Neće mene trojanci – malo sutra

Došao je i taj dan da mene smlati trojanac. Ošašavio me je ko mladog majmuna i još uvek ne znam šta se dogodilo.

Sinoć su počeli ljudi da mi prijavljuju za par sajtova da im Firefox prijavljuje da su opasni i ne dozvoljava pristup. Nisam se iznenadio, jer sam nedelju dana ranije već otkrio trojanca koji je napao četiri sajta koje administriram. Mislio sam da sam stvari doveo pod kontrolu, ali se ispostavilo da mi je nešto promaklo.

Nov, nepoznat i opasan

Trojanac koji je izvršio napad se skoro pojavio i već sam viđao slučajeve da su neki sajtovi stradali, a i pratio sam šta se sa njim dešava. U načelu nije zloćudan, više je pošast, jer napada sajtove ubacuje u njih <iframe>koji učitava kod koji napada korisnike i preko njih napada druge sajtove. I tako u krug. Ne pravi veliku štetu, i ne briše podatke. Cilj mu je samo da se širi.

S obzirom da se relativno skoro pojavio ovo je možda samo test verzija kojom se proverava tehnologija, a opasne varijante  trojanca tek slede. Ako je tako, jao nama, jer se pokazalo da mu je tehnika vrlo delotvorna.

Postoji nekoliko načina da se zarazite ovim trojancem: možete učitati zloćudan kod preko <iframe> komande na nekom sajtu koji posetite, možete zložudan kod dobiti u nekom PDF dokumentu, pa čak i preko Flash-a, a primećeno je da je za širenje trojanca korišćen i imejl. Na ovaj napad nisu otporni ni Internet Explorer, ni Firefox, ni Opera, ni Chrome, dakle nijedan od popularnih veb čitača. Retki su, ali su zabaleženi, primeri i da je ovaj trojanac instaliran direktnim napadom na sajt, obično korišćenjem nekog propusta u kodu aplikacije na sajtu. Ukratko: stavljeni ste na milost i nemilost napadaču.

Trojanac ne deluje direktno već mu je cilj da otkrije korisnička imena i lozinke što većeg broja FTP naloga. Kada je računar zaražen trojanac traži podatke o FTP nalozima u nekoliko njemu poznatih FTP programa, uzima ih i šalje vlasniku. Neke varijante čak snimaju šta kucate na tastaturi i tako dolaze do lozinki.

Kada vlasnik trojanca dobije podatke tada počinje napad: preko FTP-a ulazi u vaš sajt, i prepravlja sve indeksne datoteke (svaka datoteka čije ime počinje sa index) tako što u njih ugrađuje <iframe> komandu kojom se kod svakog posetioca sajta učitava zlonameran kod koji ga napada i tako započinje novi krug prikupljanja podataka i napada na nove sajtove.

Jedina šteta koju sajt pretrpi (pored samog širenja zaraze) je ta što neki napadači koriste loše skripte za menjanje koda pa umeju da oštete datoteke koje menjaju. To ujedno i sprečava širenje zaraze jer te datoteke postaju neispravne i ne prikazuju se u veb čitačima kako treba, pa ni trojanac ne može biti učitan.

Šta se meni desilo

U stvari ne znam kako sam zapatio trojanca. Napadnuta su mi četiri sajta. Proverom logova za svaki od njih nisam našao nikakav trag da je napad izvršen direktno, korišćenjem nekog propusta u kodu aplikacije. Štaviše, najveći napad je pretrpeo upravo sajt koji je statičan, to jest nema aplikacije koja može da ima propuste.

Logovi su pokazali da su sajtovi napadnuti preko FTP-a. Napadač je imao administratorsko korisničko ime i lozinku, ulazio je tako na sajt i menjao datoteke.

To dovodi do zaključka da je neki od računara koje koristim za administraciju zaražen. To je već bio problem jer ne koristim jedan nego više računara. Svaki sam proverio i nisam našao nikakve tragove trojanca. To sam i očekivao jer opisi trojanca koje sam našao na Internetu i kažu da ga antivirusni programi ne detektuju. Isti izvori tvrde da je jedini lek da se zaraženi računar preformatira. Nisam to učinio još uvek, jer je to ogroman posao.

Uz to, na dva računara sam i ranije nailazio na ovaj trojanac prilikom pristupa zaraženim sajtovima, jer je moj antivirusni program (Avast) upozoravao na postojanje <iframe> komande. U dobroj meri sam uveren sam da ta dva računara nisu mogla biti zaražena, bar ne kroz veb čitače (ali ostaju PDF čitač i Flash kao potencijalne metode napada koje sumnjam da bi antivirus prepoznao), a sada sam i na preostalima antivirusne programe zamenio Avast-om.

Međutim i sa tom tezom o zaraženom računaru ima problema. Naime, napadnuta su samo četiri sajta (srećom svi su moji, nijedan nije sajt nekog klijenta), a ja ih administriram desetak puta više. Štaviše, upravo u periodu napada sam administrirao neke sajtove koji uopšte nisu napadnuti. To isključuje mogućnost da sam zapatio varijatnu trojanca koja prati kucanje na tastaturi, jer bi tada upravo sajtovi kojima sam pristupao bili napadnuti – a nisu.

Dodatno me zbunjuje činjenica da je jedan od napadnutih sajtova neki kome vrlo retko pristupam i kome u stvari odavno nisam pristupao. No, to je pomoglo, jer tom sajtu pristupam samo sa jednog računara, tako da sam mogao da suzim sumnju da je samo taj zaražen (ako je zaražen) – mada i dalje ne znam kako je trojanac mogao doći do lozinke.

Uz to, stvar komplikuje to da za FTP pristup koristim jedan neuobičajen program, za koji sumnjam da je pisac trojanca uopšte i čuo, tako da nije mogao da iz njega uzima lozinke. Ako je i mogao, kako to da nije uzeo lozinke za više sajtova nego samo za ta četiri koja su napadnuta?. Ostaje mogućnost da  možda i jeste pokupio sve lozinke ali da je za početak napao četiri, a ostale ostavio za kasnije.

Sve u svemu, kako sam zaražen i kada, i na koji način je napadač došao do lozinki – ne znam.

Oporavak štete

Poporavka posledica napada se vrši vrlo lako. Prva stvar koju treba da uradite je da promenite lozinku za pristup. Primetio sam da je napadač u više navrata nanovo napadao iste sajtove. To sam primetio na sajtu koji je sporedni i retko ko mu pristupa pa i ja, tako da je on najduže ostao nesređen i izložen višestrukim napadima.

Promena lozinke trenutno rešava problem napada. Važno je da lozinku promenite sa računara za koji ste sigurni da nije zaražen, kako biste izbegli mogućnost da trojanac pokupi i novu lozinku.

Nakon promene lozinke, sa sigurnog računara pristupite FTP-om svom sajtu i zamenite napadnute datoteke rezervnim kopijama (imate ih, zar ne?).

Ako nemate rezervne kopije, onda popravku možete uraditi i ručno, samo u datotekama treba da nađete niz ‘<iframe’, utvrdite da je zlonameran tako što vidite da učitava kod nekog nepoznatog sajta, obično ruskog ili kineskog, i uklonite celu <iframe> komandu. Obavezno proverite kraj datoteke da vidite da li je ona oštećena. Ako jeste, morate ručno upisati kod koji nedostaje.

Napadnute datoteke nije teško prepoznati. Pre svega, sve imaju promenjeno vreme poslednje izmene. To vreme je u stvari vreme kada je napad izvršen. Datoteke kojima vreme nije promenjeno napadač nije dirao. Ako imate FTP log u njemu ćete čak naći i spisak datoteka kojima je napadač pristupao. Ipak, za svaki slučaj, pretražite ceo sajt i proverite svaku datoteku u kojoj postoji niz ‘<iframe’.

Obavezno proverite logove da biste mogli da utvrdite na koji način je došlo do napada. Ako niste uključili logovanje pristupa sajtu, to obavezno učinite.

Posledice

Jedina primetna posledica ovog napada je ta što, zbog napada na jedan sporedan sajt na mom najvažnijem domenu uzice.net,  Firefox sada za sve sajtove na ovom domenu prikazuje da su opasni. Čak i Google u rezultatima pretrage označava sve te sajtove kao opasne.

Domen je tako označen jer je napadnuti sajt kome ni ja, a ni drugi ne pristupamo često, ostao nekoliko dana zaražen, jer nije na vreme primećeno da je napadnut. Da sam odmah reagovao i uklonio trojanca, ovog problema ne bi bilo.

Već sam podneo zahtev da se ta oznaka ukloni i nadam se da neće sa tim previše otezati, a posetiocima preporučujem da sajtovima pristupaju Internet Explorer-om, pošto on ne pravi problem. Ko ima dobar antivirusni program ionako ne mora da brine jer će njime napad biti predupređen.

Naravoučenije

Najteže je iz svega ovoga izvesti neku pouku. Da li sam nešto naučio iz ovog događaja? Pa i nisam. Dovoljno dugo sam na Internetu da dobro znam kako treba da se ponašam, i do sada nisam imao ovakvih problema. Šta sam uradio pogrešno pa sam nagazio ovaj trojanac – ne znam, pa ne znam ni šta da promenim u svom dosadašnjem ponašanju.

Mogu samo da se zabrinem. Sada moja bezbednost više ne zavisi od mog ponašanja nego od toga koliko su programi koje koristim sigurni i koliko su njihovi nedostaci poznati napadačima. Ovaj trojanac je demostrirao ogromnu silu: koristi različite tehnike za širenje zaraze, uglavnom zasnovane na propustima u programima, što je van kontrole običnog korisnika. Čak nemamo ni mogućnost da nesiguran program zamenimo nekim drugim, jer trojanac uspešno napada sve viđenije veb čitače, PDF čitač i fleš plejer.

Zabrinjava me i to što sam negde pročpitao da autori ovog trojanca na crnom tržištu nude izradu prilagođenih verzija po porudžbini (to jest trojanac može da na zaraženim raunarima radi posao po želji naručiocai) i još daju garanciju da u naredne četiri godine trojanac neće biti moguće detektovati i omesti u širenju. To zvuči zlokobno.

Ostaje mi samo da sedim i čekam, nadajući se da neću ponovo nekako nagaziti ovog trojanca, a da čekanje prekraćujem praćenjem informacija o njemu sa željom da mu neko ipak stane na kraj.