realise Sep 17 2009 at 18:58

Очередной троян и веб-студия

3 min

500

Lumber room

+14

Comments 17

LMaster Sep 17 2009 at 19:05

У меня тоже был подобный случай:
1) Ссылка по ICQ вида site.com/image.gif
2) Открываем ссылку, там картинка, но тип text/html
3) Смотрим исходник страницы:

_много пробелов_<iframe на сплоит>
И да, было бы интересно увидеть отчет virustotal'а на файл.

LMaster Sep 17 2009 at 19:07

Парсер — лох:
3) Смотрим исходник страницы: (img src=pic.gif)_много пробелов_(iframe на сплоит)
где ( и ) — < и > соответственно.

UFO landed and left these words here

fStrange Sep 17 2009 at 19:11

Да, письмо, с просьбой проверить свой сайт, в ту компанию сразу же написал.
еще неплохо бы письмо контент провайдеру, которому принадлежит короткий номер 6008.

Valery4 Sep 17 2009 at 19:21

Где то на хабре было про этот вид вымогательства.
На сайте Доктора Веб — как раз была генерилка ответных кодов.

habrahabr.ru/blogs/infosecurity/65041/

news.drweb.com/show/?i=304&c=9&p=0

webboy Sep 17 2009 at 19:24

Стоимость смс 206,5 рублей (Теле2). Услуги оказывает «Мультимедиа Сервис» (в оригинальном сообщении Tele2 написано: «MultimediaService»)

volanddd Sep 17 2009 at 20:06

присоединюсь к предыдущей просьбе — дайте ссылку на анализ на virustotal.com

al_one Sep 17 2009 at 21:11

www.virustotal.com/ru/analisis/fc9f127758e322a6d1b28d1aff42356ab3c4ca3ee239883e8dd57014ab938c7a-1253221461
Может тот же файл, а может модификация. Вначале тоже не определялся ни одним антивирусом, теперь уже добавили в базы.

NeonXP Sep 17 2009 at 20:17

Был чисто абстрактный интерес, а действительно если код полученный по смс ввести, то вся вирусня пропадала? И как надолго? Были у кого-нибудь знакомые, которые «велись» и отправляли смс?

volanddd Sep 17 2009 at 20:51

ну подумайте чисто логически — 1) даже если разработчик вируса этого захочет вирус блокирует работу систему до соединения с интернет 2) разработчик этого не захочет 3) если он этого захочет вычислить его будет проще так что смотрим пункт 2)

volanddd Sep 17 2009 at 20:53

о тут же ответ по смс должен прийти… отстаю от этого развития вирусов

alcanoid Sep 17 2009 at 23:25

Кто-то из знакомых рассказывал, что подобный эксперимент был поставлен. Ужасная синяя заставка действительно пропала, но через некоторое время появилась снова в несколько видоизменённой форме. :)

Полагаю, продолжать можно было бы до бесконечности.

NeonXP Sep 17 2009 at 23:46

Спасибо, вот это я и хотел узнать.

pixxxel Sep 17 2009 at 22:10

Отправил смс, а куда теперь ключ вводить, когда он прийдет?

skobkin Sep 17 2009 at 22:50

Скорее сервер взломали. Или недобросовестный клиент. Но безалаберность студии никто не отменяет…

Etherial Sep 18 2009 at 01:56

Позавчера наш директор такой же подцепил. После медитативного изучения сайта DrWeb пароль был подобран со второго раза: 0000000

ZUZ Sep 18 2009 at 06:55

ваще с антивирусами жесть какая-то! никто ничего не видит — теперь тока мешаются млин

тот же доктор вэб не видит в упор (прям посовываешь на проверку файл) не видит вирь месячной давности! и он совсем не фигня (по крайней мере смог удалить только ручками — ни AVG ни AVZ ни AD-Aware пытались, но после перезагрузки все на месте, причем само тело вируса, сидящее в Temp не мог удалить даже UNlocker в сэйф-моде, ситауцию спас линукс :))