Платные хостинги     Раскрутка сайта     Другие сайты

Будьте бдительны!

- Будьте бдительны! Новый троян отсылающий пароли по IP 64.23.85.66:80. Советую после удаления файла cammand.exe проверить весь комп на наличие "дубля", а так-же наличие данного IP 64.23.85.66:80 в реестре Windows. Из своего опыта могу сказать, что нечто подобное я подхватывал на комп и это "нечто" продублировало себя в трех местах. Отредактировано alkesta 22nd Oct 2003 в 23:10

- Re: Будьте бдительны! Повторю здесь свой пост, а то в другую тему немногие посмотрят. Итак, эта прога, сделана при помощи пакета STARR PC & Internet Monitor, изготовляемого и распространяемго конторой iopus. Я о%ел прочитав про ее возможности - просто законное распространение трояна (ну за бабло конечно), который может записывать и отправлять налево практически все, что только можно придумать (keylogger, screenshots и тд итп) Кстати, в данном случае человек использовал триальную версию проги, может поэтому она глючит, так что в моем случае я вроде почти ничего не потерял. Прога работет так - вам на диск пишется файл-инсталятор и ini файл. Это прописывается в автозапуск. После инсталяции файл ini и прочее с диска удаляется. так что узнать что были за настройки вроде нельзя, так как вся инфа шифруется в exeшнике. В конкретном случае с нашим cammand.exe он появляется в нескольких местах на диске. У меня он запускался из c:\ (спасибо Advanced StartUp Manager-у). Периодически он создает файлы отчета и отсылает их 'автору'. Видимо отсыл идет через smtp самой конторы iopus (есть и такой у них сервис). Приведеный в посте alkest-ы ip 64.23.85.66 принадлежит iopus. Я на 100% уверен, что ворует не контора, так что, к большому сожалению, по ip вычислить гада не удастся. К счастью, после просмотра файла отчета (у меня лежал в с:\report.htm) я узнал какие пароли были 'перезвачены' и заменил их все. Еще, у меня сложилось впечатление, что прога заглючила через пару часов работы, и отчеты отсылаться престали. Вот такая херня.. ЗЫ Да, забыл написать, что породукт STARR PC & Internet Monitor позициониреутся производителем, как средство за слежения за детьми и сотрудниками фирмы: и еще: Вот. Как говорится, любая вешь, предназначенная для благих намерений, может быть использована и в корыстных целях. Такова жизнь

- Поиск в реестре по 64.23.85.66:80 ничего не дал После удаления вышеуказанного файла и одной записи в реестре вся активность в направлении 64.23.85.66:80 прекратилась а вот файла report.htm не нашел Отредактировано Alex36 23rd Oct 2003 в 15:04

- Чтобы вычислить гада необходимо иметь специальное программное обеспечение. Рекомендую поставить Iris и просмотреть сетевой траффик. Если у кого-нибудь есть инет через сетевую карту - пишите на мыло, могу выслать Iris. А можете прислать мне эту заразу, посмотреть охота.

- В реестре ничего про ip и не должно быть (насколько я понимаю). Все настройки прописываются в самом exeшнике (cammand). А та строчка, что ты удалил, еcстествено была в SOFTWARE\Microsoft\Windows\CurrentVersion\Run, так? Про отчеты - посмотри что за фалы лежат в папке, из которой запускалась эта тварь. У меня кроме report.html, был еще report.zip, несколько временных фалов, созданых zip-ом (имена как абракадабра без расширения, типа AII77149) и еще файл с названием типа slog.sys - это тоже zip архив со скриншотами.

- Как я уже писал, сетевой траффик не поможет - отправка идет через сервис производителя продукта. Насколько я понял, они дают емалы, на которые отсылается отчет, а уже с него все отправляется в сторону 'хозяина'. Так что анализ трафика, вроде, не поможет. Если хочешь, вышлю тебе прогу, а то самому щас некогда в ней копаться. Скинь емайл в приват.

Интернет казино     Онлайн игры     Купить DVD