07.06.2009 (Nd) 15.36 (5519 dni temu)

Atak rozpoczął się dokładnie w okolicach 11:30, a nie 13:00; jak wcześniej pisałem...

Pierwotny plik ataku nosił nazwę:

Exploit.Win32.Pidief.axw; a w ślad po nim Exploit.SWF.Agent.ay.

oba załadowane z serwera: < http://findabigrig.cn

Do ich załadowania wykorzystano aplikacjię Macromedia Flash Player - zainfekowany bądź podmieniony plik, prawdopodobnie nosił nazwę: Swf2Swc.

Nie znam jeszcze lokacji, do jakiej ładuje się agent, ale na pewno tworzy on kopię rezydentną w cache'u przeglądarki internetowej użytkownika - sfabrykowany
plik readme.pdf.

Dlatego też należy wyczyścić cache przeglądarki internetowej!


SZERYFIE: Bezwzględnie należy zwrócić się do interii, z wnioskiem o zablokowanie dostępu do następujących stron internetowych (bazę będę na bieżąco aktualizował):

http://findabigrig.cn
globalnameshop.cn

oraz (info ze źródeł zewnętrznych)

armsart.com
acglgoa.com
idea21.org
yrwap.cn
s4d.in
dbios.org


DO skutecznej walki ze szkodnikiem, zalecam narzędzie "Combofix". Jednak, jeśli ktoś nie ma pojęcia o informatyce, wykraczającego poza to, czego uczą w szkołach o profilu nie zbliżonym do informatycznego, to NALEŻY POŚWIĘCIĆ TROCHĘ CZASU NA ZAPOZNANIE SIĘ Z PODSTWOWYMI PRAWAMI, JAKIE PANUJĄ W KOMPUTERZE. PONADTO BEZWZGLĘDNIE NALEŻY WYKONAĆ KOPIĘ BEZPIECZEŃSTWA SYSTEMU!


UWAGA! Bardzo istotną informacją jest to, że jeśli użytkownik posiada nielegalną kopię oprogramowania zabezpieczającego (antywirus lub pakiet) NOD32, to
informuję, iż ta aplikacja - nielegalna - mimo powiadomienia o wykryciu zagrożenia nie jest na nie odporna (mowa o wersjach od 3.0.669.0 wzwyż) - jest
to kwestią "crackera" o nazwie "fix", w którym celowo pozostawiono lukę.

07.06.2009 (Nd) 17.46 (5519 dni temu)

dzieki tylcia za te informacje.

zbadamy dokładnie temat.

ja tez mialem u siebie wirusa. po wielu próbach udało mi się w koncu wyeliminować go 'spyware doctorem' - do pobrania za darmo ze strony http://pack.google.com/

polecam coś takiego sobie zainstalować.

08.06.2009 (Pn) 14.59 (5518 dni temu)

W dalszym ciągu w serwisie Farmersi.pl występuje wyżej opisane zagrożenie...

Machanizm i pliki te same...

Pojawiły się jedynie nowe adresy - każdorazowo do zablokowania - oto one:

findabigrig.cn
bestfindaloan.cn:
bigskytopguide.cn:

Można wiedzieć, co na to interia...? Zamierzają coś z tym zrobić?!

Chcę zwtócić uwagę, że wielu użytkowników serwisu Farmersi.pl może nie posiadać skutecznych zabezpieczeń przed tym zagrożeniam (wczorajszą ofiarą padł gracz kraft); w związku z czym są oni narażeni na związane z tym problemy i nieprzyjemne sytuacje.

PS. W przeprowadzonych od wczoraj testach (we własnym zakresie) - biorąc w nich pod uwagę stosunek wydajności (obciążenie komputera i przeglądarki internetowej) do skuteczności (całkowita blokada ataków) - najlepiej wypada aplikacja z pakietów Kaspersky'ego (w wersji 7.0 i wyższej). Polecany przez Szeryfa program "Spyware doctor" jest dobrym i prostym narzędziem do walki z infekcją, która już nastąpiła... Jednak nie zalecam go do ochrony rezydentnej; z powodu generowania zbyt dużego obciążenia dla przeglądarki internetowej. Dlatego też po wykorzystaniu aplikacji, zalecam jej odinstalowanie.

08.06.2009 (Pn) 17.42 (5518 dni temu)

Infekcja może być ukryta w zaimplantowanym na stronie player'rze... - taką informację można przekazać interii (niech zweryfikują). Autorami są (jeśli są - wszystko jednak na to wskazuje) Rosjania, a nie Chińczycy, jak wstępnie myślałem...

09.06.2009 (Wt) 12.55 (5517 dni temu)

heh, też bym chciał tak badać czy nie mam jakiegoś wirusa w komputerze... tak czy siak, dziękuję ci za to wszystko tylcia, przyda mi się to do mojej książki...

edit: wiesz może tylcia, jak wykryć kogoś wewnętrzne ip?

10.06.2009 (Śr) 08.47 (5517 dni temu)

tym razem z adresu

http:// madiahousenamebuyvideo.cn:8080/cache/readme.pdf
ładuje się trojan: Exploit.Pidief.OOK

Szeryfie - czas najwyższy coś z tym zrobić. Za dużo tych ataków ostatnio. Praktycznie nie ma dnia, żeby coś sie nie przypałętało.

11.06.2009 (Cz) 02.28 (5516 dni temu)

pixi...

Adres w pełni zgodny. Ale za to ja nie wykryłem żadnych mutacji - nadal .azc Skąd masz info - jaki soft Ci to wykrył...? Bo może jest tylko różnica w definicjach.

To dość ważne.

Ktoś jeszcze zauważył jakieś różnice w porównaniu do poprzednich ataków (nazwy, rozszerzenia itp.)?

16.06.2009 (Wt) 10.25 (5511 dni temu)

ataki jeszcze nie ustały. ktoś się tym zajmuje czy nie?

30.06.2009 (Wt) 18.54 (5496 dni temu)

Jeśli chodzi o ludzi z administracji serwisu farmersi.pl, to proszę o zwrócenie uwagi na wszystko to, co powiązane jest z zaimplantowaną na stronie wyszukiwarką "google".

WIęcej info tutaj:

http://nt.interia.pl/internet/wiadomosci/news/cyberprzestepcy-atakuja-google,1331078,62


Proponuję zapoznać się każdemu, kto korzysta z komputera i internetu.