Верно ли, что занести на свой компьютер вирус невозможно при серфинге по сомнительным сайтам?

Question

[Алексей Николаев]

Доброго вечера.
Оставив в стороне click-jacking и прочие подобные вещи (против которых антивирус в любом случае бесполезен), верно ли, что заразить компьютер простого пользователя (который ничего не скачивает, либо скачивает, но не запускает), к примеру, порно-баннером, через Web невозможно в принципе?

Насколько я могу судить, в js нет возможности так сделать, да и любые встраиваемые приложения жестко ограничены политиками безопасности браузера (о дырах в плагинах я знаю, но имеется в виду приложение без дыр, либо с неизвестными пока уязвимостями, плюс плагины типа java или flash можно просто не использовать). Но может, есть способы атаки на юзеров, которых я пока не знаю?

Заранее спасибо.

Comments

[Евгений Шатунов]

Алексей Николаев , очень странный вопрос.

https://support.apple.com/ru-ru/HT207275
https://support.apple.com/ru-ru/HT207270
https://support.apple.com/ru-ru/HT207269

Воздействие. Просмотр вредоносного файла JPEG могла привести к выполнению произвольного кода.

Как ни странно, такие дырки в libjpg находятся все время.

https://support.apple.com/ru-ru/HT206167
Но не только в libjpg... В libpng так же все время находятся интересные места.

А дальше еще интереснее...

https://xakep.ru/2016/11/22/locky-svg/
https://xakep.ru/2016/01/04/ransom32/

https://exploit.in/2016/11105/

И это еще только картинки. Простые картинки, Карл! Впереди еще непаханное поле самых прекрасных технологий доставки вредоносов самыми мирными путями.
Дальше продолжать? :)

Answer 1

[Александр Аксентьев]

Верно ли, что занести на свой компьютер вирус невозможно при серфинге по сомнительным сайтам?

возможно.

Один из вариантов т.н. "связки".
Как правило их сдают в аренду за некоторое количество тысяч долларов.
У них есть набор браузеров которые они "пробивают".
Пробив - установка/запуск вредоносного кода на компьютере жертвы.

Суть связки - набор эксплоитов для обхода всевозможных систем безопасности и окружения браузера т.е. с помощью разных дыр пролезают в систему. Естественно все это делается автоматически и дыры используются в зависимости от браузера в котором загрузился сайт с кодом вредоносным.
В хроме например через дыру флеш плеера загрузится.
В IE через дыру в JAVA
и т.д.

Последний раз видел в продаже за 3-5к долларов. Точнее аренда на 1-3 месяца вроде была.
По описанию пробивало все последние версии браузеров на тот момент - около года назад.

Скорее всего и сейчас есть подобные вещи, и никуда не исчезнут.
Но найти тяжело, скорее всего только в торе и ему подобных.

Answer 2

[CityCat4]

Верно, но при ооооочень большом списке оговорок.

- Это Firefox
- В нем установлены AdBlock, NoScript, BetterPrivacy, Blur и еще все какие-только-можно-придумать плагины
- Пользователь не лезет в настройки. Вообще.
- Пользователь не ставит плагинов, не меняет тем, вообще ничего не делает с браузером, только закладки сохраняет
- Пользователь внимательно читает то, что ему показывают и при малейшем подозрении зовет админа или более продвинутого пользователя

И то, стопроцентной гарантии я бы не дал.

Answer 3

[АртемЪ]

Верно ли, что занести на свой компьютер вирус невозможно при серфинге по сомнительным сайтам?

Не верно.
Браузер это целый комбайн использующий кучу технологий всякие JS, флеши, и прочие довольно активные вещи.
И в этих вещах время от времени находятся дыры. И их время от времени эксплуатируют.

а и любые встраиваемые приложения жестко ограничены политиками безопасности браузера

А ограничения настраиваются, и пользователь может их отключить зачастую. К тому же множество пользователей использует устаревший софт, который давно не обновлялся.
Поэтому была бы уязвимость, а клиент с ней найдется.

который ничего не скачивает, либо скачивает, но не запускает

Человек не робот, даже человек прекрасно знающий угрозы подвержен манипулированию средствами социальной инженерии.
А среднестатистическому пользователю достаточно вывести всплывающее окошко, где будет сообщаться что его компьютер заражен вирусами, и показать список зараженных файлов, после чего предложить скачать антивирус.
И многие скачают. Не все конечно, но тут и не требуется чтобы все.

Comments

[Алексей Николаев]

Я имел в виду того, который знает, что торренты не бывают с расширением .exe) Думаю удалить антивирус, т.к. кроме кейгенов он ничего за три года не нашел, вот и интересно, снизится ли потенциальная уязвимость системы без антивируса, при условии, что пользователь ни на что не нажимает.

[entermix]

Алексей Николаев: а у Вас такое-же отношение к страхованию в медицине, например?

[АртемЪ]

Алексей Николаев: Я знаю что торренты не бывают с расширением exe.
Но я человек, а следовательно я регулярно совершаю ошибки, от усталости, невнимательности, излишней спешки, да мало ли причин.
Поэтому вполне допускаю что могу и запустить этот вот exe.

По поводу антивирусов - я последнее время у себя чаще всего использую штатный виндовый антивирус.
Базовую защиту обеспечивает, потребление ресурсов минимальное, и не раздражает лишними сообщениями, сидит тихо и работу делает.
Что до остального - от уничтожения информации помогают бэкапы.
Проще бэкапить, и восстановиться в случае если уж поймал, чем постоянно испытывать неудобства от излишне навороченной защиты.
От утечки информации помогает аккуратная работа с такой информацией, благо такой информации не очень то и много.

[HeadR]

Алексей Николаев: Вы не удаляйте, а отключите просто. И иногда сканируйте для очистки совести.
Хотя некоторые (например Emsisoft) в режиме "выключен" продолжают отслеживать файлы и удаляют угрозы _без_предупреждения_, и за непосильным трудом накопленными кейгенами приходится лезть в карантин, а затем с матами выгружать антивирус из памяти.
ЗЫ Надеюсь, что вы не только про виды расширений знаете, а и про принципы работы файловой системы, возможные сценарии заражения и прочее. То есть по простому - когда вы кликаете на ссылку - вы должны отдавать себе отчёт в том, что сейчас произойдёт (откроется новая закладка, откроется файл, файл сохранится в папку по умолчанию, или браузер спросит куда его приткнуть). Если четкого понимания нету - включите антивирус и не нарывайтесь.

Answer 4

[Rou1997]

либо с неизвестными пока уязвимостями

Что значит "неизвестными"? Какой вообще смысл имеет это слово, если мы говорим о реверс-инженерах, а первыми об уязвимостях зачастую узнают они?

плюс плагины типа java или flash можно просто не использовать

Но на JavaScript с обилием API тоже нельзя полагаться, в его реализациях в разных браузерах могут быть уязвимости и "баги", вероятность стремится к 0 но не 0, я открывал crashchrome.com полгода назад, сейчас открыл в одной из новейших версий и он все еще работает.

Если это вирус а не троян, то кроссбраузерность ему не нужна.
Но я сейчас работаю именно над трояном, возможность заражения файлов не планируется так как на Android с этим само собой сложно, однако по словам заказчика данный троян устанавливается именно через remote code execution и этого будет достаточно для его популярности, то есть на Android эту уязвимость закрыли достаточно поздно.

Comments

[Алексей Николаев]

С неизвестными всем, кроме хакеров. Зачастую об уязвимости узнают (или вспоминают про нее) уже после нескольких атак.

У вас суть задачи в заражении через приложение, либо через web непосредственно (без установки приложения)?

[Алексей Николаев]

Это я к тому, что на JS даже сохранить данные было проблематично до появления web db local storage и прочих, не говоря уже про проникновение на более низкий уровень.

Ничего страшного, если браузер упадет, суть скорее в том, чтобы после перезагрузки системы не появилось проблем в самой системе.

[Rou1997]

Алексей Николаев: У вас суть задачи в заражении через приложение, либо через web непосредственно (без установки приложения)?
Моя работа это уже создание самого трояна, заражение они уже реализовали, как именно реализовали пока не интересовался, как-то неуместно интересоваться такой информацией пока мало что сделано по моей задаче.
Но раз речь идет о remote code execution, значит заражение через браузер, они ссылку дают, пользователь ее открывает.

Ничего страшного, если браузер упадет

Но за полгода могли бы уже исправить, а не исправили.

Answer 5

[Александр Таратин]

о дырах в плагинах я знаю, но имеется в виду приложение без дыр

https://www.mozilla.org/en-US/security/advisories/

Comments

[Алексей Николаев]

Тогда вопрос скорее такой - как на JS установить пользователю Яндекс.Бар без его ведома в Firefox 40?)))

[Александр Таратин]

Алексей Николаев:
В подробностях описания багов есть ссылки на bugzilla - на некоторых можно найти примеры эксплоитов.

Первый пример, не совсем Яндекс бар, но
https://bugzilla.mozilla.org/show_bug.cgi?id=1321066
Смотреть ссылку
0-day sample -- BE CAREFUL, MAY NOT BE FULLY DE-FANGED

[Алексей Николаев]

Александр Таратин: благодарю, интересно.

Answer 6

[Pavkhv]

коротко - НЕТ.
Дыры в самих браузерах находят и закрывают регулярно. И время между моментом, когда кто-то эту "дыру" найдет и моментом, когда ёё же "закроют", может исчисляться ГОДАМИ. Впрочем, как и в прочих приложениях.