Почему Касперский определяет на сайте троян HEUR:Trojan.Script.Generic? (и возможный способ устранения)
Доброго времени суток. У меня созрела еще одна статья, касающаяся безопасности, а точнее доступа к Вашим сайтам, уважаемые вебмастера… и позвольте мне Вам рассказать.
Угроза «HEUR:Trojan.Script.Generic»
Возможно у Вас есть сайт и Вы не использовали библиотеки типа jQuery, а решили просто на яваскрипте «спагетти-код на сайте намотать» (пусть как я, ради спортивного интереса). И тут Вы наверное даже не ожидаете такой «подлости» от любимого антивируса Касперского, тем более если Вы им не пользуетесь… а пользуется Ваш друг. Он то и увидит такое сообщение на Вашем сайте «объект заражен HEUR:Trojan.Script.Generic»: 
А тем временем, другие антивирусы молчат.
Чтобы рассказать Вам в чем тут дело, я вынужден привести код на яваскрипте, поэтому про него и буду рассказывать далее.
Решил значит я с даталистом поиграться для организации автокомплита без сторонних библиотек (появилось в HTML5 такое чудо, да беда у него с русскими буквами правда, пардон за оффтоп).
Написал код формы:
И следом написал, как мне казалось, безобидный код:
Получаем наш троян!
— Где троян? Вы не видите? О, и я тоже не вижу, а Касперский видит!
А видит он его здесь:
Тогда убираем эту строчку и все в порядке — наш скрипт не работает, и антивирус спокоен.
«Разбор полетов»
Значит нужно поковыряться в перехватчике состояния запроса — onreadystatechange.
Нашим лекарством будет отдельная функция, назовем ее updatePage, в которую мы напишем перебор возвращаемого JSON-массива и присвоим ее здесь в нашем перехватчике состояния:
В итоге переписал код так, что антивирус Касперского больше нас не тревожит:
О борьбе с вирусом HEUR:Trojan.Script.Generic
Однажды утром, я сидел и верстал очередной сайт, как вдруг… мне приходит письмо от заказчика предыдущего, в котором он говорит, что на сайте вирус HEUR:Trojan.Script.Generic и каспер его не пускает.
Я в шоке начал гуглить, что за вирус. Оказалось, что это троян-даунлоадер, то есть сама по себе софтина безвредная, но загружает посетителю сайта вирусню.
Сайт был полностью слит и проверен антивирусом, результат — ни-че-го. Как оказалось, пока сайт не запущен через браузер, никаких вирусов нет. Это происходит из-за того, что весь вирус это проста строчка в коде.
После поиска по всем файлам сайта, а это около 3000 файлов с учетом CMS и встроенного phpMyAdmin заражены, оказались около 150 файлов. Вирус атакует в основном файлы с именем index.* или с расширением .js и дописывается свой код в конец файла.
Для лечения я использовал notepad++.
Если вы тоже столкнулись с этим вирусом на своем сайте, то вам может, пригодится моя инструкция по лечению.
- весь сайт был скачан ко мне на компьютер
- в папке с сайтом был произведен поиск в файлах строки «IBM_Compatible.js»
- все файлы из результатов поиска открыты в notepad++ простым нажатием ctrl+A в результатах поиска, и перетаскиванием выделенных файлов в открытое окно notepad++
- в notepad++ нажимаем ctrl+H, копируем строку подключения вируса, а поле заменить оставляем пустым
- нажимаем волшебную кнопку «заменить во всех открытых документах» и вирус с позором изгнан из всех файлов
- сохраняем изменения во всех файлах
- заливаем их обратно на сервер, принудительно перезаписывая имеющиеся
- повторно проходимся по главной странице и индексным в подразделах, админке и phpMyAdmin при их наличии
- при обнаружении остатков вируса, чистим их, вручную удаляя строки из файлов
- радуемся, что так легко победили зловреда
- Проверяем антивирусом все компы с которых подключались по фтп к сайту
- меняем пароли доступа к фтп
Разумеется, это все можно было бы упросить, например, сделав все эти действия скриптом или используя grep на сервере, но в данном случае, главной целью был результат.
На этом все, надеюсь, материал оказался полезным для вас.
А если вы не хотите заморачиваться самостоятельной чисткой, то вы можете заказать ее воспользовавшись формой ниже.
HEUR:trojan.AndroidOS – как удалить вирус
Вместе с развитием операционных систем множатся виды вредоносного ПО. Вирусы группы HEUR:trojan атакуют не только ПК. Планшеты и мобильные телефоны на AndroidOS и iOS часто подвергаются заражению. Важно, чтобы на Вашем устройстве была установлена антивирусная программа. Кроме сбоев в работе системы, трояны могут получать доступ к личным данным пользователям – банковским картам, аккаунтам в социальных сетях, логинам и паролям на различных Интернет-площадках. Нередко совершаются попытки кражи средств со счета через приложение Сбербанк Онлайн.
Как вирус попадает на устройство
Чаще всего HEUR:trojan проникает вместе с софтом, скачанным из непроверенных источников. Хотя было и несколько случаев занесения вместе с приложениями из Google Play. Поэтому обязательно установите сканер на Ваш гаджет.Так же не стоит тапать по линкам и всплывающим окнам на спамных сайтах. Злоумышленники рассылают sms и электронные письма с ссылками, переходить по ним небезопасно. Занесенные на смартфон вирусы могут проникать в системные файлы Android и запускать вредоносные процессы.
Среди них:
– Создание платных подписок и отправка смс, после которых снимаются деньги с баланса;
– Получение доступа к личным данным – логинам и паролям от различных сервисов, включая банковские карты и электронные кошельки, после чего происходит перечисление денег на счета злоумышленников.
Приложение Сбербанк Онлайн распознает подобные атаки и уведомляет пользователя о том, что вирус нужно удалить.
Виды HEUR:trojan
Список “представителей данного семейства” большой, наиболее распространенными являются следующие.
– Downloader.AndroidOS.Agent – присылается sms со спамными ссылками, после перехода по которым активируется подписка или телефон начинает отсылать платные сообщения.
– Script.Generic.Miner.Gen – ворует мобильный трафик, выполняя через соединение пользователя действия в сети. При этом скорость Интернета значительно падает, загрузка страниц занимает больше времени.
– AndroidOS.Agent.EB или Androidos.Boogr.Gsh – заражает приложения смартфона спамной рекламой.
– AndroidOS.Hiddad – Сбербанк обнаружил вирус во встроенном приложении Zooking LockScreen нового китайского смартфона. Выяснилось, что программа данный вирус не содержит, но является потенциально опасной – злоумышленниками могут использовать ее при определенных условиях.
– Trojan-Dropper.AndroidOS.Necro.n. – спамит рекламой и делает платные подписки. Был обнаружен Касперским в приложении CamScanner, размещенном на Google Play. После получения огласки Google удалили приложение со своей торговой площадки и выложили новую версию без вируса.
– Trojan-Dropper.AndroidOS.Hqwar.ba и UDS:DangerousObject.Multi.Generic – распространяется с помощью фальшивых смс с вредоносными линками.
– AndroidOS.Joker – ворует данные пользователя, оформляет подписки, списывающие денежные средства. Часть приложений в Google оказалась им инфицированной. Весь зараженный софт из магазина уже удалили.
Также сканеры нередко выявляли на устройствах трояны:
- SMS.AndroidOS.Podec;
- Dropper.AndroidOS.Guerrilla;
- Dropper.AndroidOS.Penguin.e;
- Dropper.AndroidOS.Lezok.p;
- Dropper.AndroidOS.Piom.kc и другие.
Как удалить HEUR:trojan со смартфона
Убрать всех вышеперечисленных вредителей и им подобных можно с помощью антивирусных программ. Большинство известных сканеров с этой задачей справляются.
Наиболее распространенными среди пользователей ПК и гаджетов на Андроид являются:
– AVG;
– 360 Security;
– Avast;
– Dr.Web Light;
– Kaspersky Internet Security.
Инструкция как убрать троян.
1. Скачайте из проверенного источника и установите на телефон один из антивирусов.
2. Откройте приложение и запустите процесс сканирования. Нужно выбрать полную проверку, чтобы программа просмотрела на Вашем устройстве все файлы, включая системные.
3. После завершения проверки, как правило, на выбор предлагается два варианта – удалить обнаруженный вирус или отправить на карантин. Лучше сначала поместить на карантин, если никаких сбоев не будет – удалить.
Отказано в доступе.
1. Зайдите в “Настройки” Вашего гаджета, затем откройте “Конфиденциальность”, далее “Администраторы устройства”. Уберите галочки с сомнительных приложений и повторите проверку.
2. С помощью приложения Total Commander можно вручную удалить файл. Обычно при выявлении вируса сканер показывает расположение зараженного файла.
3. Программа Titanium BackUp позволяет заморозить вирусный процесс.
Не получается убрать trojan с Android
В некоторых случаях избавиться от вируса сложнее.
Смартфон не включается из-за вируса.
Попробуйте загрузить систему в безопасном режиме.
Другой вариант – подсоедините телефон к компьютеру (на котором есть антивирусная программа) через USB-кабель и просканируйте.
Сканер обнаружил trojan, но ОС не дает его удалить.
Вредитель может изменять файлы системы, которые Android удалять не позволяет. Чтобы получить разрешение на произведение манипуляций с ними устройство придется рутировать. После этого нужно будет зайти в менеджер файлов и стереть зараженные. Получение root-прав – процедура рискованная, а для китайских смартфонов вообще не рекомендована. Прежде, чем решиться на нее внимательно изучите в Интернете материалы, касающиеся проведения рутирования на Вашей модели телефона.
Также попробуйте обратиться за помощью к разработчикам установленного на Вашем устройстве антивируса.
Сброс настроек до заводских.
Если ничего из вышеперечисленного не помогло можно откатить AndroidOS до заводских параметров или установить другую версию. Не забудьте предварительно сохранить копию всех необходимых файлов, находящихся на Вашем телефоне.