ICQ. Вопросы, проблемы и прочее.

[x77]

у меня стоит qip. раздел Additional Info выглядит примерно так:

Invisible for All
Signed on: Fri Nov 03 2006 10:41:38 gmt
Reg date: Fri Apr 11 1997 14:15:00
------------------------------------------------
External IP: 62.5.176.190
DC Protocol version: 11
------------------------------------------------
AIM WARN Level: 0%
Service: iFree, ICQ
------------------------------------------------
Attached email for login: koino@rambler.ru
------------------------------------------------
Localized Account:
    [ Basic Distribution ID : 3, ]
    [ 3 - Russia - icq.rambler.ru ]

интересует вот эта строчка: Attached email for login: koino@rambler.ru. Это не моё мыло. откуда оно и хрена вообще оно тут делает? закладка?

[Алексей++]

x77, смени пароль на всякий пож

[x77]

Алексей1153, меня настораживает фраза "attached email for login". пока ничего трогать не буду, но хотелось бы разобраться

[Алексей++]

x77, вспоминай, мож пьяный был и приделал что-то ))

[x77]

Алексей1153, неа, я с квипом не баловался можно у них на форуме спросить, но лень регистрироваться.....

[x77]

начаналось всё скучно, а потом стало интересно. некто gemich попросил авторизации. выглядело это так:

196637662 (17:36:48 21/11/2006)
Authorization Request
Новейшая версия QIP с поддержкой отправки смс и звонков намобильные:
http://ifolder.ru/473867
 или http://www.webfile.ru/1200645

сначало заинтересовало то, что в инфе чувака утверждалось, что ему 32 года, звать его Просковий Тимкин, и шо оно женского полу. потом заинтересовал тот факт, что чувак предлагает новейшие версии qip'а, который всю жизнь обновляется автоматически. короче, поскакал я качать эти файлы. скачал архив, развернул, пошарился дизассемблером, и вот что нарыл: в конце списка VCL-объектов, по сравнению с оригинальным qip, "вдруг откуда ни возьмись" появляются TIdSmtp (дельфийский компонент для отправки почты), TForm1, TForm2, TForm3. а листинг кода, по сравнению с оригиналом, обогатился следующим перлом:

00486CA3  00                              Align   4
 00486CA4  FFFFFFFF                        dd   FFFFFFFFh
 00486CA8  16000000                        dd   00000016h
 00486CAC                           SLP00486CAC_FakeQIP_message__UIN__:
 00486CAC  46616B65514950206D65+           db   'FakeQIP message, UIN: '
 00486CC2  0000                            Align   4
 00486CC4  FFFFFFFF                        dd   FFFFFFFFh
 00486CC8  10000000                        dd   00000010h
 00486CCC                           SLP00486CCC_uin113_yandex_ru:
 00486CCC  75696E3131334079616E+           db   'uin113@yandex.ru'
 00486CDC  00000000                        Align   4
 00486CE0  FFFFFFFF                        dd   FFFFFFFFh
 00486CE4  0E000000                        dd   0000000Eh
 00486CE8                           SLP00486CE8_uin113_mail_ru:
 00486CE8  75696E313133406D6169+           db   'uin113@mail.ru'
 00486CF6  0000                            Align   4
 00486CF8  FFFFFFFF                        dd   FFFFFFFFh
 00486CFC  17000000                        dd   00000017h
 00486D00                           SLP00486D00________________________:
 00486D00  7C3D3D3D3D3D3D3D3D3D+           db   '|=====================|'
 00486D17  00                              Align   4
 00486D18  FFFFFFFF                        dd   FFFFFFFFh
 00486D1C  0A000000                        dd   0000000Ah
 00486D20                           SLP00486D20______UIN__:
 00486D20  202020202055494E3A20            db   '     UIN: '
 00486D2A  0000                            Align   4
 00486D2C  FFFFFFFF                        dd   FFFFFFFFh
 00486D30  0A000000                        dd   0000000Ah
 00486D34                           SLP00486D34______PWD__:
 00486D34  20202020205057443A20            db   '     PWD: '
 00486D3E  0000                            Align   4
 00486D40                           TForm2.btn7Click:
 00486D40  53                              push   ebx
 00486D41  8BD8                            mov   ebx,eax
 00486D43  6A05                            push   00000005h
 00486D45  6A00                            push   00000000h
 00486D47  6A00                            push   00000000h
 00486D49  68646D4800                      push   SSZ00486D64_https___www_icq_com_register_
 00486D4E  68846D4800                      push   SSZ00486D84_Open
 00486D53  8BC3                            mov   eax,ebx
 00486D55  E81AB3FBFF                      call   SUB_L00442074
 00486D5A  50                              push   eax
 00486D5B  E87C18FAFF                      call   jmp_shell32.dll!ShellExecuteA
 00486D60  5B                              pop   ebx
 00486D61  C3                              retn

такие дела. привет хацкерам, гы-гы.

[RXL]

x77, Игор, интересно скучаешь 

Эту штуку в новости положим и в рассылку

[Алексей++]

а лично я всё такое сразу фтопку сую )

[Chuda]

а я смотрю, когда мне делать нечего.
а вирусов пусть виндострадальцы боятся

[McZim]

а у меня вот так пришло:

It's can help you to remove all banners in your ICQ client
http://5422.easeruikiontunhdefunds.com/2/6925/ICQ_Banner_Remove.ex e

причом это уже не реальный отправитель слал, а вирус от его имени......потому как когда начал выяснять он сказал что ничего такого не слал.

[x77]

Chuda, винда рулит с ней не скучно

[x77]

кстати, вирусы сейчас даже под Мак Ось пишут, один недавно выложили с исходниками в сети. правда в исходниках сам автор пространно комментирует, как тяжело добиться планомерного и стабильного размножения под данной осью

[Chuda]

конечно.
но если сравнивать шансы цепануть вирус под виндами и под макосью...
а на x86 я обычно линукс ставлю. тоже гораздо проще и спокойнее.

[x77]

Chuda, самое, имхо, разумное - это держать одну виртуальную машину без сети, в которой и пробовать все подобные блудни. но не всегда есть возможность для этого. а вообще, самый надёжный файерволл - это здравый смысл.

[McZim]

хм..подумалось...Асечный или асЕчный троян?

[Chuda]

...а вообще, самый надёжный файерволл - это здравый смысл.

вот это есть правильно.

[x77]

хм..подумалось...Асечный или асЕчный троян?

не такой уж он и асЕчный. два человека из моего контакт листа остались без номеров, в т.ч. у одного был 7-значный. сейчас от их имени всякая срань приходит

[Chuda]

да уж
у моего знакомого тоже недавно украли номер аськи.
а если участь, что он директор магазина, и аську использовал в бизнесе, то это ещё и удар по репутации

[Алексей++]

у мну пропали некоторые контакты из аси ((

кому не лень и с кем общались - стукните ко мне, я добавлю, кто пропал ...

[Алексей++]

предупреждаю всех про грабли, на которые тока что наступил )

иногда от ЗНАКОМОГО контакта прилетает сцылка и надпись типа
"Зацени мой сайт"

НЕ ЗАХОДИТЕ. Сначала переспросите 20 раз у человека - он ли это прислал?

я сдуру зашёл и тут же получил какуюто хрень, переустанавливал систему.

С новым Гадом, товарищи ) Будьте бдительны )

[nikedeforest]

Эх, Леха, что я эту тему не прочитал-то до 6 вечера 31 декабря. Я правда ось не перставлял еще. Вроде покоцал всю заразу, теперь ущерб подсчитываю и тогда буду думать, что делать - совсем переставлять или доустанавливать.

[Алексей++]

nikedeforest, я не ищу вирусы, я всегда систему начисто переставляю после
format с:

[Sel]

А у меня эта зараза никаких последствий не оставила, Найк...
Каспер + АдАвара все вырезали

[nikedeforest]

АдАвара - это типа Adware?
Леха, мне формат С и ось перес тавлять накладно очень выходит. Много софта помо надо возвращать, а ко многому уже дистрибутива нет. К тому же когда его вырезаешь, то узнаешь много полезного. Например про этот вирус можно сказать, что он во-первых располгался в System32 под названием upnp.exe, естественно прописался в реестре на автозагрузку, пару ДЛЛ"ок к нему. Троян относится к спамирующему. Заражает Аську. Пару непонятных моментов, например, что-то он делает такое, что при запуске ИЕ через ярлык, ярлык просит удаленную библиотек msvcrl.dll . Ярлык удаляем, делаем новый ярлык на ИЕ и все в порялке. Интерсно, как это так было сделано, чтобы ярлык библиотеку подгружал. Забыл путь посмотреть, куда ярлык указывал, может путь поменяли ярлыка. Короче, местами занятно, если не учесть конечно то, что возится приходится до сих пор. Пока в инет с того компа не выхожу

[Sel]

Ad Aware, да. И никаких последствий

[nikedeforest]

Она тоже в режиме монитора работает? КАкая-то специализированная против троянцев? НЕ жирновато-ли по ресурсожрамости. А то и каспер и это.

[Never]

А Каспер с ней не дерется? Вместе-то? Обычно траблы бывают от разных антивирусов на одном компе...

[Sel]

Каспер с АдАварой в паре считаются лучшей по эффективности защитой компа. Нет, они не дерутся.
АдАвара - не антивирусная программа, а программа анти-шпион, т.е. ее функции несколько отличаются от Касперских.
Нет, у меня в режиме монитора работает только AdWatch, который отслеживает и пришибает всякие пакости,типа tracking cookies, и еще сообщает, когда кто-нибудь лезет в реестр. А саму АдАвару я запускаю на скан, когда нужно

В общем, мне эта парочка вполне нравится.
Про Ad Avare можно почитать вот тут.

[Sel]

Кстати... Не оффтоп ли это? Может, отдельно обсудить достоинства-недостатки антивирусов?

[Oberon]

У меня недавно угнали номер аськи. Причем об этом даже теперь написано в инфе о пользователе. Пробовал востановить, но почтовый ящик уже давно не существует (в моей памяти тоже). Кто-нибудь, пожалуста посоветуйте прогу, чтоб сломать новый пароль и вернуть номер себе.