Pažnja, prevara!

[stein]

Pre nekoliko minuta kada sam otvorio stranicu foruma, iskočio je novi prozor sa obaveštenjem da mi je računar ugrožen, neki virus, bla bla bla. Potom, otvorio se sistemski proces prozor windows defendera sa ponudom da su mi se ugnezdili virusi, osam virusa u my documents i i ne znam još sve gde ne. Potom se windows ponudio da pretnje eliminiše i opet blablabla... Ne bi to ni bilo ništa čudno jer antivirusni program nemam. Čudno je to što se sistemski prozor otvara u prozoru Firefoxa što se inače nikada ne dešava, a posebno nikada na računarima gde nije instaliran windows kao operativni sistem. Meni je sad, da budem iskren, malo smešno kada zamislim lice nekog zblanutog korisnika koji ne zna šta će brže-bolje da uradi. Pošto koristim Ubuntu kao OS za internet, a windows particija nema pristup internetu, a i ne radi kada koristim Linux, onda sam jedino hteo da upozorim korisnike windowsa kojima se ovakva situacija desi, da pripaze na to gde će kliknuti. Preporučujem zatvaranje prozora, bez obzira na upozorenje o širenju virusa ... Za korisnike IE koji izgleda kao i Windows Explorer, ne mogu da kažem ništa jer ne mogu da tvrdim da obaveštenje koje bi mogli ugledati nije pravo. Dakle, bez panike. Posebno, ako koristite Linux
Preporučujem Administratorima da malo provere šta se dešava kada se priđe forumu. Meni je u trenutku bio otvoren prozor webmail klijenta odakle sam klikom na link u obaveštenju o odgovoru na temu pristupio forumu. Slično obaveštenje ću poslati i provajderu kod kojega imam webmail nalog jer ne mogu da tvrdim da se neko đubre nije nakačilo tamo a ne na forum.

[Gruja]

Upravo se to i meni desilo... ali odmah sam skontao da to nije sistemski prozor vec prozor browsera... verovatno su neki pecarosi u pitanju!
Naravno, forum bi se morao proveriti da ne bi nekome stradao kompjuter!!

[stein]

Dobro, onda neću ništa slati provajderu (mada sam se zamislio i pre potvrde) jer se ovo sve desilo tek nakon otvaranja Freebiking forum strane a ne otveranjem webmaila...

[VladaS]

Takodje ista stvar, samo zatvorih novo prozorce i bilo je ok...

[IRalic]

Takodje. Google AdSense ??
Pristupio sam sa Google Chrome-om. Sumljam da bi se to iskakanje prozora desilo sa FireFox-om i ukljucenim AdBlockerom

[alazovic]

Desilo se i meni sa Firefox-om...

[IRalic]

Desilo se i meni sa Firefox-om...

a imas AdBlockerPlus ? Ja nikad nisam imao situaciju da mu je iskocio bilo kakav prozor ikada, a da o tome nisam bio upozoren pre nego sto sam dozvolio da se isti otvori

[IRalic]

E pa ovako, otvaram malo pre freebiking, i umest uobicajane stranice otvarami se nesto pod nazivom "security threat analysis"
dok sam pokusavao da vidim sta "to" radi, a potem blokiram sav internet saobracaj pomocu ZoneAlarma,
"analiza" je vec bila izvrsena, i kao neka cuda nadjena, i samo da ja kliknem "OK" u prozoru koji je iskocio na kraju,
i sve ce to da nestane ko rukom odneseno.Jeste ..




Kao sto se vidi iz prilozenih slika, taj prozor definitivno nije deo mog okruzenja, jer ja zaglavlja imam u zelenoj boji,
i drugacije velicine nego ovo prikazano u tom prozoru, te to nikako nije mogao biti deo stvarnog win security-a
koji jos pride imam potpuno iskljucen.
Drugo, to sto vidimo otvoreno u ukviru kartice u FireFox-u veoma verno predstavlja kopiju Windows Explorera,
samo sa razlikom da se isti naravno nikada ne otvara kao kartica u okviru browsera
a i fali mu tamo stosta, kao na primer moj D drajv, SD card reader, i ostale periferije koje bi bile prikazane u svarnom win exp przoru.

Kada sam stisnuo "X" da zatvorim taj prozor sa plavim zaglavljem koji je iskocio,
pojavio se novi prozor, ovoga puta verodostojan pop up prozor FireFoxa,
gde me www1.firesavez7.com pita da li zelim da unapredim performanse svog kompjutera
i ako zelim, da stisnem ok jeeeste.



Gasim i taj prozor na "x" a zatim pokusavam u tu karticu u FF-u kad opet FF pop-up
i kaze ako je ugasim moguce je da ce se sistem srusiti, ili nesto u tom fazonu,
i opet sa izborom "ok" ili "cancel"
Gasim isti na "x" i zatim ceo FF.
Po restartu FireFoxa se FB stranica otvara uobicajeno (a taman sam spremio i video zapis da sve snimim, al jok, nista od iznenadjenja)

Procesljao sam sistem trazeci te fajlove koji je navodno taj usluzni prozorcic oznacio kao maligne,
i iz liste vidljive na tom prozoru sledeci zaista postoje (a cemu sluze nemam pojma)
wowdeb.exe @ C:\WINDOWS\system32
dmadmin.exe @ C:\WINDOWS\system32




Pa tako .. ne bi bilo lose da neko od nadleznih sazna sta se tu dogadja, i ko nas to navlaci.


Pozzz

[stein]

Moj inicijalni post i jeste prvenstveno bio namenjen administratorima, a tek potom korisnicima foruma. Posao administratora bi bio da "pronjuška" i odstrani eventualne prilepke koji ovo izazivaju, a za korisnike poželjno da ne odreaguju pogrešno ako se kojim slučajem ovaj napad ne odstrani u nekom kratkom roku. Očigledno je da još niko nije ništa konkretno preduzeo. Meni se od tada više ništa nije javljalo, pa sam pretpostavio da je rešeno...

[IRalic]

Hm, evo drugi put sad pogledah u te slike koje sam napravio, i malo vise paznje sam usmerio na sam text,
i rekao bih da je taj engleski prilicno los, posto ima par gresaka, tipicnih za ne-engleze.

Prvo na onom plavom kaze " To help protect your computer, Windows web security have detected Trojans and ready to remove them"
umest cega bi trebalo da pise " To help protect your computer, Windows web security HAS detected Trojans and IS ready to remove them"

Pa onda ono na dnu: " Spyware is software, which can gather information from user's computer throught Internet connection and send them to its creater. Gather information can be passwords, e-mail adresses and all that date, which is important for you"
a ispravno(ispravnije) bi bilo: " Spyware is A software, which can gather information from user's computer THROUGH Internet connection and send them to its CREATOR. GATHERED information can be passwords, e-mail ADDRESSES and all THE date which is important TO you."

Mislim znao sam ja da su barabe obicno nepismene, ale bas toliko !? to nisam znao
Mislim da neko ne zna da se adresa pise sa dva d, e to stvarno .. to bar svako i da ne zna, vidi da tako pise u e-mail klientu


Pozzz

[bluealek]

Društvo,

Sad sam došao sa terena. Primetio sam i ja jedan takav prozor pre neki dan, ali i meni deluje da je u pitanju prevara koja potiče od nečega u AdSense-u. Deluje da su u AdSense-u već reagovali i to regulisali. Ja baš gledam sadržaj direktorijuma na sajtu i ne mogu da uočim nikakve viškove koji nemaju veze s onim što sam ja na njega stavljao.

[radnik]

I kod mene se isto dogodilo u petak.
Izgasio sam racunar hitno na prekidac, a zatim pregledao na viruse i sve je bilo u redu.
Danas ovog problema nema.

[bluealek]

Bezbednosni problem na žalost ipak postoji i radim na njegovom rešavanju. Manifestuje se tako što pokušava da vas preusmeri na neku stranicu, čije učitavanje antivirusni softver sprečava. Kod koji to čini zarazio je sve PHP datoteke na sajtu tako što se upisao ispred regularnog sadržaja, a njegovo prosto uklanjanje izgleda da nije dovoljno - u tom slučaju aplikacije gube funkcionalnost. Nadogradio sam forum na najnoviju verziju, 3.0.7 PL, ali to vrlo verovatno nije dovoljno.

Ime dotične zaraze je "Exploit" program Rogue Security Threat Analysis (type 1007). Ako neko zna šta sve treba uraditi da bi se dotični uklonio sa sajta, bio bih mu zahvalan da mi otkrije.

[alazovic]

Otkrio si sam i rešio, mašala

A uzrok - e, s' tim sam ja glavu lomio nedelju dana. Nije do provajdera, jer sam sajt prebacivao na drugi host i on se ponovo volšebno zaražavao.

Naravoučenije - kad te face koje napadaju sajt uzmu na zub, neće da te ostave lako na miru! Pokušavaju novi napad dok im se ne smuči.
I sve to rade putem ranjivih skripti i outdate-ovanih verzija foruma, CMS-ova... Upoređujte ponekad datume modifikacije fajlova i njihove dužine u bajtovima sa originalnim i reagujte na svaku izmenu.

Toliko, ajd
L.A.

[bluealek]

Prelistavam forume i nalazim da je u pitanju trenutno masovna zaraza sajtova hostovanih kod GoDaddy-ja i njegovih potprovajdera. Kukao sam i tehničkoj podršci, da čujem šta će oni da kažu. Postoji li neka aplikacija, neki web servis, bilo šta, što viruse uklanja SA SERVERA?