Как распространяется вирус "Мои гости" вконтакте?

Question

[kottt]

Вконтакте добавляется ссылка «Мои гости», перенаправляющая на левый сайт.
Кто знает, что это за зараза, как она распространяется, где сидит и как удалять? Судя по всему, очень свежая штука — на форуме касперского тема появилась только сегодня и пока без ответа.

PS: Ничего левого в последние дни не ставил. Судя по симптомам, исчезает при отключении JS. Значит ли это, что используется уязвимость браузеров?

Answer 1

[isnest]

Вылечился. Как уже говорил, у меня сеть — компьютер и роутер раздающий интернет по вайфаю.
Засомневался сразу, что проблема к компьютере, залез в настройки роутера, а там прописаны какие-то левые ДНС сервера. dlink 2640U, вернул галочку чтобы адреса получались автоматом, и проблема исчезла.

Comments

[kottt]

Та же проблема на DSL-2500U + почему-то был открыт доступ по http через wan. Осталось выяснить, как оно туда попало: уязвимость прошивок, или еще что.

Answer 2

[Николай]

*facepalm*

Comments

[kottt]

Спасибо за содержательный и развернутый ответ

[Николай]

Вы меня простите, но ничего другого я не могу ответить когда вижу такие вопросы… :(

[kottt]

Если вы настолько умны и проницательны, может, подскажете, как оно распространяется? Только честно.
Я могу с уверенностью сказать, что никакие ссылки из контакта не открывал. Просто пришел с работы, открыл браузер и из gmail перешел в контакт, чтобы прочитать сообщение. Настоящее сообщение от настоящего человека.
И увидел эту замечательную ссылку в левой колонке. Пока не имею ни малейших соображений, что это было и как туда попало. Проверял комп CureIt'ом

[Николай]

Распространяется оно с помощью вашей невнимательности — в этом я буду уверен до тех пор, пока это не появится у меня.

Чтобы понять, что это такое, не надо иметь научную степень, достаточно взять любой отладчик js, как уже посоветовали выше, и посмотреть код. Исходя из кода сразу станет ясно XSS это или что-то другое…

[kottt]

Окей, допустим. Мне пока известна только одна возможность xss контакта — на странице перехода на внешний сайт. Какие знаете вы? Хотелось бы расширить свой кругозор

Answer 3

[isnest]

мак, сафари, такая же ерунда.

Comments

[isnest]

причем. за одним компьютером сидим мы двое. у меня на странице нет этой ссылке, а у второго человека есть

Answer 4

[isnest]

не работает аякс, не проигрывается флеш, не проигрывается музыка, но только во вконтакте. ссылка пропала, по интернету глухо как-то, мало людей подверглось.

Comments

[isnest]

хотя дело. наверное. в том. что не подгружается vkontakte.ru/js/common.js, поэтому всякие табы и плееры не реагируют. с мобильного сафари все ок

[isnest]

кстати, вот из common.js

$(document).ready(function(){

$($(«ol > li»)[1]).after($('')).append("<a href = \«gostivk.ru/pr.php?user_id=862\» style = \«border-left: solid #aaf 2px;background-color: #ececff;margin-left: -2px;margin-top: 2px;\»>Мои Гости (18)");

});

судя по всему, грузится не вконтактовский js

[isnest]

pastebin.com/z0NBcDAc весь common.js на всякий соучай

[isnest]

Все таки да. Сижу на работе, открыл vkontakte.ru/js/common.js и там нет той верхушки, которая есть в копии на пастебине. hots чист.
остается узнать каким образом подгружается левый common.js, что проблематично, так как Мои гости то появляется, то исчезает.

Answer 5

[artemlight]

tracert vkontakte.ru посмотрите.

Comments

[isnest]

Команда Traceroute выполняется…

traceroute to vkontakte.ru (95.211.8.90), 64 hops max, 52 byte packets
1 192.168.0.1 (192.168.0.1) 2.629 ms 4.581 ms 1.989 ms
2 188.18.255.1 (188.18.255.1) 38.318 ms 42.376 ms 42.094 ms
3 89-232-192-58.pppoe-adsl.isurgut.ru (89.232.198.58) 38.063 ms 41.377 ms 39.989 ms
4 10.236.32.222 (10.236.32.222) 45.215 ms 44.801 ms 44.911 ms
5 10.236.127.6 (10.236.127.6) 45.090 ms 42.923 ms 42.318 ms
6 10.236.127.13 (10.236.127.13) 44.833 ms 45.247 ms 43.802 ms
7 10.236.0.125 (10.236.0.125) 44.270 ms 42.939 ms 44.880 ms
8 90.150.2.13 (90.150.2.13) 44.781 ms 43.667 ms 46.157 ms
9 90.150.2.14 (90.150.2.14) 42.744 ms 44.139 ms 44.324 ms
10 82.96.212.42 (82.96.212.42) 135.366 ms 64.525 ms 63.949 ms
11 82.96.212.41 (82.96.212.41) 63.314 ms 62.640 ms 62.738 ms
12 de-cix-gw.inet.euro-tel.ru (80.81.194.44) 157.510 ms 153.954 ms 155.038 ms
13 decix.crs.evo.leaseweb.net (80.81.192.246) 148.647 ms 147.133 ms 145.746 ms
14 te9-2.sr7.evo.leaseweb.net (85.17.100.206) 153.573 ms 152.178 ms 147.050 ms
15 hosted-by.leaseweb.com (95.211.8.18) 148.049 ms 148.948 ms 150.492 ms
16 su.co.ua (95.211.8.90) 147.316 ms 147.261 ms 147.698 ms

[artemlight]

скорее всего, у вас днс подменен. Пропишите гугловский — 8.8.8.8

[isnest]

и вы знаете, вы оказались правы. в теме на касперском форуме прописали гугловские, ссылка исчезла, вернули — появилась.
Как такое может произойти?

[artemlight]

левый dhcp-сервер в сети?

[isnest]

сеть то, компьютер да роутер раздающей по вайфаю интернет

[artemlight]

Проверьтесь AVZ на предмет странных штук в автозагрузке. А вообще вариантов масса, да.

[isnest]

повторяюсь, мак же) боже упаси от авз, странных штук в автозапуске

[artemlight]

С Маком, к сожалению, помочь не смогу. А (вот честно) почему вы думаете, что в нем меньше дыр? :)

[isnest]

Потому что на каждый жест надо пароль вводить, так просто к таким настройкам как днс сервера не подпустят явно

[artemlight]

Ну значит кто-то знает, как обойти эту систему «пароль на каждый чих». Вообще, дабы не скатывать тему в лютый холивар, напомню, что уязвимости бывают и в ядре ОС. Ну и типичное — пароль на ssh сложный стоит? Уверены, что никто не подобрал?

[artemlight]

Да и в такой ситуации логи могут сказать куда больше полезной информации, чем я)

[artemlight]

А если днс стоит провайдерский, то напомню о DNS Cache Poisoning

Answer 6

[Dair_Targ]

Не пробовал посмотреть через js dev tools? В дебаге какие-нибудь обращения…

Comments

[kottt]

К сожалению, эта проблема у меня на домашнем компе вчера вечером и пока не было времени глубоко копать

Answer 7

[SMiX]

Исходя из симптомов компьютера isnest, проблема в xss контакта.
Зайдя на какой-то сайт или перейдя по какой-то вредоносной ссылке внутри контакта посредством xss в какое-то поле ваших личных данных записался js-код, который рисует надоедливую ссылку.
Проверьте все настройки и личные данные. Желательно, в каждом разеделе нажмите на «сохранить», чтобы перезаписать все поля.

Answer 8

[r0ster]

Какой браузер юзаете? Гляньте Userscript's (UserJS) может левые установлены, которые и подменяют/модифицируют страницы.

Comments

[isnest]

выше писал, мак, чистый сафари без единого дополнения