viry.cz

Reklama

Novinka

Avast! a falešný poplach (zasloužený) na novinky.cz

03.02.2010 Komentáře (13)

Některé tuzemské servery oběhla zpráva, že avast! (nedávno vydaný ve verzi 5) dnes považoval portály novinky.cz, sport.cz, super.cz za infikované trojanem JS:LoverCrypt-A [Trj] a že tedy produkoval falešný poplach. Skoro bych ale řekl, že to byla zasloužená regulérní detekce...

Za vším stál skript z adresy http://search.sklik.cz/js/script.js, který se na zmíněných serverech používá a v době, kdy ho Avast! detekoval jako JS:LoverCrypt-A [Trj], vypadal přibližně tak, jak ukazuje níže zveřejněný obrázek (pro zkrácení není uveřejněna prostředí, podobně nečitelná pasáž). Nečitelnost je způsobená použitím metody, které se říká "obfuscation". Právě metody "obfuscation" využívají i škodlivé skripty číhající na webových stránkách. Tato metoda znesnadňuje detekci antivirovým produktům a především lze díky ní "mutovat" skript do jiné podoby v každém dalším exempláři. Vývojáři portálu novinky.cz atd. tuto metodu využili k zakrytí skriptů před zvědavci, nicméně použití funkcí substring, split, reverse, join, toLowerCase, replace a pochopitelně i eval nebylo nejvhodnější.

Avastu to tak na portálu novinky.cz nevyšlo, nicméně nelze vyloučit, že již teď zachránil spousty uživatelů, kdy narazil na velice podobně řešené skripty, avšak na ty opravdu škodlivé...

Více na blogu Avastu (anglicky).

Přidat komentář (nyní 13)