НЕ вирусы

Постоянно проверяя сайты по 41ой антивирусной базе, мы находим что-то подозрительное почти в каждом. Вот почему так важно знать, какой код является исключением и НЕ является вирусом. В нашей коллекции более сотни таких исключений. Это позволяет нам не наводить панику, когда одна из чрезмерно параноидальных антивирусных программ принимает код за вирус. Мы бьем тревогу только в случае реальной опасности.

Представляем первую тройку самых частых НЕвирусов:

Чемпионский титул с огромным преимуществом выигрывает общеизвестная javascript библиотека jquery

ClamAV распознает разные версии упакованного варианта библиотеки как PUA.Script.Packed-1 или PUA.Script.Packed-2

jQuery JavaScript Library 1.2.6 (файл jquery.min.js) распознается как PUA.Script.Packed-1

Код этого файла (начало и окончание):

eval(function(p,a,c,k,e,r){e=function(c){return(c<a?'':e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--)r[e(c)]=k[c]||e(c);
...
.children("div").attr("class") == "content-opened" ){$(this).parent(".part").children("div").attr("class", "content");}}); });</p>

jQuery JavaScript Library v1.4.2 (файл jquery.min.js) распознается как PUA.Script.Packed-2

Код этого файла (начало и окончание):

Разумеется, jquery ни в коей мере НЕ является вирусом.

В декабре 2009 был зафиксирован первый случай дописывания вирусного кода в конец библиотеки jquery, что затрудняет обнаружение. В будущем развитие сайтовых вирусов пойдет именно по пути интеграции в середину jquery и других подобных библиотек. Это крайне затруднит нахождение таких вирусов и потребует от антивирусных программ значительно большего интеллекта.

Как это ни странно, антивирус Rising распознает размещаемую на сайтах narod.ru рекламу Яндекса как вирус Hack.Exploit.Script.HTML.IFrame.o.

Код, который Rising считает подозрительным:

Причиной срабатывания является расположение скрипта закрывающих ниже тегов </body></html> и то, что он при этом фактически вписывает в страницу popup. К самому Яндексу у Rising и других антивирусов претензий нет, в отличие от нашего следующего "финалиста".

Размещаемая этим сайтом реклама распознается антивирусом Sunbelt как Trojan-Clicker.HTML.IFrame (v)

Код, который Sunbelt считает подозрительным:

Само по себе подгружаемое в iframe содержимое ничего вирусного не содержит. Причина срабатывания - попадание домена dosug.cz во многие базы вредоносных доменов, которые создают энтузиасты и специализированные организации. В эти базы стараются собрать сайты, не безопасные для детей, либо задействованные в pfishing или рассылке спама. Таким образом даже безобидное содержимое с этого сайта, подгружаемое в iframe, воспринимается программой Sunbelt как вирус. Так он заботится о моральной чистоте населения.

Кандидатом в первую тройку является сайтоконструктор ucoz, на бесплатных сайтах которого в самом начале стоит рекламный скрипт, на который ругаются многие GUI (графические) антивирусы.

Скрипт расположен перед открывающим тегом <html>, что и делает его подозрительным для антивирусных программ.

Пример кода: