для тех кто всегда хотел посмотреть на внутренности троян-ботов живущих на взломанных сайтах!!!

Discussion in 'Актуально, только не в тему' started by woojin, Nov 25, 2010.

  1. woojin
    Offline

    woojin Местный Staff Member => Cпециалист <=

    Joined:
    May 31, 2009
    Messages:
    3,204
    Likes Received:
    334
    Gender:
    Male
    делал я человеку сайт уже давным давно, сайт работал прекрасно, но вот по какой то причине у него с ЯНДЕКС ДИРЕКТ стали исчезать деньги очень быстро, которые были вложены в рекламу

    опержая события оговорюсь: вопрос с исчезновением денег не решён ещё, но откуда ноги растут уже известно

    так вот... ой! о чём, это Я?!

    полез я к нему в логи сервера и обнаружил там странный запрос в папку images/admin/cp.php
    сразу непонятное ощущение: вроде где то тут какой то косяк, т.к. запрос был не в error.log, а в access.log и ответ на запрос был 200 Ok

    тут я вообще аху... (далее по тексту) ... заглянул я в эту папочку и увидел там то что тут прикрепил, так что можете порыться кому интересно, что эта хреновина делает я так и не понял, потому что времени разбираться не было
    если кто поймёт то отпишитесь!!

    к стати в замен JSYS.PHP там в архиве есть классный SHELL? правда он зараза архивировать не умеет, но как файл менеджер отличная штука

    вопрос такой каким образом сумели залить этот SHELL и эту панель управления ботами на сайт?

    ПРЕДУПРЕЖДАЮ: ВНУТРИ ЕСТЬ EXE ФАЙЛ В НЁМ ТРОЯН!!!!​
     

    Attached Files:

    woojin, Nov 25, 2010
    #1

  2. Ads Master

     
  3. Dead Krolik
    Offline

    Dead Krolik Недавно здесь => Cпециалист <=

    Joined:
    Apr 13, 2007
    Messages:
    3,685
    Likes Received:
    101
    Gender:
    Male
    Ты правда уверен, что здесь стоит выкладывать клиентскую часть ботнета?
     
    Dead Krolik, Nov 28, 2010
    #2
  4. woojin
    Offline

    woojin Местный Staff Member => Cпециалист <=

    Joined:
    May 31, 2009
    Messages:
    3,204
    Likes Received:
    334
    Gender:
    Male
    я думаю что те кто этим занимается, найдут другого бота, а остальные посмотрят что надо искать у себя на сайте

    более продвинутые люди смогут написать что либо для защиты своего сайт от такой вот фигни
     
    Last edited: Nov 29, 2010
    woojin, Nov 29, 2010
    #3
  5. Asylum
    Offline

    Asylum Местный => Cпециалист <=

    Joined:
    Feb 9, 2007
    Messages:
    2,744
    Likes Received:
    160
    Gender:
    Male
    Почтовый троян
    Описание

    Шлет примерно следующие сообщения,

    Дорогой Клиент!Dear Client!

    Денежный перевод, который Вы послали 13-ого апреля, не был получен получателем. The money transfer you have sent on the 13th of April hasn't been received by the recipient.
    Из-за регулирования Western Union передачи , которые не собраны через 15 дней, должны быть возвращены отправителю. Due to the Western Union regulation the transfers which are not collected in 15 days are to be returned to sender.
    Чтобы забрать фонды, Вы должны напечатать счет , приложенный к этой электронной почте, и посетить самый близкий офис Western Union. To collect funds you need to print the invoice attached to this e-mail and visit the nearest Western Union office.

    Спасибо!
     
    Last edited: Nov 29, 2010
    Asylum, Nov 29, 2010
    #4
  6. woojin
    Offline

    woojin Местный Staff Member => Cпециалист <=

    Joined:
    May 31, 2009
    Messages:
    3,204
    Likes Received:
    334
    Gender:
    Male
    интересно и как человек которому было отправлено это письмо собирался чего либо с него получить?
    если он не зарегистрирован в WU

    и вообще каким образом эта скотина пролезла на сервер с сайтом и поселилась в images
     
    woojin, Nov 30, 2010
    #5
  7. Asylum
    Offline

    Asylum Местный => Cпециалист <=

    Joined:
    Feb 9, 2007
    Messages:
    2,744
    Likes Received:
    160
    Gender:
    Male
    Ну копать сам шелл не стал, но как понял по описанию вирь собран из нескольких известных модификаций. Сперва на хостинг заливается весь суповой набор.
    Открывается вот этот самый SHELL заливает на машину посетителя екзешник. Так как вирус собран из нескольких модификаций имеет много возможностей, собирает все почтовые адреса (возможно из оутлук) и рассылает по ним сообщения, собирает все пароли из фтп менеджеров (возможно и другие пароли) и отправляет их на какой-то адрес. С какого-то адреса бот забирает пароли от фтп заливает туда всю сборку. Далее с начала текста
     
    Asylum, Nov 30, 2010
    #6
  8. woojin
    Offline

    woojin Местный Staff Member => Cпециалист <=

    Joined:
    May 31, 2009
    Messages:
    3,204
    Likes Received:
    334
    Gender:
    Male
    это понятно, непонятно другое как пароль от FTP тиснули или как вообще этот шел залили на сервак, ну в принципе пофиг, заказчик все пароли сменил, я файлО проверил на наличие фигни внедрённой, вроде ничего нету
     
    woojin, Nov 30, 2010
    #7
< Помогите с редактированием Joomla в DreamWeaver | Сайт правительство Чечни рекламирует пылесосы? >

Share This Page

Loading...