H AI-Bolit — уникальный сканер вирусов для сайтов в черновиках

AI-Bolit – это сканер вирусов и вредоносного кода нового поколения, которым уже воспользовались десятки тысяч веб-мастеров и администраторов серверов.



Он ищет вирусы, хакерские скрипты, фишинговые страницы, дорвеи и другие типы вредоносных скриптов, загружаемые хакерами при взломе сайтов.

Если на вашем сайте появились проблемы, например:

• антивирусы блокируют доступ к страницам сайта,
• на страницах появились чужие ссылки
• происходит мобильный редирект при заходе со смартфона или планшета,
• резко упала посещаемость,
• посетители жалуются на вирусы,
• хостинг заблокировал почту за рассылку спама,
• есть подозрение на взлом сайт

проверьте сайт сканером AI-Bolit. Он поможет найти файлы, в которых размещен хакерский бэкдор или веб-шелл, код по продаже ссылок или спам-рассыльщик.

Сканер AI-Bolit является бесплатным для некоммерческого использования, любой веб-мастер может загрузить сканер на сайт и проверить свой ресурс на вирусы и взлом.



AI-Bolit рекомендуют многие российские хостинг-провайдеры, некоторые из них уже встроили сканер в панель управления виртуальным хостингом, что позволяет выполнить владельцу аккаунта антивирусную проверку в один клик.

Сканер много раз освещался в отечественных и зарубежных журналах, его активно рекомендуют пользователи форумов для веб-мастеров и упоминают на форумах поддержки популярных CMS, таких как Joomla, Wordpress, vBulletin и др. На сканер и базу сигнатур получено авторское свидетельство в Роспатенте.

Официальная страница сканера AI-Bolit – revisium.com/ai/

Об авторах

Сканер разработан экспертами по информационной безопасности компании «Ревизиум», специализирующейся на лечении сайтов и защите от взлома.

Ежедневно при лечении и восстановлении сайтов специалисты “Ревизиума” обнаруживают новые вредоносные скрипты и более изощренные способы сокрытия вредоносного кода. Эта информация используется для корректирования алгоритма работы сканера и пополнения базы правил, что делает сканер AI-Bolit более эффективным с каждой новой версией.

В чем уникальность сканера AI-Bolit?

Слабой стороной современных серверных сканеров вредоносного кода является их подход к обнаружению вредоносов и антивирусная база. Серверные антивирусы ищут вирусный и хакерские код по фиксированным параметрам (контрольной сумме файла, хэшу, строковым фрагментам). В то же время разработчики современных вредоносных скриптов научились обманывать сканеры, используя шифрование кода, делая каждую новую копию непохожей на предыдущую: они используют обфускацию переменных, шифрование исполняемого кода, косвенные вызовы и другие подходы. Поэтому старые методы поиска вирусов перестают работать. Если раньше системному администратору достаточно было выполнить команду

find -type f -name "*.php" -print0 | xargs -0 fgrep -l 'base64_decode($_POST' find -type f -name "*.php" -print0 | xargs -0 fgrep -l 'if (count($_POST) < 2) { die(PHP_OS.chr(' find -type f -size -1000c -name "*.php" -print0 | xargs -0 grep -il "if(isset(\$_REQUEST\[.*eval(.*)" find -type f -name "*.php" -print0 | xargs -0 fgrep -l 'base64_decode($_REQUEST' find -type f -size -1000c -name "*.php" -print0 | xargs -0 fgrep -l "eval(stripslashes($_REQUEST" find ~/domains/ -type f -name "*.php" -print0 | xargs -0 fgrep -l 'eval($___($__)' find \( -regex '.*\.php$' -o -regex '.*\.cgi$' \) -print0 | xargs -0 egrep -il "r0nin|m0rtix|r57shell|c99shell|phpshell|void\.ru|phpremoteview|directmail|bash_history|filesman" find -type f -name "*.php" -print0 | xargs -0 fgrep -l 'Euc<v#`5R1s?j{\nJnd8,K'

для поиска всех хакерских шеллов, то сейчас этого уже не достаточно, так как хакерский веб-шелл выглядит так:



или так:



и меняет свою структуру и строковое представление.

Нужен более эффективный механизм поиска вредоносного кода. Поэтому в AI-Bolit применяется несколько иной подход.

При поиске вредоносного кода сканер использует предварительную нормализацию исходного кода, механизм поиска по регулярным выражениям и эвристические правила. Все это в совокупности позволяет обнаружить закодированные модификации веб-шеллов и бэкдоров, а также новые, еще неизвестные вирусы и хакерские скрипты, определяя их по альтернативным параметрам (например, если в исходном коде используются типичные для хакерских скриптов вызовы, файлы имеют случайно-сгенерированные имена, по нестандартным атрибутам файлов и т.п.). Использование продвинутого алгоритма обнаружения вредоносного кода позволяет сканеру AI-Bolit находить зашифрованные фрагменты полиморфной природы. Например, такие:



В результате проведенных экспериментов AI-Bolit показал в разы более качественное обнаружение хакерских скриптов, по сравнению с ClamAv и MalDet, которые используются на многих хостингах в качестве бесплатных антивирусных решений.

Как работает сканер AI-Bolit

Для проверки сайта достаточно загрузить сканер в каталог сайта (на хостинге или на локальном компьютере с бэкапом сайта) и запустить. Сканер можно открыть в браузере или запустить в режиме командной строки по SSH. Кроме того, AI-Bolit’ом можно проверить резервную копию сайта локально на своем компьютере.

Результат проверки сайта — это подробный отчет в html или текстовом формате, который он может автоматически отправлять по электронной почте.



На сайте есть подробные видео-инструкции и руководство для новичков.

Приводим ссылку на полный список возможностей сканера.

А вы уверены, что ваш сайт не взломан?

Большинство владельцев сайтов не подозревает, что их сайты взломаны и на них загружены хакерские скрипты. Поэтому рекомендуем проверить ваши сайты сканером AI-Bolit прямо сейчас. Если у вас возникнут вопросы по отчету сканера, пришлите его нам в “Ревизиум” на ai@revisium.com (в виде архива .zip), мы поможем в нем разобраться.

Обновления сканера анонсируются у нас в твиттере @revisium, группе “Безопасность сайтов” Вконтате vk.com/siteprotect и на официальной странице facebook.