Когда говорят о заражённом компьютере, обычно думают о деньгах на карте. Но у владельца сайта есть актив, который уводят так же тихо и теряют болезненнее, – доменное имя. Доступ к нему лежит в браузере, рядом с банковскими паролями, и забирают его тем же инструментом.

От ZeuS к современным стилерам

Родоначальник жанра – троян ZeuS (он же ZBot), появившийся в 2007 году. Он перехватывал ввод с клавиатуры, подменял содержимое банковских страниц прямо в браузере и отправлял собранное оператору. В 2011 году исходный код утёк в открытый доступ, и на его основе выросло целое семейство программ. Крупнейший ботнет на его базе, Gameover ZeuS, был обезглавлен международной операцией в 2014 году.

Сам ZeuS давно музейный экспонат, но его наследники никуда не делись. Современный класс таких программ называют стилерами (infostealer): они не следят за экраном месяцами, а за один заход выгребают из браузера всё ценное и исчезают.

Что крадут кроме пароля

Главное изменение со времён ZeuS в том, что пароль перестал быть основной добычей. Стилер забирает:

  • Cookies и токены сессий. Это готовый вход в уже открытый аккаунт – пароль спрашивать не нужно.
  • Сохранённые в браузере пароли. Встроенное хранилище браузера расшифровывается на том же компьютере без дополнительных ключей.
  • Содержимое буфера обмена и файлы по заданным маскам.

Отсюда важное следствие: украденная сессия обходит двухфакторную аутентификацию. Второй фактор проверяется при входе, а подставленная cookie означает, что вход уже состоялся. Поэтому при подозрении на заражение мало сменить пароль – нужно завершить все активные сессии.

Почему домен – отдельная цель

Получив доступ к личному кабинету регистратора, злоумышленник действует быстро:

  • меняет DNS-серверы и уводит посетителей и почту на свой сервер;
  • переписывает контактные данные, чтобы письма о подтверждении шли ему;
  • пытается перенести домен другому регистратору – после этого вернуть имя гораздо сложнее.

Вторая мишень – почтовый ящик администратора домена. Через него восстанавливается доступ к самому кабинету, так что ломать кабинет напрямую часто и не требуется. Подробный разбор сценариев – в статье о краже доменов.

Что защищает домен

  • Запрет на перенос. Registrar lock у регистратора – самая дешёвая и самая действенная мера.
  • Отдельная почта под регистратора, не та, что указана на визитке и в каждом форуме.
  • Второй фактор и на кабинете регистратора, и на этой почте. О выборе и хранении паролей – отдельная статья.
  • Не хранить пароли в браузере. Именно это хранилище стилеры забирают в первую очередь.
  • Регулярно сверять данные домена. Подмена DNS-серверов или контактов видна через whois-поиск, а несколько доменов удобно проверять списком.

Если заражение всё же случилось: сначала вылечить или переустановить систему, и только потом менять пароли – смена с заражённой машины отдаёт новые пароли тому же, кто украл старые. После смены – завершить все сессии и проверить, не изменились ли DNS-серверы и контакты домена.