39 ответов в этой теме

[Antowe4ka]

Ладно, тему можно закрывать. Вывод сделан следующий: Авира Дохтору не конкурент. :-)

[v.martyanov]

Хм... Точно фигня какая-то! :-)

[Konstantin Yudin]

а чего там эксперементировать. у авиры есть генерик запись, на строки такого вида:



именно это и есть на haltec.ru сейчас. т.е. скрытый ифрайм с тайной подгрузкой левой страницы, дальше она не смотрит грузится там реально вирус или нет, не важно, им лишь бы задетектить подозрительную страницу. на самом деле у честного сайта вот такого вот кода быть не должно, так что тут мнение на счет авиры двоякое, с одной стороны вируса то и нет впринципе, но его следы остались, а может и ложняк, судя по коду какой то счетчик грузится.

--
With best regards, Konstantin Yudin
TestLab, Doctor Web, Ltd.

[v.martyanov]

Ну я бы сказал, что неверный это подход. Либо со стороны рекламщегов, либо со стороны авиры. Скорее и тех и других.

[Borka]

Ну я бы сказал, что неверный это подход.

Почему? Разве на честных страницах такое есть?

---
С уважением,
Borka.

[v.martyanov]

Да, вот как раз пример добавления счетчика таким способом. Рекламщики, гады, и обфускацию применяют...

[Borka]

Вот и давить их!

---
С уважением,
Borka.

[ILNARus]

так делают, чтобы резалки всякие не работали...

[Borka]

Вот потому и давить их вдвойне. :)

---
С уважением,
Borka.

[v.martyanov]

Но говорить о вирусе не надо :-)

[Borka]

Не знаю, не знаю... Если честных ифреймов такого плана нет, то... ? ;)

---
С уважением,
Borka.

[Konstantin Yudin]

Да, вот как раз пример добавления счетчика таким способом.

а вот нифига не счетчик, реально выходим в итоге через еще один iframe на горячо любимый yo..rtraff.biz, правда там уже ничего не раздают.

--
With best regards, Konstantin Yudin
TestLab, Doctor Web, Ltd.

[v.martyanov]

Нужен анализ документа, который будет загружен для определения вредоносности данной страницы :-(

[Borka]

а вот нифига не счетчик

Как это? counter.php! :)

---
С уважением,
Borka.

[Borka]

Думаю, поэтому и детектят такие ифреймы как trojan.downloader...

---
С уважением,
Borka.

[v.martyanov]

Я бы сказал, что Trojan.Click - перенаправляет пользователя, типа. Но без обфускации это - не вирус, детектитсо должно то, что будет нести "боевую часть". Но это все мечты :-)

[Konstantin Yudin]

Как это? counter.php! :)

а в код смотрели его ;) там iframe на бизз

--
With best regards, Konstantin Yudin
TestLab, Doctor Web, Ltd.

[Konstantin Yudin]

я думаю в эвристик гейта можно такой детект запихнуть, в паронаидальном режим каком нить.

--
With best regards, Konstantin Yudin
TestLab, Doctor Web, Ltd.

[v.martyanov]

Ну разве что так :-) Но со скриптами проблемы есть... Я сейчас на коленке дома пытаюсь что-то сделать, но не факт что выйдет и выйдет как надо :-)

[Borka]

а в код смотрели его ;) там iframe на бизз

Ага, видел. :)

---
С уважением,
Borka.