Клиенты Valuehost раздают троянцев

По утверждению «Лаборатории Касперского», заражению подверглось как минимум 470 серверов, среди которых оказался и портал www.5757.ru. Один из пользователей, отправившийся на зараженный сайт после просмотра телевизионной рекламы, заметил подозрительное поведение браузера. Выяснилось, что при посещении зараженных сайтов начинается скачивание троянской программы Trojan-Downloader.JS.Psyme.ct, она в свою очередь запускает целую вирусную цепочку.

«Обычно подобное заражение включает в себя цепочку из нескольких троянцев-загрузчиков, эксплуатирующих уязвимости Internet Explorer, которые, в конце концов, загружают и запускают реального троянца – для воровства конфиденциальной информации, либо организации бот-нета», - прокомментировал Тимур Цориев, менеджер по корпоративным коммуникациям и PR «Лаборатории Касперского». Полной информацией о данной цепочке компания не располагает, потому что анализ был ограничен первыми двумя вредоносными программами. По его словам, при заражении некоторых из виртуальных серверов Valuehost произошла ошибка, однако на большинстве из них троянец вполне работоспособен и опасен для посетителей.

Летом этого года компания Valuehost «засветилась» в громком скандале, касавшемся блокирования уже оплаченных доменов. Речь шла тогда о своеобразной борьбе с инакомыслием среди клиентов: те из них, кто посмел открыто выразить свое недовольство качеством обслуживания, на время лишились своих сайтов. Гораздо более серьезные последствия может иметь другая история – в конце октября в ряде интернет-магазинов появилась клиентская база Valuehost, выставленная на продажу всего за 300 долларов. Тогда компания никак не прокомментировала эту информацию, заявив, что инициирует собственное расследование. Результаты его так и не известны, а между тем, информация о 15 тысячах клиентов, вполне возможно, активно используется злоумышленниками.

Предположение о возможной связи между заражением серверов и кражей базы клиентов Valuehost  было высказано и сотрудниками «Лаборатории Касперского». Впрочем, такие случаи не являются редкостью. Так, источником «интернет-заразы» побывал портал Nalog.ru, в сентябре этого года троянцами делился top.rbc.ru.

Представители зараженного провайдера никак не прокомментировали случившееся. Их коллеги из других хостинговых компаний считают, что вина Valuehost вовсе не так уж очевидна. «Огромное количество «дыр» в самописных движках сайтов позволяют получать доступ и выкладывать данные, в том числе вредоносные. И провайдер ничего не может с этим сделать, с точки зрения хостинга приложение работает нормально. Зачастую пользователь сам дает возможность размещать информацию посетителям своего сайта, например, свободно обмениваться любыми файлами», - прокомментировал Максим Захаренко, представляющий Parking.Ru. Эту же версию поддерживает и Валерия Дроздова, PR-менеджер компании PeterHost.ru: «Взлом производится не через уязвимость серверов, а через скрипты, которыми пользуются. Пользователей у хостинг-компаний много, а чем больше пользователей, тем выше вероятность взломов. Скорее всего, хостинг-провайдер не виноват. Виноваты пользователи, использующие непроверенные программы». По ее словам, 90% подобных взломов происходят по вине клиентов.

Кроме того, клиенты сами могут выкладывать вредоносный код на свои сайты. По мнению Максима Захаренко, контроль за этим со стороны провайдера весьма трудоемок и, самое главное, неоднозначен. Автоматические средства анализа часто признают «неправильными» совершенно нормальные данные клиента, в результате чего его проект перестает работать. Распространенной практикой являются выборочные проверки и рассмотрение жалоб: в таких случаях сайт может быть временно отключен до выяснения причин.