IFRAME Virusu

Son günlər əksər website sahiblərini təngə gətirmiş bir virusdur. Bir neçə gün əvvəl çox yersiz bir vaxtda bu virus mənim də bəzi saytlarıma düşdü. Amma artıq olan olmuşdu, virusu temizləmək lazım idi. Bəs bu virus nədir, necə düşür, nələr edir, necə qorunmaq olar kimi suallara çalışacam cavab verim.

Bu virus necə düşür?
Yox! hosting aldığınız şirkətin heçbir günahı yoxdur. Virus sizin kompüterinizdədir.
Siz bu virusa yoluxmuş hərhansi bir saytı açanda (böyük ehtimal IE ilə) iframe-də olan link də yüklənməyə başlayır və özü ilə troyanı sizin kompüterinizə yükləyir. Əksər anti-viruslar bu virusu görmür, çünki sayt daxilində olan iframe-də yüklənən linki yoxlanışdan keçirmirlər. Bəzi anti-viruslar isə xəbərdaqlıq mesajı çıxarırlar amma block etmirlər.

Bu virus nə edir?
Virus kompüterinizdə saxlanılmış bütün FTP hesablarını tapır və ora gizli qoşularaq saytınızda olan bütün faylları və qovluqları gəzir və index, main, home, default sözləri ilə başlayan bütün faylların içinə əlavə bir sətir yazır. Bu sətir [/b] kimi olur. Virus bu sətri bir qayda olaraq tagından sonra yazmağa çalışır amma əgər faylda [b] tagı tapmırsa o zaman sətir faylın sonuna əlavə edilir. Onuda deyim ki, sətri əlavə etdiyi yerde olan yazılar silinir. Deməli əgər o sətirdə hərhansı bir html, php vəya başqa bir kod var idise o silindi və yerinə bu iframeli sətir əlavə edildi. Bundan sonra sizin sayta girən hər adamın kompüteri eyni virusla yoluxacaq və eyni proses onlardada başlayacaq.

Necə qorunmaq olar?
İlk növbədə yaxşı anti-virus işlədin. Mən nod32 qurmuşdum amma görünür bu virusu görə bilmir. McAffee vəya TrendMicro-nu dənəyin. Yaxşı olar ki, FTP şifrələrinizi ftp-clientinizin yaddaşında saxlamayasınız. Bu yolla virus sizə düşsə belə qoşulmağa ftp tapa bilməyəcək.

Artıq virusa yoluxmusunuzsa o zaman ilk növbədə bütün browserlərinizi bağlayın. Sonra “Temporary Internet Files”-i təmizləyin. Internetdən reytinqi yüksək hərhansı bir Virus/Trojan scanneri köçürün və kompüterinizi yoxlayın. Mən IObit Security 360 istifadə etdim. Virus əsasən Adobe Acrobat Reader qovluğunda gizlənir. Daha dəqiq desək AcroIEHelper.dll faylında. Ona görə РЎ:\Program Files\Adobe\Acrobat[versiya]\Reader\ActiveX\AcroIEHelper.dll faylını tapın və silin. Bunu yəqin sizin scanner ozü siləcək amma scanner silməsə belə əl ilə mütləq silin. Sonra isə bütün ftp şifrələrinizi mütləq dəyişin. Çünki virusu özünüzdən təmizləsəniz belə əgər şəbəkəyə qoşulusunuzsa və başqa kompüterdə də bu virus varsa o zaman yenə sizin saytlara zədə dəyə bilər.
Bütün bunları etdikdən sonra kompüterinizi restart edin. Əgər virus hələdə oradadırsa o zaman üzr istəyirəm amma format etməlisiniz.


Saytdakı zədəli faylları necə təmizləyim?

Başda onu deyim ki yaxşı olar ki bütün fayllarınızı vaxt aşırı backup edin. Yuxarida qeyd etdiyim kimi virus saytda index, main, home, default ilə başlayan bütün faylların içinə iframe salır. Ona görə belə faylları tapıb hamısını backupızındaki fayllarla əvəz edin. Əgər backup yoxdursa o zaman saytdakı faylı açib içindən iframi silin. Bu faylların yerini dəqiq bilirsinizsə o zaman bir bir açib içini təmizləyin. Əgər saytınızda həddindən çox fayl və qovluq varsa o zaman biraz çətinlik çəkə bilərsiniz amma bu scripti sizə kömək üçün yazıram.

-----------------------------------------------------------------------
<?
function findFiles($dirname)
{
if (is_dir($dirname))
$dir_handle = @opendir($dirname);
if (!$dir_handle)
return false;
while ($file = readdir($dir_handle))
{
if ($file != "." && $file != "..") {

if (!is_dir($dirname."/".$file))
{
if (preg_match("/index|main|home|default/i",$file))
{
$indexFile = $dirname."/".$file;
echo "Baxilacaq fayl: ".$indexFile."
";
}
}
else
{
findFiles($dirname."/".$file);
}

}
}

closedir($dir_handle);
return true;
}

//istifade qaydasi
findFiles("projects\kataloq");

?>
-----------------------------------------------------------------------

Saytınız iframe virusuna yoluxubsa google sizin saytı indexləyərkən təhlükəli saytlar siyahısına əlavə edir. İstifadəçilər sayta girən zaman bu saytın təhlükəli ola biləcəyi barədə xəbərdarlıq alır. Saytınızı bu siyahıdan necə çıxarmaq haqqında buradan oxuya bilərsiniz.

No virus, No cry!