nlothik (nlothik) wrote,
nlothik
nlothik

Интересный вирус

Третьего дня анализировал очередной бразильский вирус. Работает он изящно, по-бразильски. Вместо того, чтобы делать какие-то там сложные вещи, он тупо прописывает адрес VBS скрипта в строку автоконфигурации прокси. Обычно этот скрипт используется IT чтобы автоматически перебрасывать траффик для определённых сайтов через прокси-сервер, что полезно в гетерогенных сетях с замудрёнными комбинациями интра- и интернет-сайтов.

Тут то же самое, только скрипт пробрасывает траффик через прокси сервер для сайтов онлайн-банкинга =)

Я сначала не вкурил, зачем это такое. Ведь если зашифрованный траффик бросить через какой-то третий хост, он зашифрованным быть не перестанет. Да, можно устроить MITM, но чтобы это сработало хорошо, надо сделать много ОЧЕНЬ затратных телодвижений; люди с такими талантами не станут красть банковские пароли. А тупой, незатратный MITM засечёт браузер. Некоторые дурни, конечно, нажмут кнопочку "продолжить", но...

А потом выяснилось, что крякеры не стали заморачиваться с такой сложной схемой. Это не реальный прокси-сервер. Это тупой веб-сервер (запросы к вебсайту через прокси от обычных запросов ничем не отличаются), и они тупо подсовывают вместо банковского сайта свою копию, в первом приближении похожую на реальный сайт, а с шифрованием трафика не связываются.

Способ неплох тем, что по имени домена в браузере такой фишинг не сечётся. В строке адреса прописан домен реального веб-сайта.

Очевидно, многие ведутся.
Tags: жулики, программирование, работа, сисадминское, уголовщина
Subscribe

  • NanoVNA

    Приобрёл любительский векторный анализатор цепей NanoVNA, для довольно простой цели — оценить КСВ для различного рода самодельных антенн. Если…

  • Купить, что ли

    Автодеск всё соблазняет подписаться на Фьюжен 360 и ИглКАД за сотку в год (меньше чем 9 долларов в месяц). Взамен обещают 160 квадратных сантиметров…

  • Как пришлось помучаться

    Я тут недавно рассказывал, как страховая (кочергу им в задницу) завернула мне ласты со стимулятором костного роста. Сумму в $2 500 я платить не…

  • Post a new comment

    Error

    default userpic

    Your reply will be screened

    Your IP address will be recorded 

    When you submit the form an invisible reCAPTCHA check will be performed.
    You must follow the Privacy Policy and Google Terms of use.
  • 9 comments