Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 254
Таки минибота подсадили…
>> Incoming file transfer: Snatch.exe (Snatch)
>> 16.08.2010 15:06:12 Sagaris wrote:
>> у тебя вирус
>> 16.08.2010 15:06:13 Sagaris wrote:
>> привет
>> 16.08.2010 15:06:18 User wrote:
>> нет, глянь )))
>> 16.08.2010 15:06:20 User wrote:
>> привет!
>> 16.08.2010 15:06:33 Sagaris wrote:
>> ты мне что-то присылал?
>> 16.08.2010 15:06:42 User wrote:
>> ну мини игра типа )
>> 16.08.2010 15:07:05 Sagaris wrote:
>> привет
>> 16.08.2010 15:07:13 User wrote:
>> привет!
…
>> Incoming file transfer: Snatch.exe (Snatch)
>> 16.08.2010 15:06:12 Sagaris wrote:
>> у тебя вирус
>> 16.08.2010 15:06:13 Sagaris wrote:
>> привет
>> 16.08.2010 15:06:18 User wrote:
>> нет, глянь )))
>> 16.08.2010 15:06:20 User wrote:
>> привет!
>> 16.08.2010 15:06:33 Sagaris wrote:
>> ты мне что-то присылал?
>> 16.08.2010 15:06:42 User wrote:
>> ну мини игра типа )
>> 16.08.2010 15:07:05 Sagaris wrote:
>> привет
>> 16.08.2010 15:07:13 User wrote:
>> привет!
…
там еще есть из ключевых слов «бот» и ответ «эээ… сам ты бот =\»
реализация простая троя… но у меня уже пол контактов его впаривают)))
надо бы узнать пароль он меняет на фиксированный или алгоритм есть для этого…
просто вернуть бы людям номера (не все знают что такое примак итд)
реализация простая троя… но у меня уже пол контактов его впаривают)))
надо бы узнать пароль он меняет на фиксированный или алгоритм есть для этого…
просто вернуть бы людям номера (не все знают что такое примак итд)
У вас значит друзья нормальные, у меня многие линуксоиды(я тож красноглазик) =)
везет Вам…
а у меня половина контактов молодые девочки… которые готовы даже фильмы выкачивать 5 гигабайтные если им их кинуть в аську… вот так и живем…
последняя такая «эпидемия» на моей памяти это: «Превед атакует интернет» где рассылали oPreved.exe
а у меня половина контактов молодые девочки… которые готовы даже фильмы выкачивать 5 гигабайтные если им их кинуть в аську… вот так и живем…
последняя такая «эпидемия» на моей памяти это: «Превед атакует интернет» где рассылали oPreved.exe
еще есть ответ «Включи в настройках передачу файлов )» на фразу «У меня аська не принимает файлы». Тут-то я и насторожился — ну не мог мне этот мой контакт сказать такую фразу! :)
Айпишник бы затерли на скрине…
Если троян спамит с зараженной машины, то IP человека светить как бы не корректно.
Само собой, если я ошибаюсь и троян отправляет логин/пас другому боту (который собственно и рассылает файл) то айпи конечно лучше не скрывать.
Само собой, если я ошибаюсь и троян отправляет логин/пас другому боту (который собственно и рассылает файл) то айпи конечно лучше не скрывать.
ога он при запуске находит папки квипа
потом убивает клиенты запущенные
taskkill /F /IM qip.exe
taskkill /F /IM infium.exe
потом удаляет (вроде бы)
потом убивает клиенты запущенные
taskkill /F /IM qip.exe
taskkill /F /IM infium.exe
потом удаляет (вроде бы)
Langs\English.dll
Langs\Russian.dll
Langs\Russian.dll
Кстати, а он что, только qip умеет ломать? Про Миранды и официальные ICQ что-то ни слова, но скриншота…
На машине юзера еще пытался Каспера убить. Каспер сопротивлялся и не умирал, но вирус в упор не видел. Кстати, и сейчас не видит, хотя я им отослал вирус и они сказали:
«snatch.exe — IM-Worm.Win32.QiMiral.ax
Детектирование файла будет добавлено в следующее обновление.
С уважением, Лаборатория Касперского
»
«snatch.exe — IM-Worm.Win32.QiMiral.ax
Детектирование файла будет добавлено в следующее обновление.
С уважением, Лаборатория Касперского
»
Брутальней смотрелось если бы Вы написали: «всем привет» из под логина автора статьй, и в ps указали «Айпишник бы затерли на скрине…»
Можно поподробней. Вирус запускается при согласии(нажатии на кнопке «принять») или при ручном запуске уже скаченного приложения?
Статью переименовать в «Регулярный, стандартный взлом лохов через icq», нет тут ничего иновационного
Регулярный и стандартный, а на работе почти все заразились, идиоты.
Такой массовости давно в аське не было. Если вообще было.
Такой массовости давно в аське не было. Если вообще было.
Видимо люди забыли уже давние проблемы, ничего им напомнили
Идиоты — сисадмины, которые на рабочих станциях оставили возможность запуска файлов не из /windows и /program files или не закрыли запись в эти папки.
Подобные саморассылающиеся трои появились еще в 2004, с тех пор и происходят подобные массовости…
как же, взлом идет через нанофайлы ;-)
по-моему уникальность в миниботе как раз. подошли к делу грамотно
Это же детский сад ё-мое!
Уже давно все должны знать, что нельзя открывать незнакомые экзешники с незнакомых контактов!
Уже давно все должны знать, что нельзя открывать незнакомые экзешники с незнакомых контактов!
С любых контактов :)
Это вот мы такие умные. Когда я сказал бухгалтеру: «Зачем вы открываете экзешники, даже не поинтересовавшись, что такое прислали?», то услышал вопрос: «А что такое экзешник?»
Красота.
Красота.
А что вы хотели от бухгалтера услышать? :)
Наверное такое:
Я проверила с самыми свежими сигнатурами, результат был, отрицательный, но сомнение закравшееся мне в душу было столь глубоко, что я решила проанализировать дизассемблерированый код. Результат поверг меня в уныние и я позвала Вас чтобы поделиться с вами своим скормным мнением о сием неоднозначном творении программистсокого гения.
У бухгалтеров в Windows всегда настройки по умолчанию, а значит расширения файлов не отображаются. Потому и не знают. Попробовали они не знать, что такое расширение во времена ДОСа… :)
Аська в бухгалтерии? Ой-ой.
Во избежание дряни пакостной только бухгалтерский софт (Б-К и прочие «Контуры») должон ходить на просторы WAN'овые через правила строгие да протоколы суровые.
Во избежание дряни пакостной только бухгалтерский софт (Б-К и прочие «Контуры») должон ходить на просторы WAN'овые через правила строгие да протоколы суровые.
Горбатого могила исправит.
Простите, а Вы суть то поняли атаки?
Незнакомыми контактами тут не пахнет.
Незнакомыми контактами тут не пахнет.
Кулхацкеры атакают ))))
Каждый день угоняются сотни UIN`ов! Давайте каждый будет отписываться здесь о том, что он подцепил вирус или о том, что у него или его знакомого украли асю? Ну как дети, ей богу…
Около часа назад присылала сестра жены такое же.
Те же ответы «ну мини игра типа ) », всё на ноте доверия.
Пытаюсь объяснить что у меня другая операционная система и что у меня exe в лучшем случае будет работать с глюками и если игра, то не факт что пойдет… Та — молчит. И файл главное не принимается. Прошу выслать на емаил — контакт оффлайн. :(
Жаль, приватный почтовый ящик спалил спамерам :(
Те же ответы «ну мини игра типа ) », всё на ноте доверия.
Пытаюсь объяснить что у меня другая операционная система и что у меня exe в лучшем случае будет работать с глюками и если игра, то не факт что пойдет… Та — молчит. И файл главное не принимается. Прошу выслать на емаил — контакт оффлайн. :(
Жаль, приватный почтовый ящик спалил спамерам :(
У нас уже в офисе подхватили это счастье. Два аккаунта пришлось ресторить.
Чем-то все это напомнило анекдот, про вирус, который нужно было самостоятельно скачивать, запускать и всем пересылать вручную.
Хотя бы имя файла говорящее.
Вовремя я из памяти этот snatch.exe убрал.
Квип сразу зарывается.
Пароль поменять сейчас не реально — только через icq.com, восстановление пароля.
Квип сразу зарывается.
Пароль поменять сейчас не реально — только через icq.com, восстановление пароля.
Помнится, когда icq пользовался — было несколько раз тоже самое. 2 года назад перешёл на скайп. Всё, ни спама, ни вирусов, всем доволен.
А вообще странно, что icq так популярна в России.
А вообще странно, что icq так популярна в России.
Всё, ни спама, ни вирусов,
ни контактов…
А если серьёзно, то скайп не гарантирует доставку сообщений, да и тяжеловат для IM.
Это да, однако в плане спама, я думаю, скайп лучше.
знакомый как-то смог поймать skype вирус
то и дело от него приходили сообщения с сылакми на сайты и подпись " Foto :D"
то и дело от него приходили сообщения с сылакми на сайты и подпись " Foto :D"
Этож надо вирусы по 900 кб писать!
Вот раньше деревья были большими, а вирусы маленькими.
Вот раньше деревья были большими, а вирусы маленькими.
Это же кулхацкеры. Он на визуал бесике, не иначе!)))
Вы не поверите, он весит 10 мегабайт просто упакован в rar.
И как показывает практика уже прилично по сети разошёлся, не смотря на размер. Сейчас же почти для всех 900 кб не так уж и много. А ведь интересно посмотреть, что там за Snatch.
Тем более, далеко не все знают, как общаться с ботами: «У нас же последняя версия антивируса, нам море по колено». и тп
Тем более, далеко не все знают, как общаться с ботами: «У нас же последняя версия антивируса, нам море по колено». и тп
размер 10 Мб думаю сделан специально, ведь это «мини-игра», так что будь там размер 5кБ было бы уж очень подозрительно.
Такой большой размер идет на мусор, который позволяет обходить эвристики антивирусов. Т.е. «плохие» функции разбавляются «хорошими», или просто ресурсами и общий рейтинг опасности файла снижается ;)
В такой объем могли бы еще и правда игрушку запихать!
Художественный фильм «Сп**дили»
Суровый способ распространения. Почти как вирус, который писал на почту что ему очень грустно и просил его запустить.
Выложите кто-нить на файлопомойку это чудо
Скачать мини-игру Snatch.exe без регистрации здесь »
А я с ним прикольно поболтал!
Fozzy 16 августа 2010 г.
15:13:13 :)
Fozzy 16 августа 2010 г.
15:13:16 Snatch.exe (Snatch)
0lympian 16 августа 2010 г.
15:13:46 что за вирусня? ;)
Fozzy 16 августа 2010 г.
15:13:55 глянь ))
0lympian 16 августа 2010 г.
15:17:32 бот? ;)
Fozzy 16 августа 2010 г.
15:17:39 эээ… сам ты бот =\
0lympian 16 августа 2010 г.
15:17:53 ск0ка будет два плюс восемь?
15:18:20 хихихи
16 августа 2010 г., 15:19:39, Fozzy signed off.
Fozzy 16 августа 2010 г.
15:13:13 :)
Fozzy 16 августа 2010 г.
15:13:16 Snatch.exe (Snatch)
0lympian 16 августа 2010 г.
15:13:46 что за вирусня? ;)
Fozzy 16 августа 2010 г.
15:13:55 глянь ))
0lympian 16 августа 2010 г.
15:17:32 бот? ;)
Fozzy 16 августа 2010 г.
15:17:39 эээ… сам ты бот =\
0lympian 16 августа 2010 г.
15:17:53 ск0ка будет два плюс восемь?
15:18:20 хихихи
16 августа 2010 г., 15:19:39, Fozzy signed off.
Отправил вирустотал — почти не детектится никем. Отправил дрвеберам ;)
о_О
Хм… Судя по «лексикону» оооочень сильно напоминает февральский вирус, который умел отвечать в аське (H1N1, показывал картинку со свином). Видимо авторы доработали.
К сожалению, некоторые живые люди общаются примерно так же :(
> user: :)
> user: Snatch.exe (Snatch) — пересылка файла.
> rusmikev: это что?
> user: глянь ))
> user: еще раз кинь
> user: Snatch.exe (Snatch) — повторная пересылка файла после моей просьбы.
> rusmikev: аська не хочет принимать
> user: ну мини игра типа )
Больше всего я удивился повторной отсылке файла.
Файл так принять и не удалось — попросил товарища скинуть и дальше уже с ним игрался. Под виртуалкой запустил — ничего не произошло. Подожду еще некторое время.
> user: Snatch.exe (Snatch) — пересылка файла.
> rusmikev: это что?
> user: глянь ))
> user: еще раз кинь
> user: Snatch.exe (Snatch) — повторная пересылка файла после моей просьбы.
> rusmikev: аська не хочет принимать
> user: ну мини игра типа )
Больше всего я удивился повторной отсылке файла.
Файл так принять и не удалось — попросил товарища скинуть и дальше уже с ним игрался. Под виртуалкой запустил — ничего не произошло. Подожду еще некторое время.
А файлик-то 7zip'ом открывается =) На дэльфи писанина внутри. Жаль нет виртуальной машины под рукой, что бы поиграться.
а линух есть? можно попробовать под вайном поиграться )))
у меня только продашн есть, и как-то что-то на нем делать не охото.
Вообще-то это плохая идея. Уж что-что, а от вирусов вайн не защищает по определению. Другое дело, что вирус там вряд-ли заработает, но это уже другие проблемы, и о них обязательно надо сообщить девелоперам вайна, что бы в следующей версии этот вирус работал без сучка и задоринки.
Ага, подсадить в ответный поток эксплоит и взломать взломщиков? ;)
да я думаю это тупо бот, который пароли через аську сливает, а не на какой-нибудь сервак.
Мой анализ конечно сделан на основе изучения HEXа, поэтому твердо говорить не могу.
Мой анализ конечно сделан на основе изучения HEXа, поэтому твердо говорить не могу.
А известны ли случаи «обратного взлома» (взлома распространителей вируса) через модификацию вируса (эксплоитный ответ и т.п.)?
чаще всего уводят админки на контрольных серверах и сливают ботов.
поясню: чаще всего бот с админкой общается посредством HTTP-протокола, отсюда возможность составить произвольный запрос к веб-серверу (к скрипту, обрабатывающему отстуки от ботов и работающему с БД), и если некоторые из параметров недостаточно фильтруются (или не фильтруются вобще), то возможна SQL-инъекция. некоторые старые версии админок известного Zeus были уязвимы, под них существовали эксплоиты.
www.mywot.com/en/scorecard/spycheck.co.uk/comment#comment
SpyCheck, которым вы проверяли архив, тоже не блещет репутацией, похоже.
SpyCheck, которым вы проверяли архив, тоже не блещет репутацией, похоже.
Очередное напоминание о том что надо пересесть на мак или убунту)
Очередное напоминание о том, что не надо всякую ерунду, пересланную по аське запускать.
Очередное напоминание, что надо включить мозг. Под маком, убунтой или виндой — не важно.
Вы давно заглядывали в phrack magazine? когда я последний раз там был с несколько месяцев назад, там валялся годный такой руткит под Snow Leopard.
кстати подобные глупости как эта среди мак юзеров точно так же распространяются — создаем app бандл с «вирусом», меняем ему иконку на иконку текстового документа и вуаля… каждый второй хомячек вводит пароль для открытия текстового файла — проверено в отдном отдельно взятом офисе )
кстати подобные глупости как эта среди мак юзеров точно так же распространяются — создаем app бандл с «вирусом», меняем ему иконку на иконку текстового документа и вуаля… каждый второй хомячек вводит пароль для открытия текстового файла — проверено в отдном отдельно взятом офисе )
Назвать вирус Snatch, что в литературном переводе значит «Стащить» или в нелитературном «Спи$#@ть», нужно быть хорошим шутником. Кстати, фильмец «мистера Мадонна», Гая Ричи «Большой куш» (Snatch) вообщем-то был неплох.
сколько аська существует — столько времени и проблемы от неё сплошные.
как-то со скайпом такого не наблюдал никогда
как-то со скайпом такого не наблюдал никогда
Это им еще повезло что файл не плодится и не прячется.
А то были бы без асек.
Microsoft Security Essentials между делом не признает в нем вируса, как и Dr.Web впрочем.
Как им его на анализ отправить-то?
А то были бы без асек.
Microsoft Security Essentials между делом не признает в нем вируса, как и Dr.Web впрочем.
Как им его на анализ отправить-то?
Забавно было, когда один из моих контактов просто прислал сообщение типа «глянь))» безо всяких файлов, а через пару минут в онлайне появился реальный хозяин уина и долго извинялся за вирус… =))
переходите на Linux и будет вам щастье. А вообще конечно странние люди… мне казалось таких ламеров уже нету.
Может быть туда просто что-то вроде уже обученного элисбота впихнули? ;)
Тоже получил из контакт листа такое сообщение, пробовал заговорить — молчит, как партизан)=
И зачем это на хабре?
я (16:30:34 16/08/2010)
ээ
я (16:30:39 16/08/2010)
зачем мне троян
он (16:30:48 16/08/2010)
а зачем рыбе велосипед? )
я (16:31:01 16/08/2010)
ктож знает
я (16:31:33 16/08/2010)
толстый больно у тебя троян вышел
я (16:31:35 16/08/2010)
900кб…
ээ
я (16:30:39 16/08/2010)
зачем мне троян
он (16:30:48 16/08/2010)
а зачем рыбе велосипед? )
я (16:31:01 16/08/2010)
ктож знает
я (16:31:33 16/08/2010)
толстый больно у тебя троян вышел
я (16:31:35 16/08/2010)
900кб…
У меня вообще какой-то уникальный случай
Вовка, 16.08.2010 14:05:38:
:)
Вовка, 14:05:38:
Прием файла: Snatch.exe
Snatch
dotsquid, 14:09:30:
че это?
Вовка, 14:09:44:
вирус
не запускай
Вовка, 16.08.2010 14:05:38:
:)
Вовка, 14:05:38:
Прием файла: Snatch.exe
Snatch
dotsquid, 14:09:30:
че это?
Вовка, 14:09:44:
вирус
не запускай
Мышки плакали, кололись, но продолжали жрать кактус…
Автор трояна читает хабр и стебется над логикой бота.
16.08.2010 15:15:54, С
:)
16.08.2010 15:15:57, С sent file
Имя файла: Snatch.exe
Кол-во: 1
Размер: 916,5 KByte
Сообщение: Snatch
IP: 195.138.92.85
16.08.2010 15:17:33,AstaRoth
что это??
16.08.2010 15:17:39, С
глянь ))
16.08.2010 15:18:12, AstaRoth
поконкретнее
16.08.2010 15:18:20, AstaRoth
вирус?
16.08.2010 15:18:30, Слыщенко
нет, что ты? как можно?! )
16.08.2010 15:19:20, Слыщенко
ну мини игра типа )
\\интеллектуальный бот
:)
16.08.2010 15:15:57, С sent file
Имя файла: Snatch.exe
Кол-во: 1
Размер: 916,5 KByte
Сообщение: Snatch
IP: 195.138.92.85
16.08.2010 15:17:33,AstaRoth
что это??
16.08.2010 15:17:39, С
глянь ))
16.08.2010 15:18:12, AstaRoth
поконкретнее
16.08.2010 15:18:20, AstaRoth
вирус?
16.08.2010 15:18:30, Слыщенко
нет, что ты? как можно?! )
16.08.2010 15:19:20, Слыщенко
ну мини игра типа )
\\интеллектуальный бот
Уже пора ссылку на вирус кинуть…
Заждались уже все :)
Заждались уже все :)
Совсем вирусописатели разленились, уже вирусы по 900кб весят.
Еб*ный стыд.
Еб*ный стыд.
Хорошо еще, что не пишет что то в стиле «Для запуска данного ПО, установите framework или аппаратная конфигурация не позволяет запустить данное ПО»
специально размер увеличен, мне кажется. И вообще этот вирус сам по себе очень даже неплох. Отлично сделан.
Кому интересно, вот тушка — filebeam.com/b1828c9fce8bd093590ea2410b51ca34
плохой бот, на мою фразу «ээээммм… и что с этим делать?» он сразу ушёл в оффлайн :(
ха, видимо не все смотрели одноимённый этому троянцу фильм с Брэдом Питтом, в переводе Гоблина — SNATCH! (спи*дили!) идеальное название для кражи пассвордов:)
собссно news.rambler.ru/7279151/
Еще немного и следующая версия вируса пройдет тест Тюринга…
Мне вот интересно а с оригинального клиента вирус ворует UIN'ы?
Если нет то это происки icq.com :)
Если нет то это происки icq.com :)
Подловил себя на мысли, что это первый троян, который я чуть было не запустил
Даже принял, но вовремя остановился. Перезвонил контакту, выяснилось, что это троян
Потом посыпалось от остальных.
Все-таки такая тупая социальная инженерия «в лоб» без всяких ухищрений имеет право на жизнь
Даже принял, но вовремя остановился. Перезвонил контакту, выяснилось, что это троян
Потом посыпалось от остальных.
Все-таки такая тупая социальная инженерия «в лоб» без всяких ухищрений имеет право на жизнь
А почему они туда игры не вставили? вот что меня смущает (
А еще никто не смотрел какие данные и куда шлет эта дрянь?
Как страшно жить!
Да нормальная игра, я уже почти прошел!
нашел флеш игрушку ~900кб
переименовал в Snatch.exe
и разослал контакт-листу
переименовал в Snatch.exe
и разослал контакт-листу
название файла который надо принять уже говорит о многом
Ды что же вы, это же игрушка «найди человека, который хоть что-то понимает в компах и дай ему посмеяться над собой»
Играйте на здоровье.
П.с.
надо бы найти все ответные сообщения бота, интеренсо, сколько их.
Играйте на здоровье.
П.с.
надо бы найти все ответные сообщения бота, интеренсо, сколько их.
Согласно отчету Virus Total, snatch.exe опознали как вредоносную программу лишь 9 антивирусов из 42: Authentium, BitDefender, Emsisoft, F-Prot, F-Secure, GData, Ikarus, Panda и Sunbelt.
rblv (15:51:02 16/08/2010)
что это?
!!! VAMP!!! (15:51:13 16/08/2010)
глянь ))
что это?
!!! VAMP!!! (15:51:13 16/08/2010)
глянь ))
только под вечер прочел про «напасть», за весь день ни одного сообщения с запросом на принятие файла… печаль
Мне тоже днем присылали этот файл, только почему то у него расширения не было. И тот кто прислал был молчалив.
давно на главнойхабра не было кипа. уже и забыл как он выглядит
Меня пол дня атаковали сегодня эти монстры, но я выдержал :)
Удивительно сколько в мире осталось леммингом. Даже админы ведутся а потом говорят «ну друг же прислал». Когда же народ поумнеет… вернее похитреет.
очень забавное и почти метафорическое имя файла.
А этот вирус работает без админских прав?
По-сути, они ему нафиг не нужны, но предок его валился из-за неудачной попытки записи метки активации в HKLM, сейчас это исправили или там тот же быдлокод?
По-сути, они ему нафиг не нужны, но предок его валился из-за неудачной попытки записи метки активации в HKLM, сейчас это исправили или там тот же быдлокод?
Название прикольное, как уже было подмечено — есть фильм с одноименным названием.
Я еще на этот прикол не попался, т.к. как пользуюсь miranda.
Но как-то(вроде в прошлом году) пришел аналогичный файл… пароль менялся настолько глупо просто ужас… допустим, если пароль — qwe123, то он поменяется на 321ewq.
Надо бы получить данный файл, да в БитДефендер отправить :)
Я еще на этот прикол не попался, т.к. как пользуюсь miranda.
Но как-то(вроде в прошлом году) пришел аналогичный файл… пароль менялся настолько глупо просто ужас… допустим, если пароль — qwe123, то он поменяется на 321ewq.
Надо бы получить данный файл, да в БитДефендер отправить :)
отличная игра, играли всем офисом по сети!
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Очередной массовый взлом ICQ-UIN'ов