Mail.Ru कंप्यूटरों को संक्रमित करने के लिए एक नए तरीके का परीक्षण कर रहा है

एक बार रात के बीच में मुझे विषाद आ गया और मैंने गीत "एंजेलिका" - "टाउन" डाउनलोड करने का फैसला किया।

मुझे लगता है, बिटरेट उपयुक्त है, मैं एमपी 3 डाउनलोड करता हूं।

लेकिन किसी कारण के लिए .exe फ़ाइल डाउनलोड की गई ... और अजीब पते से dls3.moilru.ru/output/.../02/96/6b/9f/audio/varum_anzhelika_-_gorodok_zitcev_net.exe
मुझे क्या बकवास लगता है


मैं .rar प्रारूप चुनता हूं, वही डाउनलोड किया जाता है - .exe फ़ाइल 160KB आकार में है।

मैं डोमेन द्वारा Whois चलाता हूं और प्राप्त करता हूं:

domain: MOILRU.RU nserver: ns1.reg.ru. nserver: ns2.reg.ru. state: REGISTERED, DELEGATED, UNVERIFIED person: Private Person registrar: REGRU-REG-RIPN admin-contact: http://www.reg.ru/whois/admin_contact created: 2013.05.13 paid-till: 2014.05.13 free-date: 2014.06.13 source: TCI 

ओपा! टिन से सीधे!

फ़ाइल को VirusTotal पर अपलोड करें और फ़ाइल पर एक रिपोर्ट प्राप्त करें।

फ़ाइल गुणों का स्क्रीनशॉट।


एमपी के बजाय हर जगह निष्पादन योग्य फ़ाइल sways, चुनिंदा अन्य रचनाओं को पेक किया।

डाउनलोड की गई फ़ाइलों के अलग-अलग आकार हैं, लेकिन हर किसी के पास mail.ru प्रमाणपत्र के साथ एक हस्ताक्षर है।

मेरा उपयोगकर्ता एजेंट:

 Mozilla/5.0 (Windows NT 6.1; WOW64; rv:21.0) Gecko/20100101 Firefox/21.0 

मैं इसे एंड्रॉइड में बदलता हूं। M.zaycev.net पर पुनर्निर्देशन तुरंत चला जाता है और अब सामान्य एमपी 3 पहले से ही झूल रहे हैं ...

वाह!
उन्होंने रात में संगीत को सुना, बुलाया।

टिप्पणियों ने मुझे एक और लेख याद दिलाया।

पुनश्च मैं एक अलंकारिक प्रश्न पूछता हूं - कोई बिना मेल के एक प्रमाण पत्र के साथ इतने सारे विभिन्न फाइलों पर हस्ताक्षर कैसे कर सकता है?

पीपीएस ने आईपी साइट, डीएनएस और गेटवे प्रदाता की जांच की - कोई स्पूफिंग नहीं। यह एक दूसरे एंटीवायरस द्वारा जांचा गया था - स्वच्छ।

अद्यतन।

(12 घंटे के बाद):

वितरण डोमेन को downloader.com में बदल दिया गया है और url प्रारूप बदल दिया गया है:

 http://dwnloader.com/MjU1NTtodHRwJTNBJTJGJTJGZGwuemF5Y2V2Lm5ldCUyRjExNWE3ZGY2LTE4NjMtNGQxNy1iOWRjLWM5MTI0ZGIwZGVkOCUyRjE2NTA1JTJGMTY1MDUxOCUyRm5hdGFsaV8tX29fYm96aGVfa2Frb3lfbXV6aGNoaW5hXyh6YXljZXYubmV0KS5tcDM7bmFtZT1uYXRhbGlfLV9vX2JvemhlX2tha295X211emhjaGluYV8oemF5Y2V2Lm5ldCkubXAzO3NpemU9ODY1MDc1Mjt0eXBlPW1wMw== 

कुछ समय बाद, डोमेन को फिर से dawnloader.ru में बदल दिया गया (78.140.165.153)
दो दिन बाद, dwnloader.net में बदल गया (46.254.18.232)।

जो अन्य डोमेन पर पुनर्निर्देशित करता है, जिसमें से डाउनलोड होता है:

 vengera.ru savtopo.ru dojdipo.ru astonka.ru hkovma.ru owsezam.ru gudlet.ru pilagi.ru zyankokhi.ru iqtaxib.ru goditsa.ru ekzofo.ru rfaksa.ru liqra.ru skachatfayl.ru dwnloader.net 

ये डोमेन भी आगंतुकों को torrentino.com पर संक्रमित करने में शामिल हैं
ये सभी IP 146.255.192.214 पर हैं। डेटा सेंटर अबूझ का जवाब नहीं देता :(

Mail.ru से प्रमाण पत्र द्वारा हस्ताक्षरित एक ही फाइल के अंदर ।
मैं यूक्रेन में हूं, शायद यही कारण है कि मुझे पेंटागन एलएलसी द्वारा हस्ताक्षरित एक फ़ाइल नहीं दी गई है।

अद्यतन।

(16 घंटे के बाद)
एक शिलालेख कूद पर दिखाई दिया:

फ़ाइल हमारे भागीदारों - Mail.ru और Rambler से एक विशेष लोडर (ट्रोजन) का उपयोग करके डाउनलोड की जाती है । बूटलोडर लॉन्च करना आपके कंप्यूटर के लिए बिल्कुल सुरक्षित है, जिसकी पुष्टि एक डिजिटल हस्ताक्षर द्वारा की जाती है, लेकिन एंटीवायरस के लिए गलत सकारात्मकता संभव है।

मैं अनुवाद करता हूं: हम कास्परस्की लैब से सहमत थे, यह इन फाइलों को ट्रोजन नहीं मानता है, और Dr.Web, जो फाइलों को ट्रोजन के रूप में वर्गीकृत करता है, एक एंटीवायरस नहीं है।

और वितरकों से प्रतिक्रिया मिली:

से: निकोले निक [a] openprog.ru

आप बूटलोडर के बारे में शिकायत कर रहे हैं (जिसमें माना जाता है कि इसमें वायरस है)।

हम आपको सूचित करते हैं कि एक झूठी सकारात्मक प्रतिक्रिया है। फ़ाइल किसी भी सामग्री को डाउनलोड करने के लिए HTTP क्लाइंट से ज्यादा कुछ नहीं है और यह निश्चित रूप से वायरस नहीं है। फ़ाइल अपने निर्माता, कंपनी Mail.Ru द्वारा डिजिटल रूप से हस्ताक्षरित है और Mail.Ru सर्वर पर स्थित है, जो इस फ़ाइल की उत्पत्ति और विश्वसनीयता की पुष्टि करता है।

कुछ एंटीवायरस के ह्यूरिस्टिक एनालाइज़र को इस फाइल की आंतरिक संरचना और क्रियाओं से ट्रिगर किया जा सकता है, हालांकि हम गारंटी देते हैं कि ट्रिगर डेटा गलत है।

यदि आपके पास हमारे सर्वर से वितरित फ़ाइलों के बारे में प्रश्न हैं, तो कृपया उनके बारे में nik [a] openprog.ru पर लिखें

उनके पास आईपी की भी कमी है और उन्होंने डेटासेंटर से नए ऑर्डर लिए :(