drDiman Сообщение 27/12/2008 21:09 Копия темы
Дискотека продолжается Упс, и до меня добрались с рассылкой "ТЗ". Я понимаю, что таких постов было уже много, но не грех лишний раз предупредить, не открывайте просто так присланные файлы, пока не убедитесь в их безопасности.

под катом лог аськи с малолетним киберпреступником из Азербайджана (по его собственному признанию) :)

457641827
hi?
drDiman
Привет
drDiman
How are you?
457641827
www.free-lance.ru/users/d...
457641827
ваша
drDiman
Угу
457641827
извините,у меня ест работа,можете помочь мне?
drDiman
Смотря какая работа 
457641827
куда отправит тз?
drDiman
drdiman@mail.ru
457641827
ok
457641827
отправил
drDiman
что это за файл tz.img?
drDiman
Что за формат?
drDiman
чем его открывать, и что в нем?
457641827
картинка
457641827
откройте браузером
drDiman
фотошоп открывает?
457641827
вам надо открыт браузером потом скачать картинки
drDiman
Что это за картинка, которую фотошоп не открывает?
drDiman
Ой как интересно
drDiman
И что дальше будет?
457641827
что вы баитес открыт?вам кажется там вирус да?
drDiman
Нет, я не боюсь
drDiman
Просто я впервые вижу файл, который не может распознать мой макинтош
drDiman
Опишите, плиз, суть вашего проекта
drDiman
Ваше имя
drDiman
Компанию, для которой нужно выполнение работ
457641827
Луиза
457641827
компания Proxy
drDiman
Файл я сейчас отправлю программистам на анализ, а там посмотрим, чем его открывать и зачем
457641827
не понимаю так трудно открыт тз???
457641827
ок
drDiman
Трудно, когда его там нет
drDiman
Я подозреваю, что там вирус на экшен скрипте, только вы не учли, что на макинтоше эта фигня не работает
457641827
ладно я как понела вы меня не веряте да?
drDiman
Именно 
drDiman
Мне интересно, а что, находятся идиоты, которые его таки открывают?
drDiman
И это приносит какой-то доход?
457641827
что вы говорите ???там НИКАКОГО ВИРУСА НЕТТТТТТТТТ
drDiman
А что там?
drDiman
Расскажите мне, плиз
457641827
я не знаю так дал наш директор и мне сказал мне что это тз!!!!!!!!!!!!!!!
drDiman
Передайте директору, что он преступник
457641827
????Тоист???а что там вирус????????????
drDiman
Нет, я думаю, там троян, передающий пароли из кэша на компьютер хозяина
457641827
он мне на мил отправил и я открил откривалос
drDiman
Программеры проанализируют, тогда скажу точнее
drDiman
Они сейчас заняты, пытаются отследить ваш IP адрес
457641827
ок я сейчас меняю мой пароль и жду вас,чот скажет програмист
457641827
а мой IP адрес зачем?
drDiman
Как зачем, выяснить ваше физическое положение
457641827
а я тут причём я сейчас в доме моём
drDiman
Вот его расположение мы и постараемся выяснить
457641827
АЗЕРБАЙДЖАН BESTTTT
drDiman
Да, разумеется, в азербайджан никто не поедет, но до вашего компьютера добраться мы можем

Прислан был файл тз.img (уже не exe, заметьте) Что он из себя представляет, я не занаю, мак ос не идентифицировала его, то есть он нестандартный тип и не имеет внутреннего заголовка (а расширения мак оси до лампочки). Заинтересовавшимся специалистам могу выслать файл в архиве для анализа. Что-то в конце концов надо делать. Мой программер сможет его посмотреть только завтра.

Santorro Сообщение 27/12/2008 21:14 Копия темы
его уже открывали.. и показывали тут скрипт ))

вопше может в лабораторию антивирусов послать?))
или сказать разработчикам оперы что бы закрыли эту дырку?

schnelleroff Сообщение 27/12/2008 21:16 Копия темы
+1
У кого английский хорош настолько, чтобы в Opera Software отписаться?

fromdarkside Сообщение 27/12/2008 21:19 Копия темы
а они там по дури возьмут да откроют =)

drDiman Сообщение 27/12/2008 21:20 Копия темы
А он только в опере срабатывает? Тогда у них вобще шансы очень невелики, я думал, в любом браузере под виндами

Santorro Сообщение 27/12/2008 21:20 Копия темы
из арбайджана просит что бы в опере откывалии.. может и в опере только

drDiman Сообщение 27/12/2008 21:21 Копия темы
Ну, если откроют, то быстро поймут, что дыру заделывать таки надо :)

Fenteal Сообщение 27/12/2008 21:23 Копия темы
Я не понимаю смысла только косить под дегенерата. Им в работе больше доверяют что ли?

fromdarkside Сообщение 27/12/2008 21:23 Копия темы
Вся Opera Software перейдёт в руки к малолетнему Айзербйджанскому хакеру =)

drDiman Сообщение 27/12/2008 21:26 Копия темы
Если этот малолетний кибердемон действительно из Азербайджана, то это может быть просто акцент :)

fromdarkside Сообщение 27/12/2008 21:27 Копия темы
Это не акцент, это аналитический склад ума сказывается...

pankixoi2113 Сообщение 27/12/2008 21:28 Копия темы
.ехешники рассылает походу другой баклажан... этот просит открыть в опере, а тому пофигу где и как..

Fenteal Сообщение 27/12/2008 21:31 Копия темы
Волна прямо.

pankixoi2113 Сообщение 27/12/2008 21:31 Копия темы
ппц.. сам в шоке

drDiman Сообщение 27/12/2008 21:33 Копия темы
Да, это ж сколько трудолюбия нужно, при том, что шансы на успех и, тем более, доход, мизерные.

ka-lenin Сообщение 27/12/2008 21:34 Копия темы
Ну не скажи Дима, недале как два дня назад тот кто ехе-ки высылал тут одного фрилансера "наказал" на 100$, для многих эти ох какой стимул и деньги :)

Fenteal Сообщение 27/12/2008 21:36 Копия темы
Почему? Недавно вон паренек таким образом спер паролей, срубил 100 баксов с автора, чтобы ему их вернуть + кинул человека с его аккаунта на 300 баксов. Вот уже не так уж и мало за денек то :) А лохов, которые ведутся и открывают такие файлы ооооочень много.

Fenteal Сообщение 27/12/2008 21:37 Копия темы
Ага, только еще на 8000 штук рублей кинул человека с его аккаунта)

maksim000 Сообщение 27/12/2008 21:38 Копия темы
А забросьте на вирустотал, посмотрим, что там скажут.

drDiman Сообщение 27/12/2008 21:38 Копия темы
Ну, за то время, что он эти экзешники готовит и рассылает, таская тачку на базаре можно было больше заработать. И безопаснее, поскольку кто-то из реально пострадавших людей просто из принципа может найти какой нибудь интернациональный метод поймать таки говнюка и настучать по шее.

Ginka Сообщение 27/12/2008 21:39 Копия темы
у меня этот копипаст начальный от вашего отличается. после "ваша" знак вопроса поставил). "у меня ест работа" – а я аж обрадовалась =)

drDiman Сообщение 27/12/2008 21:40 Копия темы
Отправил

ka-lenin Сообщение 27/12/2008 21:40 Копия темы
Да! Кстати! Забыл про те 8 тыр :)

maksim000 Сообщение 27/12/2008 21:41 Копия темы
И какие результаты?

mishanya Сообщение 27/12/2008 21:41 Копия темы
да у меня тоже была такая история :)
он или Она мне: открой его в браузере, а я: да что то не открывается! он: как так? в эксплорере не открывается?! У меня нет его говорю. Он:и в опере не открывается?! У меня и ее нет :) Он как так? Что у тебя? У МЕНЯ САФАРИ ГОВОРЮ! у него замешательство и шок! Он потом: ну ты поставь оперу. Я: с какого перепуга! Шли тз в текстовом файле! :)

maksim000 Сообщение 27/12/2008 21:41 Копия темы
Могут, они поди все пьяные сейчас :)

ka-lenin Сообщение 27/12/2008 21:42 Копия темы
Ну причем тут это, ему нравиться ощущение хакерства, безнаказаности и того что он умнее всех и еще и бабки зарабатывает. А тачку на базаре пусть "лохи" (в его понимании) таскают, а он нт, он ХАКЕР! А это уже звучит гордо :)

drDiman Сообщение 27/12/2008 21:43 Копия темы
Самое смешное, что у меня за последний месяц была парочка весьма достойных и приятных заказчиков, которые начинали разговор почти так же, ну, может, чуть грамотнее и вежливее. Дескать, "привет, куда выслать тз?" Но здесь я сразу что-то заподозрил.

ka-lenin Сообщение 27/12/2008 21:44 Копия темы
Похоже на анегдот старый, помните: Мы безные Иракские хакеры, и потому откройте командную строку сами, наберите Формат диск С и нажмите Интер. Спасибо! :)

drDiman Сообщение 27/12/2008 21:45 Копия темы
Да, слава богу, мак позволяет спать немного спокойнее, не нужно думать об антивирусах, обновлять базы, дрожать над каждым файлом в страхе.

maksim000 Сообщение 27/12/2008 21:45 Копия темы
Кстати, рекомендация.

Я так понял, эта гадость ворует файлы с паролями. Значит надо перекрыть ей воздух хорошим файрволлом.

drDiman Сообщение 27/12/2008 21:45 Копия темы
Кстати, да ))))))))

fromdarkside Сообщение 27/12/2008 21:47 Копия темы
Предупредить или сидеть молча. Хммм... Предупредить или сидеть молча?..

ka-lenin Сообщение 27/12/2008 21:47 Копия темы
Первые случаю которые были описаны в работе с этим хакером, показали что фаервол ниразу ни у кого не сработал :)

Ginka Сообщение 27/12/2008 21:47 Копия темы
ну а я заподозрила только когда получила чудо-письмо "открыть через браузер". мыла засвеченного жалею. от спама берегла-берегла, да не уберегла)

Ginka Сообщение 27/12/2008 21:48 Копия темы
хаха)) спасибо, что напомнили)

GarryKillian Сообщение 27/12/2008 21:49 Копия темы
мда... веселый малый :) он еще усердно читает блоги))

drDiman Сообщение 27/12/2008 21:49 Копия темы
File Tz.img received on 12.27.2008 22:39:56 (CET)
Current status: finished
Result: 0/39 (0%)

File size: 106996 bytes
MD5...: 7ad7f45420b525945fed0c9a3985a101
SHA1..: 553a6866657cf8943a86057859a3143967655946
SHA256: 13fdbcd217cfa6fe69b3d0acf9876723560ddb0916c8e 5c52f2493e8e46b9689
SHA512: 849c40f1bc98587c89aa67c4124ae7eeccf6e7fdd77ae 612e362b51887d55486
f4ae4241d3e7b9b6181b6c4f8eb7f838841382025feeb a0280fc4e3dc4354a9e
ssdeep: 1536:Cp30AmErepZ6IibQFXxbEjGoqdwN3RI7S6z3QQuC GW/iLHQXx73A1HJNkk1
euH2a:CZ/7Iis3mZaE3MS6z3WNFMZ3wH2a
PEiD..: -
TrID..: File type identification
Unknown!
PEInfo: -


Не узнал его никто, ручная работа, однако

ka-lenin Сообщение 27/12/2008 21:51 Копия темы
Да ради бога, пусть читает, может ума набереться. А умные люди говорят, что если он будет продолжать в том же духе, его найдут и очень скоро :)

drDiman Сообщение 27/12/2008 21:51 Копия темы
И тащится, какую волну нагнал среди взрослых дядек и тетек :)

drDiman Сообщение 27/12/2008 21:52 Копия темы
А я спамовое мыло дал :P

mishanya Сообщение 27/12/2008 21:52 Копия темы
да уж точно! буквально вчера встречаемся с приятелем, он достает флэшку вот говорит техзадание и фотки клиент записал. Вставляет флэшку в свой macbook pro и приспокойно удаляет с нее штук 5 лишних файлов – вирусов! Эх хорошо то как говорит! Что Мас

maksim000 Сообщение 27/12/2008 21:52 Копия темы
А он вообще был? И был ли он включен?

GarryKillian Сообщение 27/12/2008 21:52 Копия темы
я только за! сам чуть не попался на эту удочку.

maksim000 Сообщение 27/12/2008 21:53 Копия темы
Предупредить. Кстати, какая версия оперы, 9.63 как раз из-за безопасности обновили.

ka-lenin Сообщение 27/12/2008 21:54 Копия темы
Да был Аутпост точно в одном случае, ноль на массу :)

maksim000 Сообщение 27/12/2008 21:54 Копия темы
Поганое дело...

maksim000 Сообщение 27/12/2008 21:55 Копия темы
А пришлите, я поковыряюсь...

Если не вернусь – считайте коммунистом :D

Ginka Сообщение 27/12/2008 21:57 Копия темы
я тоже сначала дала, но он на рамблере у меня – попросил мыльный ящик:"Аутлук наш не отправляет на рамблер" – тоже кстати начальная причина, чтоб задуматься) теперь научена)

fromdarkside Сообщение 27/12/2008 21:58 Копия темы
9.62

Himikadze Сообщение 27/12/2008 22:00 Копия темы
данный файл опасен лишь в случае, если вы пользуетесь функцией запоминания паролей, т.к. тянет куки с компа.

drDiman Сообщение 27/12/2008 22:01 Копия темы

Himikadze Сообщение 27/12/2008 22:03 Копия темы
www.free-lance.ru/blogs/v...

GarryKillian Сообщение 27/12/2008 22:08 Копия темы
Угу... его ТЗ.img уже никто не открывает, но блоги воздают ему "оду"...

Levitc Сообщение 27/12/2008 22:21 Копия темы
Я думаю лучше это все таки отсюда убрать

maksim000 Сообщение 27/12/2008 22:26 Копия темы
Значится, дело такое.
Внутри имеется любезно снабженный комментариями код (см аттач) а вслед за ним что-то крайне похожее на жипег.
При открывании Оперой, эта радость полезла на два ипа www.nic.ru/whois/?query=1... www.nic.ru/whois/?query=9...
но была прибита любезным comodo, настроенным на гиперчувствительность :)

Насколько опасен код – понятия не имею, т.к. не программист.

drDiman Сообщение 27/12/2008 22:27 Копия темы
Да, согласен, я ж ненадолго :)

maksim000 Сообщение 27/12/2008 22:27 Копия темы
Сайты, которые здесь прописаны, лучше заблокировать. На файрволле, в hosts или в браузере.

maksim000 Сообщение 27/12/2008 22:35 Копия темы
+document.cookie – это пита "и все куки" чтоли? Иначе в чем смысл... Пойду раскуривать ман...

Fenrir Сообщение 27/12/2008 22:43 Копия темы
ржака )

Fenrir Сообщение 27/12/2008 22:44 Копия темы
каменты там нахрена, я понять не могу? )))

maksim000 Сообщение 27/12/2008 22:46 Копия темы
Я тоже не могу. :)

Santorro Сообщение 27/12/2008 22:50 Копия темы
он для себя писал)))

Santorro Сообщение 27/12/2008 22:51 Копия темы
наверно где то скачал))) и тупо сам тоже хочет