, кодировками, отличный спам-фильтр, удобный портабельный и кроссплатформенный веб-клиент.

Но с учётом того, что мы часто используем Wi-Fi и выходим в сеть из публичных мест, использование веб-клиента может быть небезопасно. Например, в из общей Wi-Fi сети на Chaos Constructions наши умельцы вытаскивали все пароли беспечных участников фестиваля прямо на большой экран. Выглядело это как-то так:

Так вот – хорошая новость. Теперь в настройках почты Gmail появилась галочка – “Всегда использовать https”:

Эта галочка включает обязательное RC4 128 бит шифрование данных, которое желающим почитать вашу почту принесёт немало головной боли. Включите её.

Мы собрали рюкзаки, повесили на них палатки, спальные мешки и через несколько часов выезжаем в Москву на iCamp. Не упустите шанс пообщаться!

Жилинский Владимир.

Предлагаю небольшое исследование на тему безопасности веб-приложений и фильтрации вводимых данных. Скорее всего, я ещё вернусь к этой теме, но сейчас больше хочется не писать трехтомник, а сохранить и упорядочить собранное и проверенное. В частности, речь пойдёт о фильтрационной защите от XSS-атак и SQL-инъекций.

В PHP есть ряд специальных функций для работы со строками, применимых для этой цели. Вот они:

strip_tags() – вырезает теги HTML и PHP из строки.

htmlspecialchars() — конвертирует только специальные символы (‘&’, ‘”‘, ”’, ‘<’ и ‘>’) в HTML сущности (‘&amp;’, ‘&quot;’…). Используется для фильтрации вводимых пользователем данных для защиты от XSS-атак.

htmlentities() – конвертирует все символы в строке (кроме букв) в мнемоники HTML. Используется для защиты от XSS, являясь более гибким аналогом htmlspecialchars.

stripslashes() – удаляет заэкранированные символы (после преобразования в сущности предыдущими функциями их незачем экранировать). Обычно используется в связке с проверочной функцией get_magic_quotes_gpc(), показывающей текущую установку конфигурации magic_quotes_gpc.

Эта конфигурация влияет на то, как будут обрабатываться специальные символы, содержащиеся в данных, передаваемых пользователем (массивы $_GET, $_POST, $_COOKIE). При magic_quotes_gpc = 1 эти спецсимволы (одиночные и двойные кавычки, обратный слэш, байт NULL) автоматически экранируются. При magic_quotes_gpc = 0 все данные передаются в таком виде, в каком их ввел пользователь. В последнем случае в целях безопасности требуется обрабатывать передаваемые данные.

mysql_real_escape_string – мнемонизирует специальные символы в строке для использования в операторе SQL с учётом текущего набора символов в кодировке соединения. Иными словами, функция превращает любую строку в правильную и безопасную для MySQL-запроса. Используется для очистки всех данных, передающихся в MySQL-запрос для защиты от SQL-инъекций.

На основе этих данных, можно собрать функцию для однозначной очистки непроверенных данных. Эта функция получает две переменные – строку с введёнными символами и булево значение для определения – требуется ли приведение к MySQL-запросу. Возвращает функция очищенную строку. Конечно, это не панацея, но функцию легко изменить под собственные нужды.

InputClear.phps - фильтрация введённых пользователями данных.

Если кто-то обнаружит ошибки, или знает способ лучше – добро пожаловать в комментарии, мне очень интересно.

Жилинский Владимир.

Все данные, хранящиеся на жестких дисках, флешках, и прочих носителях, всегда находятся под некоторой угрозой. Диск может сломаться, флешка исчезнуть, а владелец файлов (чаще всего) может их случайно удалить или испортить. Поэтому предлагаю немного поразмыслить о резервировании критически важных данных.

Начнём с сайта. Среднестатистический сайт – это набор файлов на диске и база данных, как правило – MySQL.

С базой данных особых проблем не вижу:

• для WordPress есть плагин WordPress Database Backup , который сохраняет базу по расписанию и отправляет её на e-mail
• для других систем можно воспользоваться скриптом Sypex Dumper , или настроить дамп и отправку по почте самостоятельно (несколько строк кода).

С сохранением файлов сайта чуть сложнее. Можно просто периодически сохранять их вручную, но можно и автоматизировать.

Сначала заархивируем все файлы сайта в один архив с помощью библиотеки PclZip :

<?php require_once('pclzip.lib.php');
$date = date('Y-m-d');
$archive = new PclZip("$date.zip");
$v_list = $archive->add('../');
if ($v_list == 0) { die("Error : ".$archive->errorInfo(true)); }

В этом примере $v_list – это относительный путь к архивируемому каталогу или список каталогов и фалов через запятую. Выбирайте сами, что именно нужно резервировать.

После этого можно сделать дамп MySQL базы и добавить его в этот архив, а потом, например, отправить полученный архив по почте с помощью класса PhpMailer и удалить его чтобы не занимал место. Запускать этот процесс можно с помощью планировщика у хостинг-провайдера (у Majordomo бесплатный) или (если это WordPress) с помощью WP-Cron .

Законченного решения я не выложил, но конструктор укомплектован – собирайте кому что нужно, все части надёжны и проверены.

Следующий эпизод – локальный компьютер. Тут стоит сразу определиться – что именно резервировать. Для больших и редко используемых файлов (фото, видео, архивы) я поставил себе под стол старенький компьютер под Ubuntu, настроил NFS и забыл о нём – приходя домой я получаю доступ к этим файлам, а в крайнем случае – можно и удалённо залезть.

А для регулярного бэкапа текущих проектов вполне подойдёт Gmail. Бесплатный почтовый ящик вмещает до 10Gb данных, а самый интересный фокус в том, что его можно подключить как обычный диск – как в Linux , так и под Windows . А сохранять туда нужные файлы тоже можно кроном, или его Windows-аналогом – nnCron + nnBackup .

А заодно посмотрим, что об этом думают другие участники конкурса на лучший способ бэкапа личных данных.

Жилинский Владимир.

Ежегодный Санкт-Петербургский хакерский фестиваль Chaos Constructions (ранее – ENLiGHT) начинает сверхраннюю подготовку к старту. Организаторы определились с датой – в этом году это будет 30 и 31 августа, как всегда включая ночь.

Тематика Chaos Constructions в этом году – электроника и микроконтроллеры. Но это только небольшой акцент, фестиваль пройдёт в духе своих лучших традиций.

На фестивале пройдут все традиционные конкурсы в полном объеме, а так же некоторые новые, например, Realtime Graphics и Invitation Compo (конкурс приглашений), приём работ на который уже начался. В прошлом году меня можно было увидеть среди организаторов на Antique и мельком на HackAround, в этом году пока не знаю свою форму участия.

Условия участия – стандартные для CC – 400 рублей за 2 дня, девушкам и участникам выставки раритетной техники вход бесплатный. Регистрация уже началась.

Небольшой экскурс в прошлое:

• Моя статья о Chaos Constructions 2007 Antique.
• Видео-ролик, снятый нами на CC`07A.
• Моя статья про Chaos Constructions 2007 HackAround.

UPD: Уточнилось – я в организаторах. Пресс-центр.

UPD2: Отчёт по Chaos Constructions 2008.

Жилинский Владимир.

Моя заметка “Взлом сайтов” была просмотрена пользователями 2835 раз, что показывает явный интерес людей к этой теме, даже несмотря на довольно категоричное содержание статьи.

Хочется высказаться ещё раз почти на ту же тему и ответить на вопрос “Что за это будет?“.

Расследования по преступлениям в сфере информационных технологий может проводить милиция, она же может делегировать их в К-отделы (МВД). Так же параллельно может проходить расследование в УФСБ.

Что вам будет (если вычислят) за взлом форума, сайта, почты или иного средства обмена сообщениями, сканирование портов, попытки применения эксплойтов?

• Вам инкриминируют статьи 272 УКРФ (неправомерный доступ) и 274 УКРФ (нарушение правил эксплуатации).
• Если вы – автор спецально разработанной программы для взлома (вирус, червь, эксплойт), то ваша статья – 273 УКРФ (создание вредоносных программ).
• В случае получения доступа к какой-либо закрытой переписке (е-mail, например) могут быть дополнительно применены статьи 137 УКРФ (нарушение неприкосновенности частной жизни) и 138 УКРФ (нарушение тайны переписки).
• Последнее время так же участились обвинения за публикации в интернете по статьям 282 УКРФ (возбуждение ненависти либо вражды) и 129 УКРФ (клевета) .

Предупреждён – значит вооружён 8-)

Жилинский Владимир.

Вопрос безопасности обычно возникает уже слишком поздно – когда тот самый жареный петух уже сделал свое черное дело, и блог уже в руках “других людей”. Всё это многие уже проходили на LiveJournal, где до сих пор любят поугадывать ответы на “секретные вопросы”.

А мы будем защищать самое ценное – свой блог на WordPress.

Пункт первый. У бесплатного движка есть недостаток – любой может скачать, поставить и изучить. И изучают, и находят ошибки. Регулярно. Не будем этого ждать – закроем админку Http-авторизацией средствами веб-сервера. Для этого нужно сгенерировать файл .htpasswd, что можно сделать утилитой htpasswd, обычно входящей в состав дистрибутива Apache. Синтаксис её такой:

htpasswd -mbc .htpasswd USER PASSWORD

Где USER – имя пользователя, а PASSWORD – его пароль. Можно поступить и проще – сгенерировать файл .htpasswd более наглядной программкой Htpasswd generator. Полученный файл кладется в папку wp-admin вместе с .htaccess со следующими инструкциями:

AuthUserFile /full/path/to/.htpasswd
AuthType Basic
AuthName “Access_Control”
Require valid-user

Вместо “/full/path/to/” нужно прописать полный путь до файла .htpasswd от корневого каталога. Всё, админку WP не зная этого пароля больше скорее всего никто не откроет. Ну а каким должен быть пароль я уже писал.

Важная поправка: существует плагин AskApache Password Protect, делающий это автоматически.

Пункт второй. Лишаем взломщика информации. В папке с темой есть файл header.php, из которого можно удалить строчку:

<meta name=”generator” content=”WordPress <?php bloginfo(’version’); ?>” />

Но лучше всего её поправить, скажем так:

<meta name=”generator” content=”Serendipity v.1.2-beta4” />

Военная хитрость, пусть развлекаются. Глядишь, после скупки эксплойтов к Serendipity, на WordPress сил и денег не останется… Также упоминания о платформе и версии могут быть в sidebar.php и footer.php – их тоже лучше убрать.

Пункт третий. Нужно знать врага в лицо, займемся аудитом. Плагин Login LockDown запишет все неудачные попытки входа в панель управления WP (с IP и прочей информацией), и заодно заблокирует попытки брутфорса.

Пункт четвертый. Нужно ли говорить о том, что e-mail админа блога должен быть хорошо защищен и находиться под присмотром? Нужно ли говорить о том, что выходящие патчи, заплатки и обновления к WP и плагинам нужно ставить? Надеюсь, не нужно. Вы избавили свой блог от угрозы взлома процентов на 90%.

Жилинский Владимир.