Осторожно Читер разослал поддельную рассылку от МХ с вирусом

Мыльную базу явно спи..ли
я свое мыло не светил

+1 базы стырена, в профиле мыла нет

- чувак тоже рассылку получал, раз такое замутил

A d u l t писал:

Тогда каким образом почта пришла и на мой ящик? У меня адрес в профиле не указан.

Базу могли парсить не сегодня и не вчера, могла быть пропарсен весь форум и топики (не только профайлы) с начала основания форума

Ну да пионеры.
Пропарсили(украли базу мыл) всего мастер-х, сделали рассылку, на их эксп антивирусы не ругаються. На пионеров не очень похоже.

Что делать? Я дурак кликнул.

Последний раз редактировалось: Gabber (06/10/06 в 11:31), всего редактировалось 1 раз

сколько раз говорилось - нефиг юзать ie... (

я просто предположил
не стоит сразу так заводиться
но это одно из уязвимых мест

очень надеюсь что не его изменили

FastFood писал:

Базу могли парсить не сегодня и не вчера, могла быть пропарсен весь форум и топики (не только профайлы) с начала основания форума

Я свой профайловый адрес здесь на форуме ни разу не светил.
Сразу после регистрации сделал, чтобы он у меня в профиле не отображался. Я думаю, что так многие сделали...

A d u l t писал:

Гыы... Хочешь я тебе пришлю программку, на которую ни один антивирус даже в самом параноидальном режиме не ругнется, но эта программа выудит у тебя все пароли из системы, повесит тебе кейлоггер и по прошествии месяца вообще занулит систему. PS: Антивирусы хороши от распространненых зараз. От индивидуально написанной заразы ничего не спасет.

уверяю, что и касперский и NA на нее выругаются сразу же.

A d u l t писал:

Сразу после регистрации сделал, чтобы он у меня в профиле не отображался. Я думаю, что так многие сделали...

Имеено, я тоже не ставил отоброжаться.

...

Последний раз редактировалось: Rol (29/04/15 в 17:25), всего редактировалось 1 раз

Утюжу сча систему последним каспером, посмотрим ... хотя не думаю шо ругнеца и это очень хуёва

а почему именно csrss ??

Что делать, если это вдруг был троян (инструкция для параноиков):

Сейвите все нужные данные (пароли к админкам, документы и т.д.) с пораженного компа куда-нибудь (Болванки, запасной хард и т.д.)
После этого переустанавилваете винду с обязательным пересозданием раздела(ов) и форматированием каждого.
После установки системы ставите все апдейты для винды с инета, затем лезете по всем своим админкам/мемберкам/и т.д. и меняете пароли на какие-нибудь типа "a84!fA74"
Обязательно меняете все почтовые пароли и к хостингам. Если домены были зарегены на какой-нить фришный e-mail, то меняете на платный.

BMW39 писал:

уверяю, что и касперский и NA на нее выругаются сразу же.

Вы жестоко ошибаетесь, Уважаемый.

A d u l t писал:

Вы жестоко ошибаетесь, Уважаемый.

ну так пришли мне, проверим

Еugene писал:

а почему именно csrss ??

На самом деле процессов много, под которые может замаскироваться вирь. Тот же самый svchost например.

Есть прога, которая показывает, что делает конкретный процесс (с какими устройствами работает, с какими файлами, с какими сокетами и т.д.) вроде Process Explorer называется. Там к ней еще куча утилит есть для просмотра всего и вся.

PS: Для всех "заразившихся" рекоммендую.

Еugene писал:

а почему именно csrss ??

ну я методом исключения
проверил все процессы что сидят у меня
подозрения были на три файла
lsass.exe
smss.exe
csrss.exe

но так как два заблокированы по каким то причинам ранее в firewall'е
а на csrss.exe есть WARNING в инете то предположил что это тоже уязвимое место может быть

надеюсь что ошибаюсь

Rol писал:

csrss.exe это не только Сlient/Server Run-time Sub System а также: Вирус Код: I-Worm.Melare Backdoor.Hale Backdoor.Sokacaps W32.Ahlem.A@mm W32.Sndog@mm Trojan.Ascetic.B Backdoor.Botnachala W32.Chod.B@mm W32.Dalbug.Worm Trojan.Webus.F Trojan.Webus.H Worm.Win32.Ladex.a Backdoor.Hale – файл csrss.exe находится в c:\winnt\system32\qossrv Backdoor.Sokacaps - файл csrss.exe находится в c:\windows\media W32.Ahlem.A@mm - файл csrss.exe находится в %Windir%\csrss.exe W32.Sndog@mm – файл в %windir%\ Worm.Win32.Ladex.a - Сетевой червь. Работоспособен только под Windows NT/2000/XP и распространяется по локальной сети. Spyware Код: WinSpy 5.6.1 Spyware.BeyondKeylog Внимательно проверяйте ваши системы!

Если я правильно понимаю то в таком случае csrss.exe будет отображаться в трее как приложение запущенное пользователем, а не системой. Если в трее стоит пользователь SYSTEM, то беспокоиться не о чем. Поправьте, если я не прав.

BMW39 писал:

ну так пришли мне, проверим

Спор не стоит того, чтобы я тратил время на написание такой проги.
Принцип простой - все трояны для уменьшения веса работают напрямую с функциями винды. Чем более тупые методы мы используем для наших действий, тем меньше внимания антивирусов мы привлекаем.

otkluchaemsja ot ineta
i chistim sistemu

ustanavlivautsja takie veshi kak
PaperPort
+ flakonchik k nemu
i esho dopolnitelnie komponenti

dlja chego nuzhno PaperPort smotrim v google

Nikola писал:

Если я правильно понимаю то в таком случае csrss.exe будет отображаться в трее как приложение запущенное пользователем, а не системой. Если в трее стоит пользователь SYSTEM, то беспокоиться не о чем. Поправьте, если я не прав.

Как вариант - если пользователь работал с правами администратора в момент заражения системы, то вредоносный процесс может запуститься под правами системы (тоесть SYSTEM).

PS: Не зря всегда говорят - ставьте все приложения под правами админа, но работайте всегда под обычными пользовательскими правами.

A d u l t писал:

Спор не стоит того, чтобы я тратил время на написание такой проги. Принцип простой - все трояны для уменьшения веса работают напрямую с функциями винды. Чем более тупые методы мы используем для наших действий, тем меньше внимания антивирусов мы привлекаем.

бог ты мой... так ты ТЕОРЕТИЧЕСКИ писал?! я думал у тебя действительно есть такая, которую ты проверил перед тем, как утверждать. Принцип который ты рассказал очень интересен... для школьников класса 4-го ;)
ладно, проехали.

C:\windows\system32\winupdate.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\wscntfy

Последний раз редактировалось: rst (06/10/06 в 12:04), всего редактировалось 1 раз

Naebnul писал:

ну я методом исключения проверил все процессы что сидят у меня подозрения были на три файла lsass.exe Код: smss.exe csrss.exe но так как два заблокированы по каким то причинам ранее в firewall'е а на csrss.exe есть WARNING в инете то предположил что это тоже уязвимое место может быть надеюсь что ошибаюсь

+1

BMW39 писал:

бог ты мой... так ты ТЕОРЕТИЧЕСКИ писал?! я думал у тебя действительно есть такая, которую ты проверил перед тем, как утверждать. Принцип который ты рассказал очень интересен... для школьников класса 4-го ;) ладно, проехали.

Утверждение того, что у меня есть штука, которая все ворует и которую никакой антивирь не видит, накладывает некоторый черный отпечаток на меня. Оно мне надо?
Если на спор - то я вполне бы написал такую штуку за N тысяч долларов. Но только в целях ознакомления. А так я трачу свое драгоценное время на то, что в будущем мне принесет заведомо бОльшие дивиденты.