"मेरे पृष्ठ पर मेहमान" एक और दुर्भावनापूर्ण स्पैम VKontakte

नमस्ते बहुत पहले नहीं, मैंने सोशल नेटवर्क "Vkontakte" पर मैलवेयर के वितरण के बारे में लिखा था । नहीं बहुत पहले एक नया, सामान्य रूप में, इसी तरह के मामले मिले ...
उन्होंने मुझे एक निश्चित VKGuests.exe फ़ाइल का विश्लेषण फेंक दिया, जिसमें दिखाया जाना चाहिए कि कौन VKontakte पृष्ठ पर जाता है। फ़ाइल साइट vko-blog.ru से डाउनलोड की गई थी, जिसका लिंक एक दोस्त से आया था। शिकायत थी कि "इंटरनेट चला गया था।" जिज्ञासु। संवारता।




फ़ाइल में पॉप करने से पहले, यह पढ़ना दिलचस्प होगा कि वे उस साइट पर क्या लिखते हैं।
हम कथित तौर पर पावेल डुरोव से "हमारे कार्यक्रम की विशिष्टता" के बारे में क्लासिक प्रलोभन देखते हैं।
सब कुछ स्पष्ट है) सबसे नीचे नीले रंग का "सेट काउंटर" बटन है, जब क्लिक किया जाता है, तो यह वास्तव में VKGuests.exe डाउनलोड करने की पेशकश की जाती है।
फ़ाइल पीई-बाइनरी है, जिसका वजन 2,230,040 बाइट्स है, जो डॉटफ़िक्स निकोटप्रॉट द्वारा संरक्षित है।
सत्यापन के समय, यह 12/42 virustotal पर पाया गया था

हम शुरू करने की कोशिश कर रहे हैं, हम इस "काउंटर" के एक सौ प्रतिशत काम के लिए सभी ब्राउज़रों को बंद करने की सिफारिश करते हुए एक अच्छी दिखने वाली खिड़की द्वारा बधाई दे रहे हैं। ब्राउज़र बंद करें, ठीक क्लिक करें। VKontakte लेखांकन के लिए लॉगिन / पासवर्ड दर्ज करने के लिए खेतों के साथ कोई कम सुंदर खिड़की नहीं खुलती है।





हम स्निफर उठाते हैं, बुलडोजर से डेटा दर्ज करते हैं। इलेक्ट्रॉनिक मेलबॉक्स के रूप में लॉगिन दर्ज करते समय - एक त्रुटि को संदर्भित करता है। आइए मेल को चित्रित करने का प्रयास करें, उदाहरण के लिए 1111@mail.ru, पासवर्ड कम से कम 6 वर्ण होना चाहिए।

स्निफर ने 91.193.194.113 पते के साथ कनेक्शन पकड़ा, जो किसी भी तरह से एक आरामदायक संपर्क से संबंधित नहीं है।
सत्र सामग्री:

HTTP / 1.1 पर जाएं /stat/config.txt पर जाएं
होस्ट: sjhgjjd.ru
स्वीकार करें: पाठ / html, * / *
स्वीकार-एनकोडिंग: गज़िप, अपस्फीति, पहचान
उपयोगकर्ता-एजेंट: मोज़िला / 5.0 (विंडोज; यू? विंडोज एनटी 5.1; आरयू; आरवी: 1.9.1.3) गेको / 20090824 फ़ायरफ़ॉक्स / 3.5.3

HTTP / 1.1 200 ठीक है
दिनांक: गुरु, 05 मई 2011 16:22:10 GMT
सर्वर: अपाचे / 2
अंतिम-संशोधित: सूर्य, 01 मई 2011 10:42:57 GMT
ETag: "5c01b-b4-4a23491ebee40"
स्वीकार-रंग: बाइट्स
वैरी: स्वीकार-एनकोडिंग, उपयोगकर्ता-एजेंट
सामग्री-एनकोडिंग: gzip
कंटेंट-लंबाई: 158
सामग्री-प्रकार: पाठ / सादा

"टाइमआउट": "0"
"Photo_url": "h xx p: //cs10358.vkontakte.ru/u7041153/133719745/x_07e5f13b.jpg"
"File_url": "h xx p: //sjhgjjd.ru/install_msi.exe"
"Ac_key": "15f8a3de833b23fd150188ddd3d1f1d7"

अहा, डाउनलोड करने के लिए उत्सुक चीजें जारी की जाती हैं: एक असंगत पते से एक अजीब फ़ाइल का लिंक, ब्लॉग की संक्षिप्त सामग्री के साथ एक लिंक जो शुरुआत में उल्लेख किया गया था और कैप्चा द्वारा संरक्षित स्पैम / बाढ़ प्रणालियों के लिए उपयोग की जाने वाली एंटी-कैप्चा सेवा की कुंजी। खैर, मैं कुछ इस तरह से आया हूँ। VKGuests.exe को नरक में बंद करें और लिंक से फ़ाइल को स्वयं डाउनलोड करें।

यहाँ UPX के साथ install_msi.exe फ़ाइल संपीड़ित है, जिसका वजन 179,200 बाइट है। हम UPX को हटाते हैं, और हम PureBasic में संकलित एक निष्पादन योग्य देखते हैं, जिसका वजन 198,656 बाइट्स है।

• लिपटे
• पैक

दुर्भाग्य से, आज रात को वायरसस्टल अतिभारित होता है, इसलिए वे कई घंटों तक मेरी रिपोर्ट को फ्रीज कर देते हैं, जिससे चेक पहले अनुपलब्ध हो सकता है।
जोटी पर डुप्लिकेट किया गया, वहाँ परिणाम आम तौर पर संपीड़ित के लिए 2/20 और असम्पीडित फ़ाइलों के लिए 1/20 है ।

हम आगे बढ़ते हैं - हम प्रायोगिक संसाधनों को देखते हैं, जहां हम पाते हैं, निश्चित रूप से, एक obfuscated बैच फ़ाइल जो होस्ट फ़ाइल को बदलती है।



अवरुद्ध साइटों तक पहुँचने के दौरान, हमें किवी टर्मिनल के माध्यम से वेबमनी खातों में पैसे देने के लिए कहा जाएगा:



सामान्य तौर पर, उपचार के लिए, आपको केवल c: \ windows \ system32 \ ड्राइवर \ etc \ से दोनों होस्ट फ़ाइलों को हटाना होगा (उनमें से एक को छिपा दिया जाएगा, दूसरे में एक अक्षर लैटिन नहीं है।

लेकिन क्या होगा यदि हम प्रयोग के आरंभ में ही वास्तविक डेटा दर्ज कर लें?
हम सही डेटा दर्ज करते हैं, कार्यक्रम नेटवर्क से "लापता घटकों" को सक्रिय रूप से डाउनलोड करने के लिए शुरू होता है, जो ऊपर वर्णित थे।







फिर वह लंबे समय तक "सोचता है", स्पैम भेजता है, और कंप्यूटर को पुनरारंभ करता है।
मैंने पहले ही कहा है कि यह दुर्भावनापूर्ण पैकेज एंटी-कैप्चा के लिए एक कुंजी प्राप्त करता है, और इसलिए इसका उपयोग उस खाते के प्रोफाइल में जोड़े गए सभी दोस्तों के सामूहिक अंकन के लिए किया जाता है, जिनका डेटा दर्ज किया गया था। यह संभव है कि उपयोगकर्ता नाम और पासवर्ड उसी तरह से सर्वर पर स्थानांतरित हो जाते हैं, स्वचालित रूप से, आगे स्पैम के लिए उपयोग किया जाएगा।

वायरस निवासी नहीं है, इसलिए एक रिबूट के बाद यह न केवल काम करना जारी रखता है, बल्कि सिस्टम से भी हटा दिया जाता है, इसे डाउनलोड किए गए सभी कबाड़ के साथ ले जाता है। ठीक है, प्रतिस्थापित मेजबानों को छोड़कर =)

वास्तव में सब कुछ। इस मैलवेयर से कुछ और दिलचस्प निचोड़ना संभव नहीं था, और मैं नहीं करना चाहता था।