Virus hyökkäyksiä

[passivemonkey]

Itse sain koneelleni tuon Antivir mainoksen ja kävi niinkuin monelle muullekin. Jumankauta että se on vaikee poistaa koneelta(en ole vieläkään onnistunut). Sitä ei löydy koneelta mistään, mutta kyllä se vaan koneella on koska osaa muistuttaa olemassa olostaan suunnilleen kerran päivässä. Kaveri osaa naamioitua aika hienosti.. . Itselläni on Firefox, joten selaimesta se ei ole kiinni.

[jtv]

Tuossahan ne viruksen poisto-ohjeet on jonkin verran ylempänä ihan linkitettynä.

No jos on 12 vuotta käyttänyt IE:tä ja nyt tulee ensimmäinen haittaohjelmaongelma niin onhan se valtava vikatiheys. Hymiö!

Yhtä lailla voisi sanoa omaa automalliaan täysin viattomaksi, koska siihen ei ole tarvinnut tehdä koko omistusaikana yhtään huoltoa.

[Pee]

Itse sain koneelleni tuon Antivir mainoksen ja kävi niinkuin monelle muullekin. Jumankauta että se on vaikee poistaa koneelta(en ole vieläkään onnistunut). Sitä ei löydy koneelta mistään, mutta kyllä se vaan koneella on koska osaa muistuttaa olemassa olostaan suunnilleen kerran päivässä. Kaveri osaa naamioitua aika hienosti.. . Itselläni on Firefox, joten selaimesta se ei ole kiinni.

Itse ohjelma kyllä lähti pois, kun kävi sammuttamassa tehtävienhallinnasta ohjelman aktiivisen exe-tiedoston, jolloin resurssienhallinta antoi poistaa Program files -kansioon syntyneen AV-kansion. Mutta koneeseen jäi vielä jotain rippeitä, koska selaimeen tulee suunnilleen jotain aamulehti.fiä avatessa varoitus "vaarallisesta sivustosta" ja kehotus päivittää AV.

Explorerinvihaajille on tietysti harmillinen takaisku kuulla, että AV-sotku syntyy myös Firefoxiin

[Aake]

Itsellä on nyt 3 päivän sisällä tullut kaksi kertaa toi virus ilmoitus täällä keskusteluissa olessani. Ensimmäisellä kerralla kannetavan tietokoneen kanssa ja juuri äskön pöytäkoneella. Molemmissa mozilla firefox selaimena. Missään muualla netin ihmeellisessä maailmassa en ole moiseen törmännyt. Eli todennäköisesti se täältä keskusteluista pompaa koneelle. Ärsyttävä "vaiva". Joutuu varmaan ruveta vältteleen palstan selailua jos rupee jatkuvasti hyppiin silmille täällä moiset.

[jtv]

Explorerinvihaajille on tietysti harmillinen takaisku kuulla, että AV-sotku syntyy myös Firefoxiin

Jos käyttäjä itse on mennyt netistä asentamaan tuon malwaren koneelleen selainta käskyttämään, niin ei sitä mikään selain siinä vaiheessa pysty pysäyttämään. Tuo pitää ujuttaa joko jotain selaimen tietoturvareikää pitkin koneelle asentumaan tai sitten käyttäjän pitää itse asentaa se. Jälkimmäiseen ns. "stupid user erroriin" ei selainvalinta vaikuta yhtään, mutta se on se olennainen juttu ensimmäiseen ongelmaan pysäyttämiseen. Tietysti tuon virhetilaston perusteella selainten turvallisuusjärjestyksen asettamista voidaan pitää "jonkun selaimen vihaamissena", mutta minusta se on vain oman tietoturvan parantamista.

[Ljpp]

Itsellä on nyt 3 päivän sisällä tullut kaksi kertaa toi virus ilmoitus täällä keskusteluissa olessani. Ensimmäisellä kerralla kannetavan tietokoneen kanssa ja juuri äskön pöytäkoneella.

Tätä palstaa selailee päivittäin sadat käyttäjät, generoiden tuhansia-kymmeniä tuhansia sivunlatauksia vuorokaudessa. Mode-tiimi ja muut aktiivisimmat käyttäjät ovat palstalla päivittäin. Ei ole mitään konkreettista näyttöä siitä tartunta olisi tullut tältä palstalta, ja itse en ole kertaakaan kys. ongelmaan törmännyt.

Mitä tuosta aiheesta olen lueskellut, niin ilmeisesti siinä vaiheessa kun anti-virus varoituksia alkaa tulemaan, on haittaohjelma jo koneessasi ja manipuloi webbiselaitasi. Ongelma on olemassa niin Firefoxilla kuin IE:lläkin.

[Hakkuri]

Itsekin sain kyseisen "viruksen" eilisiltana tappara.infoa käyttäessäni. Mainoshyökkäys käynnistyi samalla sekunnilla kun klikkasin äänen yhden keskustelulangan yhteydessä olevassa äänestyksessä.

Ja sitten olikin näyttö täynnä uskottavan näköistä virusvaroitusta, kuinka koneessa muka on satoja troijalaisia, ja asiasta pääsee eroon maksamalla AV-antivirusohjelman käyttöoikeuden. Kaksi tuntia meni taistellessa ohjelmaa pois koneelta, kun sen voi tuhota vain katkaisemalla ensin ohjelman aktiivisuuden tehtävienhallinnasta.

Aivan saman ehdin itsekin kokea muutamia päiviä sitten: koneella "satoja troijalaisia" jne. Ehdin jo pelästyä! Tuo Antivir-ohjelma löytyi XP:ssä sieltä litaniasta "Käynnistä -> Kaikki ohjelmat". Olisko ollut ihan oma AV-hakemistokin. Mutta siellä oli myös kyseisen riesaohjelman "uninstall", joka ei tietenkään aluksi poistanut ko. ohjelmaa. Paitsi sitten kun pääsin kiinni ohjelman asetuksiin ja tein ohjelman poistamisen mahdolliseksi. Siellä kun oli valmiina rasti ruudussa, joka merkkasi suunnilleen sitä että "Antivir puolusta itseäsi"...  Olipa muuten ikävän tehokasta "markkinointia"! 

[kyynaama]

Myös toisella samaa softaa käyttävällä palstalla pukkaa jatkuvasti viirusta f-securen mukaan!
Spybotilla ja tuolla torjunnalla on onneksi saanut napsittua sitten pois!
Syyhyn en osaa ottaa kantaa.

[jtv]

Jos noita feikkivirusskannereita pomppii näytöllä, niin silloin oma kone on saastunut ja se pitää puhdistaa läpikotaisin. Ilmeisesti tuolla tapaa automaattisesti sitä ei saa kokonaan poistettua, vaan se pitää tehdä käsin.

Jos foorumi olisi saastunut, silloin jokainen käyttäjä saisi noita ilmoituksia. Nythän ei näin ole. Tuo virus ilmeisesti tykkää aktivoitua vain foorumeita selaillessa, eli paikoissa, joissa "todennäköisesti löytyy viruksia".

[iceman]

Vääriä hälytyksiä liikkeellä eilen mm. F-Securella:

http://www.taloussanomat.fi/tekniikka/2010/01/26/f-secure-pyytaa-anteeksi/20101217/133

[Ljpp]

Tässä on hyvä ja teknisempi selvitys FAKEAV -viruksesta ja kuinka se toimii:

http://us.trendmicro.com/imperia/md/content/us/trendwatch/researchandanalysis/010410_-_web_threat_spotlight_54_-_sites_compromised_by_malicious_javascript_lead_to_fakeav.pdf

Yhteenvetona lyhyesti:
1) Haittasivusto syöttää käyttäjän selaimelle pätkän JavaScriptiä - tässä vaiheessa käyttäjä ei huomaa vielä mitään, ellei anti-virus (oikea sellainen) ole antanut varoitusta.
2) Haittallinen JavaScript pyörii selaimella taustalla, eikä aiheuta mitään näkyvää - kunnes käyttäjä osuu jollekin ennalta määritellyistä sivuista. Tässä kohtaa SMF keskusteluforum astuu mukaan. Virus tunnistanee että käyttäjä selaa SMF palstaa (tai muuta sopivaksi katsottua sivua) ja käynnistää aiheettoman "Anti Virus"-hälytyksen.

Tämän logiikan tarkoituksena on lisätä ilmoituksen uskottavuutta, jottei käyttäjä heti oivalla kyseessä olevan huijaus. Vähän kankea/karkea Suomennos, lukekaa linkin raportista lisää.

Edelleen käsityksemme on että serverillämme tätä haittaohjelmaa ei ole. Olemme ajaneet viimeisimmät päivitykset niin SMF:ään, kuin serveriinkin, sekä skannanneet purkin anti-virus ohjelmalla. Edelleen on mahdollistä että huijarit ovat onnistuneet ujuttamaan haittakoodinsa mainokseen joka on jonkun käyttämämme mainosverkoston rotaatiossa -- tällä tempulla on onnistuttu ajamaan haittakoodia jopa NYTimes.com:ssa. Olen lähettänyt aiheesta tiedustelun palstalla käytetyille mainosverkoille.

Havaintojen vähyys vs. käyttäjien määrä kuitenkin puoltaa sitä, että käyttäjän kone on saastunut ennen palstalle tuloa ja ainoastaan SMF palstalle saapunen sattuu aiheuttamaan haittaohjelman käynnistymisen, koska se on suunniteltu toimimaan niin. SMF on luonnollinen kohde haittaohjelmalle, koska se on yksi maailman suosituimmista keskustelupalstaohjelmistoista - luultavasti foorumit sopivat hyvin myös haittaohjelman psykologiseen malliin, sillä keskustelupalstoilla on yleensä joukko uskollisia vakikävijöitä, kuten täälläkin.

Ylläpito ja mode-tiimi tarkkailee tilannetta ja suhtautuu siihen täydellä vakavuudella.

[Vänrikki Koskela]

Pelaajat-osiossa tuollainen valeikkuna ilmestyi, tosin ei suostunut avautumaan koska palomuuri varoitti.
Kyllä nyt näyttää siltä että palstanne on saastunut. 

[Ljpp]

Kyllä nyt näyttää siltä että palstanne on saastunut.  

Ei näytä. Teoriassa on mahdollista että mainosverkko on saastunut - olemme olleet yhteydessä sinnepäin ja selvittävät asiaa omalta puoleltaan. Ostin tästä tilanteesta johtuen ja muutenkin olen kahlaillut palstaa ahkerasti joka päivä, eikä ole näkynyt fake-antiviruksia täällä päin.

Ja jos luet ylläolevat, niin haittaohjelma toimii nimenomaan niin että se suorittaa toimintonsa viivästetysti, käyttäjän saavuttua tarkoitukseen hyväksi katsotulle sivustolle (tässä tapauksessa SMF-pohjainen foorumi). Eli olet hyvinkin voinut saada esi-tartunnan toisaalla ja se ilmenee vasta saavuttuasi tänne. Hyvä että suojauksesi olivat ajantasalla.

[Pee]

2) Älä käytä Internet Exploreria[/b]
   - Asenna Firefox tai Google Chrome selaimeksi.
   - Tätä ohjetta ei voi liikaa korostaa

"Firefox-lisäosat saastuttivat tuhansia tietokoneita"
http://www.iltasanomat.fi/uutiset/kotimaa/uutinen.asp?id=1916118
http://www.tietokone.fi/uutiset/firefox_lisaosat_saastuttivat_tuhansia_tietokoneita