Однокласникис.инфо

[korynd]

Письма подобного рода могут проверять используемость аккаунта или направлять на заражённый сайт. Также это может использоваться для сопоставления этого акка с IP-адресом.
Может, сделать скрипт, который будет выкладывать спам на хабр?

[rosnovsky]

Так. Зараженный сайт, скорее всего, отпадает - моментально выкидывает на настоящих одноклассников. Правда, у меня Мак, что не исключает заражения для виндоус-машин.

Насчет скрипта - не понял юмора :)

[korynd]

Скрипт нужен, чтобы все хабралюди могли насладиться содержимым папки "Спам".

[rosnovsky]

Это сообщение не попало в спам, ясен павел. Это же стандартное письмо от одноклассников, которое гмыло и другие пропускают на ура.

[korynd]

По сути, это нежелательное письмо, которое пришло на "почту" одноклассников.

[nick1one]

Ко мне сегодня пришло 3 таких. Попали прямиком в спам, где я их случайно и нашёл. Отосланы были на 3 адреса одного домена, который принадлежит мне. На этом домене настроена переадресация на мой gmail повседневный. Очень удивило как связали мой домен с аккаунтом на одноклассниках. :(

[marsohod17]

У меня нет аккаунта на одноклассниках, но мне тоже пришло несколько таких писем, как обычный спам.

[korynd]

У меня точно так же, пришли на спам-ящик на яндексе.

[pankor]

Тоже самое. Пришло три или четыре (на разные адреса, которые редиректятся в джимэйл). Тоже обнаружил их случайно в спаме. Еще удивился за что их в спам то. И не рассматривая заархивировал (по ссылкам не тыкаю, а сразу из закладок иду на сайт и читаю).
Сейчас достал их из архива - они даже сгруппировались с нормальными письмами.
А насчет того как связали - у меня ничего не связано, обращение не по имени, а по мылу.

[korynd]

Может быть, XSS?

[rosnovsky]

видимо, да

[0day]

Решил посмотреть Вашу ссылку. Как и предполагалось, все на самом деле гораздо проще. Редиректит Вас там потому, что Вы используете относительно безопасные браузеры последних версий, типа ff или opera. Но попробуйте зайти по этой ссылке под всеми любимым шестым ослом (хотя лучше не стоит). Вам тут же любезно попытаются загрузить трояна с помощью небезысвестных эксплоитов MDAC и WFI (а вот и они - odnoklassnikis.info/load.php?spl=wfi и odnoklassnikis.info/load.php?spl=mdac).

Вывод: слава FF и Opera!

[nayjest]

WFI? Можно подробней?
впервые слышу о таком эксплоите, да и гугл молчит.
Спасибо за полезную информацию!

[konfuze]

Внимание, просматривая этот топик вы можете потерять свой аккаунт! Подробности - http://konfuze.habrahabr.ru/blog/43692.h…

[ekim]

тоже кликнул
вывалилась ошибка

Warning: mysql_connect() [function.mysql-connect]: User weektour_odno has already more than 'max_user_connections' active connections in /home/weektour/public_html/odnoklassnikis/index.php on line 15

[rosnovsky]

У меня это выпало на айфоне, я не придал значения, закрыл и забыл. Пришел домой - снова кликнул (помню же, что от кого-то сообщение не открылось)... Вот пакость! :(

[korynd]

Хабраэффект?

[AntiDot]

факинг человек grg391 пожрал ниже себя каменты и футер сайта ><
Вот и эффект.. блин..

Мне это добро тоже пришло.. только параметры были иные mi?l=rwEkYhzJXfAKqq_OjHxglaWMEHukS

[ganzer]

там у него внизу скрипт с бестрашнпорн, ворует куки
минусуйте его

[ganzer]

черт, я думал "раскрыть комментарий" подгружает его аяксом.
так что это не поможет.

[Devgru]

weektour — странно звучит, словно отдельная папка для демо-хостинга для тех, кто тестирует

[Vii]

У меня такая шняга вылетела, когда пытался просмотреть ODNOKLASSNIKIS.INFO (без параметров).
Я на однокласниках не зареган, поэтому письмо сразу вызвало подозрение. Плюс в обращении стояло "Здравствуйте, " и мой mail (а не Имя пользователя, как на всех подобных сайтах)))
Предлогаю агит. программу: ПРЕДУПРЕДИ )) А то пол дня прошло, а нигде кроме Хабры ничего про это еще прочитал

[korynd]

Не надо забывать, что легитимных скриптов и редиректов гораздо больше.

[Disaview]

Я всегда смотрю на ссылку.
Она может содержать либо ошибочно написанный домен, либо текст ссылки будет содержать правильно написанный домен, а сама ссылка вести на подставной сайт. Так чаще всего бывает с похожими письмами, где предлагается скачать поздравительную открытку.

[rosnovsky]

Ну, что я лох - не обсуждается. Чем это чревато - вот в чем вопрос. Что можно таким образом спереть? Я внимательно смотрю на всякие пэйпэлы и банки - это вопрос денег, а тут - туфта, одноклассники. Ткнул. Доктор, помогите!

[korynd]

Вспоминанием ответа на секретный вопрос.

[Occhio]

Скорее всего, это фишинговый сайт, или что-то в этом роде.

[rosnovsky]

да нет там никакого сайта, видимо. Там редирект стоит на настоящих одноклассников... Что-то другое.

[zotov]

Проверяют рабочесть email'ов в своей спамерской базе. Вы кликнули, для вашего email'а поставилась галочка - "живой", ваш адрес продадут по большей цене, радуйтесь, ваш клик увеличил денежный оборот :)

[korynd]

Хакеры не знают его почты, у них есть только акк на одноклассниках.

[ganzer]

ага, а письмо они шлют на деревню дедушке

[korynd]

Разве это письмо пришло не по внутренней почте одноклассников?

[ganzer]

Нет.

[Nicomashi]

Там стоит параметр (в URL), который, скорее всего сопоставлен с адресом в базе, перейдя по ссылке он подтвердился.

[ganzer]

Я то понимаю.
Только в этом посте тоже висит скрипт с рашенпорн и как-то всем пофиг...

[Nicomashi]

Меня спасает, что я его не вижу =)

[ganzer]

Странно.
если набирать просто ...info - ответ 302 и и редирект на однокласников
если ...info//mi?l=blabla - 404
все что после = мне в жизнь не перебить руками
посмотрите - одинаковые ли эти коды во всех письмах.
если нет то возможно срабатывает это дело 1 раз а потом пишет что 404
если выдает warning значит эпидемия уже довольно большая

[sunnybear]

да, проспамили все ящики. Заголовки проверял — просто редирект стоит (никакого XSS), который читает и(ли) пишет в базу факт получения. Очень вероятно, что "простукивают" базу, ибо ничего больше предположить не удается

[Shama]

А что мешает скрипту серверному отдать хедер с редиректом?

А по поводу проверки спамерской базы: очень даже жизнеспособный вариант.

[ganzer]

Ну так он и отдает хедер с редиректом

[sunnybear]

я, наверное, плохо объяснил схему. ODNOKLASSNIKIS.INFO редиректят простым 302 (причем, отдают еще и HTML с JS-кодом, который делает то же самое) на ODNOKLASSNIKI.INFO (вроде). На последнем запускается PHP, который чекает базу и редиректит (уже без контента) на ODNOKLASSNIKI.RU

Там двойной редирект, причем ссылка в письме фишинговая. Это вообще маразм какой-то, имхо, какой-то двойной учет у спамеров получился

[Orenlab]

еще и путаница в ns - ответах:

; <<>> DiG 9.3.4-P1 <<>> ODNOKLASSNIKIS.INFO
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 38019
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 0

;; QUESTION SECTION:
;ODNOKLASSNIKIS.INFO. IN A

;; ANSWER SECTION:
ODNOKLASSNIKIS.INFO. 14330 IN A 124.217.246.79

;; AUTHORITY SECTION:
ODNOKLASSNIKIS.INFO. 86330 IN NS ns2.2014ru.com.
ODNOKLASSNIKIS.INFO. 86330 IN NS ns1.2014ru.com.

Фишинг одним словом... пишем письма в антивирусные компании...

[LokoMan]

плохая привычка, тыкать во всё что ни попади.

[nevodka]

спамерская база? а про и pinch'a никто не подумал?

[shlang]

Там же домен odnoklassniks.info
А тут whois для odnoklassnikis.info
Мне сегодня два таких письма пришло, но я сразу заподозрил неладное, ибо на одноклассниках юзаю другой ящик :)
Мне кажется, что это просто проверка базы. Кто кликнул по ссылке, тот и пометился в базе как активный. Можете готовиться к увеличенным порциям спама :)

[Niks]

Только хотел сказать, ловите плюсик за внимательность:)

[RazorBlade]

Мне сразу в спамовую папку свалилось.

[ooprizrakoo]

Мне интересно, почему хостеры ещё сайт не отрубили. Хотя, если это малазийский абузоустойчивый хост, то почему ещё регистраторы не вырубили домен.

[VovixLDR]

odnoklassnikS - это явно что-то из домена .LV или .LT...

[Mazikk]

В яндекс.почте все письма с однокласникс попадают в папку "Спам". Хотя одно письмецо прорвалось, но ссылка была другая: superdrugssites.com/?

[toxa_xxl]

А вы не перепутали домены? На скриншоте odnoklassniks.info, а проверяете odnoklassnikIs.info.

[ganzer]

Не верь глазам своим.

[toxa_xxl]

А чему верить? =)

[ganzer]

Вот бля! я 100 раз все просмотрел ... не заметил :)

[vilgeforce]

Выполнил сегодня по долгу службы анализ файла, который в итоге на машине юзера оказывается. А топик написать не могу, вот обидно!

Короче говоря, загрузка двух файлов с хоста, один записывается на диск и запускается, а второй инжектится в системный процесс. По ходу дела для рассылки спама все это надо. Будет карма - будут технические подробности :-)

[vilgeforce]

Все, пост с техническими подробностями работы тварины готов: http://vilgeforce.habrahabr.ru/blog/4374…

[azerty]

А у меня вообще на одноклассниках акка нет, а письмо пришло.