Bulaşma zincirleri

Yandex, web yöneticilerinin kötü amaçlı kodu daha hızlı bulup kaldırmalarına yardımcı olmak için, kullanıcı virüs bulaşmış sayfaları görüntülediğinde kötü amaçlı kodun kullanıcı tarayıcısına yüklendiği ana bilgisayar zincirlerini gösterir.

Bu bilgi, sayfadaki hangi bloğun kötü amaçlı kod yüklediğini belirlemeye yardımcı olur.

Örneğin, zincir şu şekildeyse:

Web sitesinin kötü amaçlı kod yaymasını durdurmak için bu işlemlerden birini gerçekleştirmelisiniz:

• Web sunucusu sayfasının bir kısmını veya <script> veya <iframe> etiketini infected-2.htm sayfasına ekleyen betiği silin. Etiket, bloğu marthamio.cu.cc adresinden yükler veya siteye yönlendirir.

• marthamio.cu.cc sahiplerinden sitelerini düzeltmelerini isteyin, böylece groogle.cu.cc/?said=3333&q=facebook adresinden yüklenen bloklar yayınlamaz.

• aroymac.cu.cc/main.php?page=362ae50582a6bb40 adresinden kötü amaçlı kod yayılmasını durdurun.

Web sunucusu kötü amaçlı kodu, marthamio.cu.cc ile bloğu yükleyen bir etiket yazan veya ona yönlendiren, gizlenebilir:

• Kasten anlaşılmaz veya okunamaz hale getirilmiş. Özellikle yapısı ve girintileri olmayan, sizin tarafınızdan yazılmamış betik parçalarını arayın.

• Kodlanmış. Bu tür öğeler, anlamsız karakterler içeren satırlar içerir ve eval, base64_decode, gzuncompress, gzinflate, ob_start, str_rot13, assert, create_function, preg_replace işlevlerini kullanır.

• .htaccess yapısında ve web sunucusunun diğer yapılandırma dosyalarında, betik dili yorumlayıcısında, şablonlarda ve CMS ayarlarında gizlenmiş.

• Üçüncü taraf bir web sunucusundan dinamik olarak yüklenmiş (PHP işlevleri file_get_contents, curl_exec vb.)

Web sunucusu kötü amaçlı kodu, kaldırıldıktan sonra şu nedenlerle yeniden ortaya çıkabilir:

• Web sunucusu arka kapısı.

• Gizliliği ihlal edilmiş web sunucusu parolaları (FTP, SSH), barındırma veya CMS yönetici paneli.

• Kök parolasını değiştirerek veya gerekli haklara sahip kullanıcılar ekleyerek sunucunun siber saldırıya uğraması.

• Web yöneticisinin bilgisayarında, web sunucusunu uzaktan yönetmeye ve sayfaları web yöneticisi adına değiştirmeye izin veren bir arka kapı veya bot.

Web tarayıcısı kötü amaçlı kodu benzer yöntemlerle gizlenebilir. eval, document.write, document.location, document.URL, window.location, window.navigate yapıları, DOM’un "src" öğelerinin üzerine yazılması, <object>, <embed> etiketleriyle yüklenen nesneler, ActiveX, indirilen nesneler tarafından yapılan sayfa kodundaki değişiklikleri kullanabilir. Ayrıca uzun betikler ve gereksiz dize işlemleri, örneğin birden fazla satırı birleştirme veya yeniden atama gibi işlemleri izleyin.