Спам скрыт от посетителя, зато доступен поисковым системам. Самая большая проблема владельцев пострадавших сайтов в том, что за этот код их сайты могут навсегда исключить из поиска. Спам появляется не на всех сайтах сразу, а попеременно. Узнать список этих сайтов можно, введя в поисковой системе в строке поиска, например, вот это: link="www.sotnia.ru/reviews/phentermine/*".

Сайты из этого списка на самом деле располагаются на серверах ValueHost. Более того, сам спам ссылается на сгенерированные злоумышленниками страницы нормальных сайтов (тоже расположенных на ValueHost), а уже там осуществляется редирект на иностранные ресурсы. Можно легко увидеть спам, просмотрев HTML-код (самый его конец), подвергшихся атаке сайтов, например ЗАО «УПОНОР РУС» (http://www.uponor.ru/).

Также «Вебпланете» стало известно, что пользователи сообщали в ValueHost о ситуации, но там им ответили, что это проблема клиентов, которые используют небезопасные скрипты. Что же это могут быть за скрипты? Обратившись в ValueHost.ru, мы были очень удивлены, получив в ответ на наше письмо сообщение о том, что оно не доставлено, т.к. домен webplanet.ru содержится в базе данных для борьбы со спамом SORBS (http://www.nl.sorbs.net/).

В конечном счете, «Вебпланета» решила обратиться с этим вопросом к другим хостинг-провайдерам. В компании «НетХауз» нам сообщили, что об утечке базы данных ValueHost.ru знают, но о причинах появления спама на сайтах судить не могут, т.к. их клиенты с такой проблемой не сталкивались.

Филипп Кулин, руководитель отдела виртуального хостинга PeterHost.Ru, рассказал «Вебпланете» следующее: «Нам ничего не известно об утечке базы данных ValueHost.ru. Полтора года назад такой случай действительно был и была информационная рассылка от самой компании. Сейчас только слухи, мы их не проверяли. С проблемами спама нам тоже приходится сталкиваться постоянно. Хотя по процентному соотношению мы больше сталкиваемся с фишингом.

Создать спам, подобный тому, которому подверглись клиенты ValueHost можно разными способами. Возможно, это делал вирус, который использовал совсем не уязвимость ПО сайта, а уязвимость ПО персонального компьютера разработчика сайта (администратора, дизайнера, верстальщика, заказчика). Возможно, это действительно использование уязвимости ПО сайтов. Например, в нашей практике большинство сайтов-подделок размещаются при помощи уязвимостей форума phpBB. О безопасности скриптов люди начинают заботиться, когда начинают терять реальные деньги. Поскольку до реальных денег большинство создаваемых сегодня проектов не дорастают, то о безопасности можно сказать, что никто и не думает. Очень многие пользователи меняют пароль 12345, который украли, на пароль 1234567. Даже при смененных паролях, злоумышленнику достаточно знать, куда входить и под каким логином, чтобы подобрать пароль. Так что действительно это может быть и украденная база, даже если она была украдена давно».

В компании RusOnyx придерживаются похожего взгляда на произошедшее. Георгий Георгиевский, генеральный директор компании, сказал: «Полноценной информацией о возможной утечке данных я не обладаю. Есть только слухи, которые тем или иным образом доходили до меня, но достоверность их ничем не подтверждена».

Проблема с размещением постороннего кода остается актуальной и сейчас. Возможный взлом ValueHost.ru активно обсуждается в блогах (http://community.livejournal.com/ru_seo/284325.html) и на форумах (http://www.reactor5.ru/viewtopic.php?p=90&sid=9d30664157ede06fbe17729ca134067b). Более того, есть даже сайты, где хакеры (или люди, считающие себя таковыми) дают подробную инструкцию (http://www.xakep.ru/post/24136/default.asp) о том, как взломать сайт на ValueHost.ru. Здесь используются уже известная нам версия взлома сайта через уязвимость форума.

Текст: Александр Рыбаков
Источник: webplanet.ru