Hosts Suspicious URL — что это за вирус?
Приветствую. Как взламывают аккаунты социальных сетей? Например один из способов — вы открываете соц сеть, вводите логин и пароль и общаетесь дальше. На самом деле вы ввели логин и пароль на фейковом сайте, который не отличить от оригинального. После ввода вы уже на настоящем. Однако фейковый мог спокойно записать ваш логин и пароль и отправить хакеру. Подобная схема называется фишинг.
Hosts Suspicious URL — что это такое?
Hosts Suspicious URL — тип угрозы, может блокировать некоторые сайты (например антивирусные) а также перенаправлять на фальшивые.
Вся суть — Hosts, это специальный файл, где можно вручную указать какой сайт на каком сервере находится. Например вирус может прописать название легального сайта, например vk.com, а вот сервер указать уже левый. В итоге при заходе на vk.com вам будет показываться не настоящая версия vk.com, а с левого сервера.
Еще раз как все работает:
- Все сайты работают на серверах.
- Один сервер может содержать несколько сайтов, десятки, сотни.
- Когда вы переходите на сайт, например google.com, то служба DNS сразу определяет какой IP сервера у этого сайта и отправляет запрос серверу — показать сайт. Сервер в ответ вам в браузере и показывает. Если простыми словами — примерно так все и работает.
- По таким правилам работает google.com и все остальные, например vk.com, yandex.ru и прочие.
- Файл hosts — именно то самое место в Windows, где можно вручную прописать сервер для любого сайта, чтобы Windows не спрашивала у службы DNS, а сразу из файла брала данные. Но проблема в том, что вирус может указать сервер левый, свой, где лежит только копия сайта (например Сбербанка). После открытия такого фальшивого сайта и ввода логина/пароля вас может перекинуть уже на настоящий. Однако логин и пароль — может быть отправлен хакеру.
Теперь надеюсь понимаете с чем работает вирус Hosts Suspicious URL и в чем главный смысл.
Разберем пример. Чтобы заблокировать сайт, то достаточно прописать сервер, на котором ничего нет, вообще, часто для этого прописывают адрес 127.0.0.1:
В итоге при наборе сайта — он будет не работать. Также выше на картинке видим второй пример — напротив vkontakte.ru прописан сервер. Это левый сервер. При открытии vkontakte.ru сайт будет загружаться именно из указанного сервера, то есть не настоящий.
Что делать? Нужно вручную очистить файл Hosts от левых записей, которые были внесены вирусом Hosts Suspicious URL. Здесь тоже проблема — просмотреть файл можно в любом режиме, а вот редактировать — только если файл открыт от имени администратора. Но я уже написал подробную (возможно даже слишком) инструкцию как очистить файл hosts, поэтому прошу почитать здесь:
Инструкция для десятки, но в семерке все примерно также.
Дополнительные меры
Не лишним будет проверить ПК на опасные вирусы и рекламный/шпионский хлам. Всего я выделил три лучшие утилиты для этого дела. А также помните, что вручную файл можно проверить на VirusTotal и Kaspersky VirusDesk.
- Dr.Web CureIt! — мощная утилита против опасных вирусов типа троянов, майнеров, ботнетов. Скачивается уже с антивирусными базами, поэтому весить может около 100 мегов. Длительность проверки зависит от количества файлов на диске, по окончании требуется перезагрузка.
- AdwCleaner — также мощная утилита, но уже против рекламных вирусов, шпионского ПО и подобного. Проверяет автозагрузку, реестр, планировщик задач, ярлыки и расширения браузеров. Эффективно удаляет рекламу с компьютера. Перед проверкой качает антивирусные базы, работает шустро.
- HitmanPro — можно сказать коллега AdwCleaner, но использует немного иной алгоритм работы, более тщательный, например может найти угрозу даже в куки-файлах. Работает шустро, прога платная, но есть бесплатный вариант проверки (я там вроде даже указывал несуществующую почту).
Именно проверка всеми тремя даст максимальную эффект.
Если у вас нет нормального антивируса — советую поставить бесплатную версию Kaspersky Free — вирусы находит отлично, базы обновляет, работает быстро (если конечно не запущено сканирование).
Заключение
- Hosts Suspicious URL — тип угрозы, которая вносит изменения в файл hosts. Может блокировать некоторые сайты, а также перенаправлять вас на фальшивые.
- Для удаления — проверьте ПК антивирусными утилитами а также вручную очистите файл hosts (выше давал ссылку как).
Что это за вирус «HOSTS:SUSPICIOUS.URL»?
кряки прописывают туда адреса серваков для проверки подлинности, закольцовывая маршрут (грубо говоря блокируя доступ к сайтам), таким образом не слетают пиратские ключи активации. др. веб очистил этот файл от всех записей, готовь активаторы, скоро снова понадобятся, включая на винду
Роман ГромовЗнаток (302) 3 года назад
Всё правильно
obychnyy koderПрофи (800) 3 года назад
я правильно понял, что его лучше добавить в исключение?
миша веденеевЗнаток (256) 3 года назад
Удалить или нет я не понял?
миша веденеев, Лучше не удалять так-как активация пиратских не лицензионных программ может слететь.
Марсель ГабзалиловУченик (111) 2 года назад
гг мне вхвх
Роман АндреевУченик (174) 12 месяцев назад
спасибо за подсказку
Остальные ответы
Взаимодействует с файлом отвечающим грубо говоря за интернет в твоем компьютере
Был изменён файл hosts. Если это делали не вы, это очень подозрительно.
скачал call of duty 3,во время установки понял что с троянами и вирусами. dr web live usb решил проблему, но на некоторые сайты отказывался заходить. Например на официальный сайт Касперского и доктор Вэб через браузер Хром. Но через оперу vpn зашел и скачал утилиту доктор вэб cure it и обнаружил этот самый вирус. В файле HOSTS были прописаны многие сайты. В том числе аваст, доктор вэб и каспер. Вылечил файл утилитой и всё хорошо
Блин. Зря удалил его.
Павлов ФамкюУченик (124) 5 месяцев назад
Естественно, не знаю как сейчас, но тогда ты дебилом был.
NET:MALWARE.URL, HOSTS:SUSPICIOUS.URL
- Тема закрыта
2 ответов в этой теме
#1 
yudinaval
Отправлено 12 Август 2023 — 14:24
Прошу помощи с удалением ошибок malvare.url связанный с адресом 144.76.175.149:80.
Лог CureIt во вложении.
Спасибо большое заранее!
Прикрепленные файлы:
#2 Dr.Robot
Отправлено 12 Август 2023 — 14:24
1. Если Вы подозреваете у себя на компьютере вирусную активность и хотите получить помощь в этом разделе,
Вам необходимо кроме описания проблемы приложить к письму логи работы двух программ — сканера Dr. Web (или CureIt!, если антивирус Dr. Web не установлен на Вашем ПК), DrWeb SysInfo. Без логов помочь Вам не сможет даже самый квалифицированный специалист. Так как логи могут иметь большой объём, превышающий ограничения форума, то рекомендуем закачать их на какой-нибудь файлообменник, а на форуме указать ссылку.
2. Если у Вас зашифрованы файлы,
Внимание! Услуга по расшифровке файлов предоставляется только лицензионным пользователям продуктов Dr.Web, у которых на момент заражения была установлена актуальная коммерческая лицензия Dr.Web Security Space или Dr.Web Enterprise Security Suite.
Что НЕ нужно делать:
— лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
— переустанавливать операционную систему;
— менять расширение у зашифрованных файлов;
— очищать папки с временными файлами, а также историю браузера;
— использовать самостоятельно без консультации с вирусным аналитиком Dr. Web дешифраторы из «Аптечки сисадмина» Dr. Web;
— использовать дешифраторы рекомендуемые в других темах с аналогичной проблемой.
Что необходимо сделать:
— прислать в вирусную лабораторию Dr. Web https://support.drweb.com/new/free_unlocker/?keyno=&for_decode=1 несколько зашифрованных файлов и, если есть, их не зашифрованные копии в категорию Запрос на лечение. Дожидаться ответа на Вашу почту вирусного аналитика и далее следовать его указаниям ведя с ним переписку по почте. На форуме рекомендуется указать номер тикета вирлаба — это номер Вашего запроса, содержащий строку вида [drweb.com #3219200];
#3 Dmitry_rus
Dmitry_rus
Отправлено 12 Август 2023 — 15:00
Этот сайт находится в базе вредоносных, поэтому такой вердикт.
Антивирусная прав ДА! TM
- добавить в избранное
Загадочный файл Hosts
Прочитали: 14573 Комментариев: 6 Рейтинг: 31
31 октября 2022
В сегодняшнем выпуске «Антивирусной правды» мы разберем вопрос далеко не новый, однако по-прежнему актуальный. Небольшой опрос наших пользователей подтвердил, что весьма распространенной угрозой, выявляемой антивирусом Dr.Web, является инфицированный файл Hosts. Наверняка многие наши читатели знают или, по крайней мере, слышали об этом файле, который хранится в недрах системных каталогов ОС Windows. А кто-то даже знает, какие опасности таит этот вполне легитимный файл и почему он является лакомым кусочком для злоумышленников. Но очень часто пользователи не подозревают ни о том, ни о другом. И если антивирус вдруг сообщает о найденной угрозе вида DFH.HOSTS.corrupted или Trojan.Hosts (у разных антивирусных вендоров используются разные названия, но суть одна) — лучше знать и понимать, с чем мы имеем дело.
Файл Hosts присутствует не только в Windows, но и в других операционных системах, и везде выполняет одни и те же функции. Когда-то давно, еще на заре становления компьютерных сетей, его содержимое обеспечивало корректную работу сети. Однако в современных ОС пользователи редко взаимодействуют с этим файлом напрямую. Сам файл и его функциональность остались, но его использование уже давно стало необязательным. Поэтому зачастую файл Hosts просто находится внутри ОС и весь период от ее установки и до удаления «проживает» без изменений.
Впрочем, это не всегда так. Файл Hosts может использоваться вредоносным ПО и киберпреступниками для совершения достаточно эффективных сетевых атак. В наших выпусках мы уже упоминали такие понятия как подмена DNS, атака посредника, или «человек посередине», рассказывали о заражениях домашних роутеров. Все это по сути разные способы достижения одного и того же — направить пользователя по ложному адресу, где его будут поджидать злоумышленники. Но существует еще один способ сделать практически все то же самое — при помощи вредоносной модификации файла Hosts.
Чтобы выпуск был интереснее, кратко расскажем, как работает этот файл и для чего он нужен. В компьютерных сетях, работающих по протоколу TCP/IP, в качестве адресов для пересылки блоков с информацией (пакетов) используются IP-адреса. Каждый узел в сети, будь то сервер или клиент, имеет присвоенный ему IP-адрес. Например, сайт drweb.ru доступен по адресу 178.248.232.183. А теперь представьте, что вам нужно запомнить и набрать этот адрес, чтобы посетить сайт. Не слишком удобно, не правда ли? Особенно если учесть количество сайтов, которые мы посещаем каждый день. Поэтому для преобразования сетевых адресов, которые понимает компьютер, в имена, которыми удобно пользоваться человеку, была придумана система доменных имен, она же DNS (англ. Domain Name System). DNS позволяет компьютеру получить IP-адрес по доменному имени и определить, на какой узел нужно направить сетевой запрос. Таким образом, происходит получение соответствия IP адресов доменным именам.
До появления DNS файл Hosts был единственной базой данных, в которой содержалась информация для преобразований имен узлов в сетевые адреса и наоборот. Сейчас же эту задачу выполняют DNS-серверы и соответствующая служба, работающая на локальном компьютере. Например, когда вы в адресной строке браузера набираете привычное имя сайта и нажимаете «ввод», браузер не знает, на какой узел нужно направить ваш запрос. Для получения адреса браузер обращается к специальной службе — DNS-клиенту, которая работает на вашем компьютере. И здесь начинается самое интересное.
Для получения сетевого адреса служба перебирает источники в следующем порядке:
- Файл Hosts.
- Свой собственный кеш
- DNS-сервер, адрес которого прописан в настройках сетевого адаптера.
Как мы видим, файл Hosts предназначен для сопоставления доменных имен IP-адресам. Но важнее то, что файл идет первым в списке, то есть имеет приоритет над кешем службы и обращением к DNS-серверам. Если в файле Hosts отсутствует подходящая запись, то все работает и без него — служба DNS получит IP-адрес из других источников. Именно поэтому многие пользователи и не подозревают о существовании такого файла. Другое дело, если записи в нем все же есть.
Вследствие самого высокого приоритета неправомерная модификация файла Hosts несет серьезную угрозу. Ведь определенная запись, внесенная в файл, заставит любую программу, в том числе браузер, направлять запросы на заданные сетевые адреса, которыми вполне могут быть серверы злоумышленников. Например, для проведения фишинговой атаки киберпреступники могут сделать запись, сопоставляющую легитимное имя сайта с IP-адресом фишингового сайта. Аналогичным образом могут действовать и трояны, целью которых является модификация файла Hosts. Кроме опасностей фишинга, такие действия являются важным подспорьем для злоумышленников при проведении атак «человек посередине». Как мы уже говорили, главное —направить пользователя по ложному пути, а вариантов развития сценария атаки может быть великое множество.
С помощью Hosts также можно вообще заблокировать доступ к любому сайту или сетевому узлу. Для этого определенному доменному имени в качестве сетевого адреса сопоставляется так называемый localhost — локальный адрес компьютера — 127.*.*.*. (как правило, 127.0.0.1). В этом случае при попытке соединиться с указанным узлом по доменному имени компьютер как бы обращается к самому себе. Именно этим способом нелегальные активаторы блокируют программам доступ к серверам активации.
Конечно, у файла Hosts по-прежнему есть прикладное значение. С его помощью можно настроить разрешение имен интернета внутри локальной компьютерной сети. Такой настройкой, как правило, занимаются сетевые администраторы, и рассказ об этом выходит за рамки данной статьи.
Итак, мы выяснили, что модификация файла Hosts может наносить вред безопасности. Как же антивирус защищает пользователя от этой угрозы? Рассмотрим механизмы защиты в контексте ОС семейства Windows, которые применяются в Dr.Web Security Space. Для защиты Hosts используется контроль доступа на уровне превентивной защиты, а также детектирование изменений и лечение файла Сканером Dr.Web. Эти уровни защиты работают независимо друг от друга. По умолчанию превентивная защита блокируют доступ к файлу Hosts, защищая его от изменений, в том числе от модификации пользователем. Если же файл был изменен до установки или во время отключения антивируса, то при проверке Сканер Dr.Web обнаружит инфицированный Hosts и вылечит его. Важно отметить, что лечению подлежат именно так называемые «блокирующие записи» — те, которые блокируют доступ к тому или иному сайту или сетевому узлу в интернете, направляя запросы на localhost.
Высокий уровень контроля, который обеспечивает превентивная защита, сводит возможность модификации файла даже неизвестным трояном практически к нулю. При этом если пользователь исключит файл из проверки превентивной защитой или добавит приложение для модификации файла в доверенные, Сканер Dr.Web все равно будет анализировать и лечить блокирующие записи в файле. Такой подход реализован для комплексной защиты файла и обеспечения безопасности пользователя. Как было замечено выше, самостоятельная модификация файла Hosts обычным пользователем — явление крайне редкое. А вот попытки изменить файл неправомерно — гораздо более распространенная практика. Именно поэтому приоритет отдается надежной защите, нежели свободе действий с загадочным Hosts.
Антивирусная правДА! рекомендует
- Hosts — незаметный, но достаточно важный файл, поэтому если вы не уверены в своих действиях, самостоятельно вносить записи в него не следует. В том числе ориентируясь на инструкции в интернете.
- Для защиты файла от неправомерного доступа используйте комплексное антивирусное ПО. Dr.Web Security Space для Windows надежно защищает все компоненты системы от вредоносного ПО и сетевых атак.
- Если антивирус обнаружил угрозу, связанную с файлом Hosts, значит, одна из программ попыталась модифицировать файл. Выполните лечение файла антивирусом, и файл будет возвращен в исходное состояние.
- Если же вам нужно внести изменения в Hosts с установленным антивирусом Dr.Web, воспользуйтесь этой инструкцией, чтобы добавить файл в исключения. При этом мы категорически не рекомендуем оставлять файл без должного уровня защиты.