Вирусная атака на оптимизаторов

6 марта Яндекс в очередной раз «порадовал» оптимизаторов. По данным анализатора апдейтов, на «насиженных» местах был обнаружен лишь 41% сайтов-маркеров. Одновременно в форумах стали появляться сообщения о таинственном «вире», который заражает главные страницы сайтов и приводит к их удалению из выдачи. Вскоре в одном из блогов появился подробный отчет о проблеме. Оказывается, косвенным виновником этой «встряски» оказался обыкновенный троянец, занимающейся кражей информации.

Зловред под названием Trojan-PSW.Win32.LdPinch.bik прописывает себя в системный реестр и сразу же начинает искать ценную информацию на компьютере жертвы. Он собирает данные о зараженной машине – объеме свободного места на диске, учетной записи текущего пользователя, операционной системе, установленных программах. Сразу же после этого троянец проходится по «злачным» местам, где обычно можно обнаружить логины-пароли, заглядывает в папки интернет-пейджеров (ICQ, Trillian, QIP), крадет данные учетной записи в Microsoft Outlook и пароли доступа к FTP. После этого подробнейший отчет о злодеяниях троянца оказывается в почтовом ящике ее владельца, размещенном на Mail.Ru.

На индексной странице пострадавшего сайта вскоре появлялся код, обеспечивающий дальнейшее распространение «заразы». После переиндексации Яндексом именно эти ресурсы исчезали из выдачи. Удаление подозрительного фрагмента из кода страницы и лечение зараженного компьютера, по отзывам оптимизаторов, помогали восстановить «доброе имя» и в глазах поисковика.
«LdPinch - универсальная программа для кражи паролей от различных электронных ресурсов. Поэтому нельзя сказать, что это специфический софт для SEO. Это просто стечение обстоятельств, что именно эта вредоносная программа могла участвовать в этом деле. Впрочем, не совсем понятно и поведение Яндекса. Выходит так, что Яндекс удаляет из списка результатов страницы, которые были заражены троянцем. Такое поведение довольно нетипично для поисковых систем», - пояснил TelNews Виталий Камлюк, вирусный аналитик «Лаборатории Касперского».

Александр Садовский, руководитель отдела веб-поиска Яндекса, сообщил, что наличие фрейма у сайта не может быть причиной для удаления страницы из индекса. По его словам, в службу поддержки не поступало жалоб, связанных с вирусом. «Случаи, когда сайты массово подвергались хакерской атаке, редки, я помню только один случай за последние пару лет, и то речь шла о десятках сайтов, что трудно назвать массовым явлением. Активность хакеров в упомянутом инциденте ограничилась добавлением в конце главной страницы блока спамерских ссылок», - прокомментировал Александр Садовский. Он уверил, что во всех случаях, связанных с исчезновением страницы из выдачи, осуществляет анализ проблемы, независимо от ее причины. Виталий Камлюк отметил, что ему и раньше приходилось сталкиваться с подобными случаями заражения корневых html-страниц. В конце февраля с массовыми кражами паролей для доступа к FTP столкнулись клиенты хостинг-провайдера .masterhost. Компания порекомендовала пользователям обновить антивирусные базы и на всякий случай сменить пароли. Печально известен своими «заразными» сайтами и ValueHost, клиенты которого давно и безуспешно борются за качество сервиса.

Интересно, что отдельные форумчане предупреждают, что в борьбе с Trojan-PSW.Win32.LdPinch.bik бессилен даже “Kaspersky Anti-Hacker”. На самом деле, в данном случае они пытаются лечить активированным углем головную боль. «Для борьбы с троянскими программами следует использовать антивирус, а не фаервол (Анти-Хакер), поэтому вопрос о том справляется ли “Kaspersky Anti-Hacker”, некорректен. «Антивирус Касперского», конечно же, детектирует и удаляет файлы. Что касается фаервола, то он служит, прежде всего, для защиты от сетевых атак и не имеет функций детектирования вредоносного ПО», - добавил Виталий Камлюк. Как бы то ни было, многоопытным борцам за поисковую выдачу стоит внимательнее относиться к защите своих компьютеров.