[ON] Выявлено 20 компаний, распространявших поддельный медиаплеер VLC с троянским кодом

[rssbot]

Разработчики проекта VideoLAN обратили внимание на появление в сети около 20 ресурсов, распространяющих сборки медиаплеера VLC, в которые интегрированы посторонние компоненты, показывающие рекламу (adware) или шпионящие за действиями пользователя (spyware). Примечательно, что большинство из подобных сборок позиционируются как оригинальные версии VLC, активно рекламируются через системы контекстной рекламы и выводятся на первых страницах при поиске VLC в поисковых системах. Распространяющие данные сборки компании не только нарушают принадлежащие проекту VideoLAN торговые марки, вводя пользователей в заблуждение из-за использования того-же названия, но и нарушают лицензию GPL, так как код троянских компонентов остается закрытым. Еще хуже то, что авторы подобных сборок не просто наживаются на чужом труде, но и дискредитируют оригинальный проект в глазах пользователей, которые под именем VLC получают совсем не то, что ожидалось, и без специальных инструментов не могут удалить поддельную сборку. Разработчики проекта VideoLAN обращают внимание, что загружать медиаплеер VLC следует только с основного сайта videolan.org, не веря похожести названий других доменов. Например, поддельные версии VLC поставляются с таких сайтов, как vlcplayer.net, vlс.us.com, vlсdownload.org, vlс-media-player-blog.com, downloadvlсplayer.net, vlc-mirror.org и т.п.


Источник: http://www.opennet.ru/opennews/art.shtml?num=31158


оригинал на opennet.ru

[sash-kan]

Разработчики проекта VideoLAN обращают внимание, что загружать медиаплеер VLC следует только с основного сайта

что за бред? устанавливать программы надо из официального репозитория своего дистрибутива, а не из каких-то левых источников·

[diesel]

Разработчики проекта VideoLAN обращают внимание, что загружать медиаплеер VLC следует только с основного сайта

что за бред? устанавливать программы надо из официального репозитория своего дистрибутива, а не из каких-то левых источников·

vlc вроде как не только для линукса бывает

[sash-kan]

vlc вроде как не только для линукса бывает

не слышал о таком дистрибутиве, ну да речь не об этом, а, как я понимаю, о дистрибутивах без репозитория·

если уж создатели дистрибутива не утруждают себя даже созданием и поддержанием в актуальном состоянии официального репозитория с полезными и нужными пользователям программами, стоят ли такие дистрибутивы вообще упоминания?

[dergachev]

стоят ли такие дистрибутивах вообще упоминания?

Неа. Оффтопик же

[watashiwa_daredeska]

стоят ли такие дистрибутивах вообще упоминания?

Стóят. Поддержание всяческих там репозиториев и соблюдение различных policy — это SLA. Право на жизнь имеют более одного SLA, это во-первых, а во-вторых, пользователь сам волен решать, какой уровень сервиса ему нужен. В-третьих, при общей удовлетворительности сервиса основного поставщика, в отдельных случаях пользователь имеет право хотеть странного. В-четвертых, разработчики в принципе не могут призывать использовать какие-то сторонние источники по шаблону («репозиторий Вашего дистрибутива») без предварительного с ними согласования. По одной простой причине — если они призывают это делать, то морально обязаны оказать тех. поддержку пользователям, воспользовавшимся их советом (и скачавшим криво запакованное слабоработающее нечто). Сразу же вспоминается конфликт Debian и MPlayer, когда в силу различных объективных причин MPlayer был обрезан до почти полной невменяемости и по обоюдному согласию сторон был вообще исключен из официальных репозиториев до лучших времен.

[kma21]

sash-kan, VLC разрабатывается так же и для Windows, которая репозиториев не имеет.

Это ж каким надо быть... гхм... не компетентным в компьютерах, чтобы скачивать программу с сайта, в домене которого содержится название программы и слово "download"?

[SinClaus]

Какой только пакости не скачивают пользователи винды...

[Bluetooth]

sash-kan, VLC разрабатывается так же и для Windows, которая репозиториев не имеет.

Это ж каким надо быть... гхм... не компетентным в компьютерах, чтобы скачивать программу с сайта, в домене которого содержится название программы и слово "download"?

Не все так просто. Стоит только проявить невнимательность, и скачаешь за милую душу. Они ведь тоже не дураки, стараются как можно менее заметным сделать подлог. Последнее, что помню - djvureader с каким-то непонятным установщиком, требующим денег(возможно, еще и трояном), который можно скачать по ссылке прямо с официциального сайта djvureader(там рядом с кнопкой скачать нормальный есть блок рекламы, и в блоке рекламы тоже ссылка на скачивание, но уже с установщиком, требующим денег).

Так что если Вы не пользуетесь ПО из подписанного хранилища, то рано или поздно Вы скачаете что-то не то.

[MrClon]

Это ж каким надо быть... гхм... не компетентным в компьютерах, чтобы скачивать программу с сайта, в домене которого содержится название программы и слово "download"?

Это-же на сколько надо быть далёким от народа что-бы не знать что таких если и не большинство, но во всяком случае очень много (:

[BURF]

что за бред? устанавливать программы надо из официального репозитория своего дистрибутива, а не из каких-то левых источников·

Может быть VLC просто НЕТ в официальных репозиториях (OpenSUSE 11.3)?

[MrClon]

Что, правда нет? С трудом верится.
А вот в репах Windows его точно нет по причине отсутствия реп (: На опеннете кстати уже подняли тему о необходимости реп в винде (по идее в Win8 обет что-то вроде маковского аппстора, но сомневаюсь что будет широко использоваться).

[den_beckett]

Что, правда нет? С трудом верится.

Действительно нет. Есть в pacman и в офиц. videolan.

На опеннете кстати уже подняли тему о необходимости реп в винде

Им там не сказали, что сии репы будут by default анально оккупированы Мелкософтом, и следовательно - безблагодатны?

[watashiwa_daredeska]

что-то вроде маковского аппстора

Это в стиле «плати $15 и заливай хоть 100 троянов»? :)

[MrClon]

Эполовцы свой стор вроде не слабо модерят, думаю M$ тоже будет.

den_beckett
В том-же эполовском сторе (хоть и не без скандала) вполне успешно живёт тот-же vlc, думаю сейчас там можно без проблем свободный софт размещать. Почему-бы и MS не сделать как-то так-же. Им ведь не привыкать тырить у apple (:

[den_beckett]

Я имел в виду, что из предполагаемого репозитория будет автоматом ставится вместе с обновлениями всякая гадость, лично мне, например, совершенно не нужная. Зная Мелкософт я ничуть не удивлюсь, если они так и сделают.

[Nazyvaemykh]

Так что если Вы не пользуетесь ПО из подписанного хранилища, то рано или поздно Вы скачаете что-то не то.

Если не знать заранее подписи разработчика той или иной программы (а чаще всего это именно так), то, надо полагать, рано или поздно подпись мошенника вместо подписи разработчика, да?

[sash-kan]

стоят ли такие дистрибутивах вообще упоминания?

Стуят. Поддержание всяческих там репозиториев и соблюдение различных policy — это SLA. Право на жизнь имеют более одного SLA, это во-первых, а во-вторых, пользователь сам волен решать, какой уровень сервиса ему нужен. В-третьих, при общей удовлетворительности сервиса основного поставщика, в отдельных случаях пользователь имеет право хотеть странного. В-четвертых, разработчики в принципе не могут призывать использовать какие-то сторонние источники по шаблону («репозиторий Вашего дистрибутива») без предварительного с ними согласования. По одной простой причине — если они призывают это делать, то морально обязаны оказать тех. поддержку пользователям, воспользовавшимся их советом (и скачавшим криво запакованное слабоработающее нечто). Сразу же вспоминается конфликт Debian и MPlayer, когда в силу различных объективных причин MPlayer был обрезан до почти полной невменяемости и по обоюдному согласию сторон был вообще исключен из официальных репозиториев до лучших времен.

что такое официальный репозиторий? это то, что не влезло на распространяемый носитель(-и)·
не какая-то сторонняя надстройка, а всего лишь _полное_ содержимое дистрибутива·
плюс к тому — средство оперативного реагирования на вскрывшиеся уязвимости·

можно обойтись и без него, конечно· если, например, весь дистрибутив влазит на носитель(-и)·
но пользователь сразу же лишается «средства оперативного реагирования»·
да, можно обойтись и без этого средства, возложив заботу об уязвимостях на плечи пользователя·
если пользователь именно этого хочет· как говорится, «любой каприз за ваши деньги»·

опасность кривой сборки? значит, к репозиторию и баг-трекер нужно приложить·

да, можно обойтись без всего вышеперечисленного· получите дистрибутив windows, просим любить и жаловать… _очень_ большой каприз за ваши собственные деньги… кто научил так много людей быть такими капризными?

[MrClon]

Я имел в виду, что из предполагаемого репозитория будет автоматом ставится вместе с обновлениями всякая гадость, лично мне, например, совершенно не нужная. Зная Мелкософт я ничуть не удивлюсь, если они так и сделают.

А я и не говорит что затея обречена на успех. Недоверие к M$ у многих пользователей слишком сильно (вообще это интересно: не доверять производителю собственной ОС), спасибо «уведомлениям о проверки подлинности» и прочим подобным вещам.
Думаю процент тех кто практически не будет пользоваться этим «репозиторием» примерно равен проценту людей не ставящих обновления на Windows.

Если не знать заранее подписи разработчика той или иной программы (а чаще всего это именно так), то, надо полагать, рано или поздно подпись мошенника вместо подписи разработчика, да?

В дистрибутив по умолчанию включен публичный ключ от закрытого ключа которым подписываются все пакеты в репозитории. Это один из вариантов.

[watashiwa_daredeska]

что такое официальный репозиторий? это то, что не влезло на распространяемый носитель(-и)·
не какая-то сторонняя надстройка, а всего лишь _полное_ содержимое дистрибутива·

Ничто не мешает дистрибутиву быть очень минимальным. От этого он не перестает быть дистрибутивом, но многий софт ставится со стороны.

опасность кривой сборки? значит, к репозиторию и баг-трекер нужно приложить·

Опять-таки, вспоминаем давешнюю ситуацию с MPlayer в Debian. Багтрекер есть, баг в нем есть, а MPlayer в официальных репах нет. Особо упертые могут упираться дальше, а я уж как-нибудь найду способ поставить, если надо.

[Bizdelnick]

sash-kan, watashiwa_daredeska, ну что вы за "дистрибутивы" обсуждаете? Если догадаться не в силах, достаточно пройти по любой из ссылок и увидеть, что там предлагают скачать файл vlc.exe или vlcplayer.exe... Или обнаружить невинный бложик, не предлагающий ничего качать иначе как с оф. сайта.

[sash-kan]

Ничто не мешает дистрибутиву быть очень минимальным. От этого он не перестает быть дистрибутивом, но многий софт ставится со стороны.

конечно не перестаёт· в апофеозе — все программы надо ставить «со стороны»· образец такого подхода я уже упомянул· очень правильный подход, я считаю: «мокрые письки скачать бесплатно›·

а я уж как-нибудь найду способ поставить, если надо

любой каприз за твои деньги! (улыбка)

Если догадаться не в силах, достаточно пройти по любой из ссылок и увидеть, что там предлагают скачать файл vlc.exe или vlcplayer.exe

платформа windows точно так же распространяется с помощью дистрибутивов· купить официальный дистрибутив можно практически в любой компьютерной забегаловке·

[Bizdelnick]

платформа windows точно так же распространяется с помощью дистрибутивов· купить официальный дистрибутив можно практически в любой компьютерной забегаловке·

Только а) нормальный плеер в него включить забыли, б) "дистрибутив" изначально рассчитан на установку левых программ.

[sash-kan]

платформа windows точно так же распространяется с помощью дистрибутивов· купить официальный дистрибутив можно практически в любой компьютерной забегаловке·

Только а) нормальный плеер в него включить забыли, б) "дистрибутив" изначально рассчитан на установку левых программ.

о чём речь и веду·

[diesel]

В том-же эполовском сторе (хоть и не без скандала) вполне успешно живёт тот-же vlc,

не живет

думаю сейчас там можно без проблем свободный софт размещать.

под GPL - без проблем, нельзя.

[watashiwa_daredeska]

очень правильный подход, я считаю: «мокрые письки скачать бесплатно›·

Предлагаю взглянуть вот с какой стороны: если бы хоть кто-нибудь не качал бесплатно все эти «мокрые киски», то не было бы пополнения так любимых тобой репозиториев дистрибутивов новыми программами. Ведь все качали бы из репов и никуда больше не заглядывали — вирусы же, трояны и прочая гадость.

[MrClon]

Что-то я твою мысль не переварил. Если-бы все качали из репозиториев то репозитории-бы не пополнялись?

[Bizdelnick]

Если-бы все качали из репозиториев то репозитории-бы не пополнялись?

Если бы майнтейнеры тоже качали только из репозиториев, то, очевидно, да. :-)

[alv]

что за бред? устанавливать программы надо из официального репозитория своего дистрибутива, а не из каких-то левых источников·

+100500

vlc вроде как не только для линукса бывает

а вот это уже их проблемасы

Какой только пакости не скачивают пользователи винды...

Именно - и VLC средь них не самая страшная

[sash-kan]

очень правильный подход, я считаю: «мокрые письки скачать бесплатно›·

Предлагаю взглянуть вот с какой стороны: если бы хоть кто-нибудь не качал бесплатно все эти «мокрые киски», то не было бы пополнения так любимых тобой репозиториев дистрибутивов новыми программами. Ведь все качали бы из репов и никуда больше не заглядывали — вирусы же, трояны и прочая гадость.

продолжая смотреть в ту же сторону, вижу программистов, переставших писать программы, мэйнтэйнеров, переставших их собирать, и вообще семь миллиардов человек, срочно решивших съездить в сочи·
давай не будем смотреть в эту смешную сторону?

а посмотрим в другую:
есть удобная для пользователей и полезная во многих отношениях схема: «дистрибутив + репозиторий + баг-трекер»·
а есть неудобная и даже часто вредная для пользователей схема: «(микроскопический) дистрибутив и больше нихрена»·

откуда берутся пользователи, до сих пор согласные колоться о вторую схему, для меня — полная загадка…