>Форум Mozilla Россия
   http://forum.mozilla-russia.org/index.php
>Проблемы с сайтами
   http://forum.mozilla-russia.org/viewforum.php?id=24
>Что за скрипт прицепился к странице?
   http://forum.mozilla-russia.org/viewtopic.php?id=18508

vladmir > 12-08-2007 21:15:30

Есть один дружественный сайт. К его изготовлению-поддержанию отношения не имею, просто регулярно захожу за новостями. Вчера-позавчера ничего такого не заметил, а сегодня Симка наглухо зависла, пришлось закрывать через диспетчер. В ИЕ поведение примерно аналогичное. В конце-концов и он завис, но, хотя бы страницу загрузил полностью кроме счётчика. А Симка визуально отрубилась до полной загрузки, но продолжала качать именно с этого сервера. Такое впечатление, что бесконечно бы качалось, я отрубал после 3-х мегабайт. Завтра попробую уточнить у владельцев, но хотелось бы посоветоваться, там вебмастер не намного больше меня в скриптах разбирается :) так что выручайте.

Из кеша ИЕ выудил страницу - вот она зазапованная 65 кб:
http://forum.mozilla-russia.org/uploaded/temp-fotomuseum.nnov.zip

По виду сначала идёт код страницы, а после </BODY></HTML> начинается какой-то левый скрипт. Вот что это такое? Что за скрипт прицепился к странице? И откуда он мог взяться?

Сам сайт:
http://www.fotomuseum.nnov.ru

vladmir > 12-08-2007 21:53:41

memini
С админом сайта я завтра пообщаюсь, если он не в отпуске.

пусть чистит свой комп и обновляет пассы на всё

Думаешь нечто пробралось к нему на комп и с его компа залогинилось на сайт и подцепило эту бяку? В принципе не удивлюсь.

трой для ИЕ

Чёт он и Симку скушал за обе щеки.)

наверно

Вот хотелось бы прям конкретно.)

Баннер > 12-08-2007 22:26:15

Вот хотелось бы прям конкретно.)

File fotomuseum.nnov_3_.htm received on 08.12.2007 20:15:27 (CET)
Current status: finished
Result: 10/32 (31.25%)
Compact
Print results  Antivirus    Version    Last Update    Result
AhnLab-V3    2007.8.9.2    2007.08.10    -
AntiVir    7.4.0.60    2007.08.12    HTML/Crypted.Gen
Authentium    4.93.8    2007.08.11    -
Avast    4.7.1029.0    2007.08.12    -
AVG    7.5.0.476    2007.08.12    JS/Psyme
BitDefender    7.2    2007.08.12    -
CAT-QuickHeal    9.00    2007.08.11    -
ClamAV    0.91    2007.08.12    JS.Dropper-9
DrWeb    4.33    2007.08.12    -
eSafe    7.0.15.0    2007.08.10    -
eTrust-Vet    31.1.5050    2007.08.11    -
Ewido    4.0    2007.08.12    -
FileAdvisor    1    2007.08.12    -
Fortinet    2.91.0.0    2007.08.12    JS/DecDec.A!tr
F-Prot    4.3.2.48    2007.08.10    -
F-Secure    6.70.13030.0    2007.08.12    Trojan-Clicker.JS.Agent.h
Ikarus    T3.1.1.12    2007.08.12    Trojan.HTML.Cored.A
Kaspersky    4.0.2.24    2007.08.12    Trojan-Clicker.JS.Agent.h
McAfee    5095    2007.08.10    -
Microsoft    1.2704    2007.08.12    Virus:JS/Decdec.A
NOD32v2    2453    2007.08.12    -
Norman    5.80.02    2007.08.10    -
Panda    9.0.0.4    2007.08.12    -
Prevx1    V2    2007.08.12    -
Rising    19.35.62.00    2007.08.12    -
Sophos    4.20.0    2007.08.12    Troj/Decdec-A
Sunbelt    2.2.907.0    2007.08.11    -
Symantec    10    2007.08.12    -
TheHacker    6.1.7.167    2007.08.12    -
VBA32    3.12.2.2    2007.08.11    -
VirusBuster    4.3.26:9    2007.08.12    -
Webwasher-Gateway    6.0.1    2007.08.12    Script.Crypted.Gen
Additional information
File size: 349609 bytes
MD5: eadbb0800e65979a69c3d3ff060a61c0
SHA1: 7345b655a993e0b9f2d67947482599a4cdcb2189
http://www.virustotal.com/

vladmir > 13-08-2007 08:57:10

Баннер
Спасибо, наглядно.-)

Баннер > 13-08-2007 18:52:50

Чёт он и Симку скушал за обе щеки.)

На этой странице 400 с лишним скриптов.
Всякому тяжко будет. :)

Это еще цветочки, симанка бы максимум что - вылетела через некоторое время

В данном случае - именно так.
Но уже продаются пакеты под гекку с некоторыми старыми эксплойтами.
Т.е. спрос появился.