Отправляет email-рассылки с помощью сервиса Sendsay

Супер ТРЁП !!! Форум обо всем !!!

Привет Всем!!!

Вирус кто то рассылает БУДТЕ ВНИМАТЕЛЬНЫ, я полтора часа комп чистил.

Дима.
Номер выпуска : 4963
Количество подписчиков : 179
Получить правила : mailto:rest.interesting.flame-rules@subscribe.ru
Формат "дайджест" : mailto:rest.interesting.flame-digest@subscribe.ru
Формат "каждое письмо" : mailto:rest.interesting.flame-normal@subscribe.ru
Формат "читать с веба" : mailto:rest.interesting.flame-webonly@subscribe.ru

-*Информационный канал Subscribe.Ru
Написать в лист: mailto:rest.interesting.flame-list@subscribe.ru
Отписаться: mailto:rest.interesting.flame--unsub@subscribe.ru

http://subscribe.ru/ mailto:ask@subscribe.ru

Ответить   "dubov" Tue, 27 Jan 2004 16:08:35 +0300 (#64922)

 

Ответы:

У него после собаки topplan написано? червь?

С уважением Аня.
Номер выпуска : 4970
Количество подписчиков : 179
Получить правила : mailto:rest.interesting.flame-rules@subscribe.ru
Формат "дайджест" : mailto:rest.interesting.flame-digest@subscribe.ru
Формат "каждое письмо" : mailto:rest.interesting.flame-normal@subscribe.ru
Формат "читать с веба" : mailto:rest.interesting.flame-webonly@subscribe.ru

-*Информационный канал Subscribe.Ru
Написать в лист: mailto:rest.interesting.flame-list@subscribe.ru
Отписаться: mailto:rest.interesting.flame--unsub@subscribe.ru

http://subscribe.ru/ mailto:ask@subscribe.ru

Ответить   Tue, 27 Jan 2004 19:03:30 +0300 (#64974)

 

В зиповском архиве?

С уважением, Аня.
Номер выпуска : 4970
Количество подписчиков : 179
Получить правила : mailto:rest.interesting.flame-rules@subscribe.ru
Формат "дайджест" : mailto:rest.interesting.flame-digest@subscribe.ru
Формат "каждое письмо" : mailto:rest.interesting.flame-normal@subscribe.ru
Формат "читать с веба" : mailto:rest.interesting.flame-webonly@subscribe.ru

-*Информационный канал Subscribe.Ru
Написать в лист: mailto:rest.interesting.flame-list@subscribe.ru
Отписаться: mailto:rest.interesting.flame--unsub@subscribe.ru

http://subscribe.ru/ mailto:ask@subscribe.ru

Ответить   Tue, 27 Jan 2004 19:04:10 +0300 (#64975)

 

Hello dubov,

Tuesday, January 27, 2004, 4:08:35 PM, you wrote:


Дима, а почему этот вирус к нам не попал, если кто-то из этого форума
рассылает? Может ты его где-то на стороне подцепил? ))

Ответить   Tue, 27 Jan 2004 19:56:48 +0300 (#65029)

 

Доброго времени, Таня.
Ну вот, групповичка ещё не было, а вирусы уже есть!
Хотя, вопрос на соображалку.
Откуда вирус, если аттач, в лист, не проходит?
Месье Модератор,Виктор Викторович,Великий и Ужасный, повелитель
субскрайба, проясните ситуёвину,плз.
Дима Тверской.
Номер выпуска : 5066
Количество подписчиков : 179
Получить правила : mailto:rest.interesting.flame-rules@subscribe.ru
Формат "дайджест" : mailto:rest.interesting.flame-digest@subscribe.ru
Формат "каждое письмо" : mailto:rest.interesting.flame-normal@subscribe.ru
Формат "читать с веба" : mailto:rest.interesting.flame-webonly@subscribe.ru

-*Информационный канал Subscribe.Ru
Написать в лист: mailto:rest.interesting.flame-list@subscribe.ru
Отписаться: mailto:rest.interesting.flame--unsub@subscribe.ru

http://subscribe.ru/ mailto:ask@subscribe.ru

Ответить   "Дима Тверской" Tue, 27 Jan 2004 21:48:24 +0300 (#65614)

 

Здравствуйте !

Да ниоткуда.
Аттачи не идут, идет вообще только текст.
Вообще у субскрайба политика такая, чтобы все резать.
Даже скрипты, даже в рассылках (информационных, не листах).

--
С уважением, Вахтуров Виктор.
Информационный сайт для программистов http://SoftMaker.com.ru
Номер выпуска : 5174
Количество подписчиков : 179
Получить правила : mailto:rest.interesting.flame-rules@subscribe.ru
Формат "дайджест" : mailto:rest.interesting.flame-digest@subscribe.ru
Формат "каждое письмо" : mailto:rest.interesting.flame-normal@subscribe.ru
Формат "читать с веба" : mailto:rest.interesting.flame-webonly@subscribe.ru

-*Информационный канал Subscribe.Ru
Написать в лист: mailto:rest.interesting.flame-list@subscribe.ru
Отписаться: mailto:rest.interesting.flame--unsub@subscribe.ru

http://subscribe.ru/ mailto:ask@subscribe.ru

Ответить   Wed, 28 Jan 2004 23:16:48 +0300 (#66052)

 

Доброе утро, Victor.

Да ну, у меня в рассылке стоит кусок слоев, для оформления ссылок, все
работатет...
Или слои к скриптам не относятся?

Ответить   Майк Румянцев Thu, 29 Jan 2004 08:13:39 +0300 (#66220)

 

Здравствуйте, Tanya.

Вы писали 27 января 2004 г., 18:56:48:

Сплюнь сейчас же!!! Беду накличешь!!! Какой жас!

Ответить   Wanderer Wed, 28 Jan 2004 10:47:08 +0200 (#65639)

 

Доброе утро, Tanya.

Потому что лист вложения не пересылает, а вирус именно во вложениях.
Я тоже поймал (кто-то в организации нашей письмишко получил, файлик
запустил, и по локалке червячок размножился со трашной силой! судя по
всему, он еще и через службу сообщений вындоуза рассылается...), но
быстро вылечил, вроде письма во внешний мир он не успел разослать.
Обновляйие антивирусы!

Вот описание и метод борьбы вручную:
(взято из рассылки "Эффективный Интернет", inet.region.effect)

-Worm.Novarg
Вирус-червь. Также известен как Mydoom.
Распространяется через интернет в виде файлов, прикрепленных к
зараженным письмам, а также по сетям файлообмена Kazaa. Червь является
приложением Windows (PE EXE-файл), имеет размер 22 528 байт, упакован
UPX. Размер распакованного файла около 40KB.
Червь активизируется, только если пользователь сам откроет архив и
запустит зараженный файл (при двойном щелчке на вложении). Затем червь
инсталлирует себя в систему и запускает процедуры своего
распространения.
Червь содержит в себе "бэкдор"-функцию, а также запрограммирован на
проведение DoS-атаки на сайт www.sco.com 1 февраля 2004 года.
Часть тела вируса зашифрована.
Инсталляция
После запуска червь запускает Windows Notepad в котором демонстрирует
произвольный набор символов.
При инсталляции червь копирует себя с именем "taskmon.exe" в системный
каталог Windows и регистрирует этот файл в ключе автозапуска
системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"TaskMon" = "%System%\taskmon.exe"
Червь создает в системном каталоге Windows файл "shimgapi.dll",
являющийся "бэкдор"-компонентом (прокси-сервер) и также регистрирует
его в системном реестре:

[HKCR\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32]
"(Default)" = "%SysDir%\shimgapi.dll"
Таким образом, данная DLL запускается как дочерний процесс "Explorer.exe".

Также червь создает файл "Message" во временном каталоге системы
(обычно, %windir\temp). Данный файл содержит произвольный набор
символов.

Для идентификации своего присутствия в системе червь создает несколько
дополнительных ключей системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version]
Для этой же цели, в процессе работы, червь создает уникальный
идентификатор "SwebSipcSmtxSO".
Рассылка писем
При рассылке зараженных писем червь использует собственную
SMTP-библиотеку. Червь пытается осуществить прямое подключение к
почтовому серверу получателя.

Для обнаружения адресов электронной почты, по которым будет вестись
рассылка зараженных писем, червь ищет на диске файлы, имеющие
расширения:

asp
dbx
tbb
htm
sht
php
adb
pl
wab
txt
и собирает найденные в них адреса электронной почты. При этом червем
игнорируются адреса, оканчивающиеся на ".edu".

Адрес отправителя:

[произвольный]
Тема письма выбирается произвольно из списка:

test
hi
hello
Mail Delivery System
Mail Transaction Failed
Server Report
Status
Error
Тело письма выбирается произвольно из списка:

test

The message cannot be represented in 7-bit ASCII encoding
and has been sent as a binary attachment.

The message contains Unicode characters and has been sent
as a binary attachment.

Mail transaction failed. Partial message is available.

Имя вложения может иметь либо одно слово, либо быть составленным из
двух отдельных, соединенных символом "_":

document
readme
doc
text
file
data
test
message
body
Вложения могут иметь одно из расширений:

pif
scr
exe
cmd
bat
Также червь может посылать письма с бессмысленным набором символов в
теме письма, тексте письма и имени вложения.
Размножение через P2P
Червь проверяет наличие установленного на машине клиента Kazaa и
копирует себя в каталог файлообмена под следующими именами:

winamp5
icq2004-final
activation_crack
strip-girl-2.0bdcom_patches
rootkitXP
office_crack
nuke2004
с расширением из списка:

bat
exe
scr
pif
Прочее
"Shimgapi.dll" представляет из себя прокси-сервер. Червь открывает на
зараженной машине TCP порт из диапазона от 3127 до 3198 для приема
команд. Функционал "бэкдора" позволяет злоумышленнику получить полный
доступ к системе. Кроме этого, "бэкдор" может загружать из интернета и
запускать на исполнение произвольные файлы.

В черве заложена функция организации DoS-атаки на сайт www.sco.com .
Эта функция должна быть активирована 1 февраля 2004 года и будет
работать вплоть до 12 февраля 2004 года. Червь каждую миллисекунду
отсылает на 80 порт атакуемого сайта запрос GET, что в условиях
глобальной эпидемии может привести к полному отключению данного сайта.
вот так вот... будьте бдительны!

Ответить   Майк Румянцев Wed, 28 Jan 2004 13:03:11 +0300 (#65679)

 

Привет Все ,

раз народ червячком интересуется вот его описание:

8<Начало буфера обмена Вот описание нового:
I-Worm.Novarg (Mydoom)
[ 27.01.2004 08:21, обновлено 27.01.2004 12:57, GMT +03:00, Москва ]
Опасность : высокая
Служба круглосуточного мониторинга "Лаборатории Касперского" сообщает
о зафиксированом ночью 27 января 2004 года начале крупномасштабной
эпидемии почтового червя Novarg, также известного как Mydoom.

В настоящий момент всеми антивирусными компаниями данному червю
присвоен максимальный уровень опасности. Количество зараженных писем в
интернете исчисляется несколькими миллионами экземпляров.

Подробный анализ кода вируса опубликован в "Вирусной энциклопедии".

Процедуры обнаружения и удаления данного червя уже добавлены в
антивирусные базы "Антивируса Касперского".

I-Worm.Novarg

Вирус-червь. Также известен как Mydoom.

Распространяется через интернет в виде файлов, прикрепленных к
зараженным письмам, а также по сетям файлообмена Kazaa. Червь является
приложением Windows (PE EXE-файл), имеет размер 22 528 байт, упакован
UPX. Размер распакованного файла около 40KB.

Червь активизируется, только если пользователь сам откроет архив и
запустит зараженный файл (при двойном щелчке на вложении). Затем червь
инсталлирует себя в систему и запускает процедуры своего
распространения.

Червь содержит в себе "бэкдор"-функцию, а также запрограммирован на
проведение DoS-атаки на сайт www.sco.com 1 февраля 2004 года.

Часть тела вируса зашифрована.

Инсталляция
После запуска червь запускает Windows Notepad в котором демонстрирует
произвольный набор символов:

При инсталляции червь копирует себя с именем "taskmon.exe" в системный
каталог Windows и регистрирует этот файл в ключе автозапуска
системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"TaskMon" = "%System%\taskmon.exe"
Червь создает в системном каталоге Windows файл "shimgapi.dll",
являющийся "бэкдор"-компонентом (прокси-сервер) и также регистрирует
его в системном реестре:
[HKCR\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32]
"(Default)" = "%SysDir%\shimgapi.dll"
Таким образом, данная DLL запускается как дочерний процесс "Explorer.exe".
Также червь создает файл "Message" во временном каталоге системы
(обычно, %windir\temp). Данный файл содержит произвольный набор
символов.

Для идентификации своего присутствия в системе червь создает несколько
дополнительных ключей системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version]
Для этой же цели, в процессе работы, червь создает уникальный идентификатор
"SwebSipcSmtxSO".

Рассылка писем
При рассылке зараженных писем червь использует собственную
SMTP-библиотеку. Червь пытается осуществить прямое подключение к
почтовому серверу получателя.
Для обнаружения адресов электронной почты, по которым будет вестись
рассылка зараженных писем, червь ищет на диске файлы, имеющие
расширения:

asp
dbx
tbb
htm
sht
php
adb
pl
wab
txt
и собирает найденные в них адреса электронной почты. При этом червем
игнорируются адреса, оканчивающиеся на ".edu".
Содержание зараженных писем

Адрес отправителя:

[произвольный]
Тема письма выбирается произвольно из списка:
test
hi
hello
Mail Delivery System
Mail Transaction Failed
Server Report
Status
Error
Тело письма выбирается произвольно из списка:
test

The message cannot be represented in 7-bit ASCII encoding
and has been sent as a binary attachment.

The message contains Unicode characters and has been sent
as a binary attachment.

Mail transaction failed. Partial message is available.
Имя вложения может иметь либо одно слово, либо быть составленным из
двух отдельных, соединенных символом "_":
document
readme
doc
text
file
data
test
message
body
Вложения могут иметь одно из расширений:
pif
scr
exe
cmd
bat
Также червь может посылать письма с бессмысленным набором символов в
теме письма, тексте письма и имени вложения.
Размножение через P2P
Червь проверяет наличие установленного на машине клиента Kazaa и
копирует себя в каталог файлообмена под следующими именами:
winamp5
icq2004-final
activation_crack
strip-girl-2.0bdcom_patches
rootkitXP
office_crack
nuke2004
с расширением из списка:
bat
exe
scr
pif
Прочее
"Shimgapi.dll" представляет из себя прокси-сервер. Червь открывает на
зараженной машине TCP порт из диапазона от 3127 до 3198 для приема
команд. Функционал "бэкдора" позволяет злоумышленнику получить полный
доступ к системе. Кроме этого, "бэкдор" может загружать из интернета и
запускать на исполнение произвольные файлы.
В черве заложена функция организации DoS-атаки на сайт www.sco.com.
Эта функция должна быть активирована 1 февраля 2004 года и будет
работать вплоть до 12 февраля 2004 года. Червь каждую миллисекунду
отсылает на 80 порт атакуемого сайта запрос GET, что в условиях
глобальной эпидемии может привести к полному отключению данного сайта.

8<Конец буфера обмена С уважением Малыш
--
В пользу регулирования рождаемости, как правило, выступают те, кто уже родился.
--
Номер выпуска : 5035
Количество подписчиков : 179
Получить правила : mailto:rest.interesting.flame-rules@subscribe.ru
Формат "дайджест" : mailto:rest.interesting.flame-digest@subscribe.ru
Формат "каждое письмо" : mailto:rest.interesting.flame-normal@subscribe.ru
Формат "читать с веба" : mailto:rest.interesting.flame-webonly@subscribe.ru

-*Информационный канал Subscribe.Ru
Написать в лист: mailto:rest.interesting.flame-list@subscribe.ru
Отписаться: mailto:rest.interesting.flame--unsub@subscribe.ru

http://subscribe.ru/ mailto:ask@subscribe.ru

Ответить   Малыш Wed, 28 Jan 2004 08:46:41 +0300 (#65422)

 

Здравствуйте, Малыш.

Малыш, ты подробней напиши, как намотал, как проявился, чем
определил, как лечил. Не тяни, время идет.

Ответить   Wanderer Wed, 28 Jan 2004 12:55:44 +0200 (#65791)

 

Привет Wanderer,

Да нет его у меня, народ занервничал, я и скинул описаловку.

С уважением Малыш
--
Мысль это оргазм мозга - тот, кто способен его испытывать, получает удовольствие,
а тот, кто не способен, вынужден имитировать.
--
Номер выпуска : 5146
Количество подписчиков : 179
Получить правила : mailto:rest.interesting.flame-rules@subscribe.ru
Формат "дайджест" : mailto:rest.interesting.flame-digest@subscribe.ru
Формат "каждое письмо" : mailto:rest.interesting.flame-normal@subscribe.ru
Формат "читать с веба" : mailto:rest.interesting.flame-webonly@subscribe.ru

-*Информационный канал Subscribe.Ru
Написать в лист: mailto:rest.interesting.flame-list@subscribe.ru
Отписаться: mailto:rest.interesting.flame--unsub@subscribe.ru

http://subscribe.ru/ mailto:ask@subscribe.ru

Ответить   Малыш Wed, 28 Jan 2004 17:39:36 +0300 (#65904)

 

Здравствуйте, dubov.

Вы писали 27 января 2004 г., 15:08:35:

Дима, расскажи подробней как ты вляпался. Чтоб другим
неповадно было!

Ответить   Wanderer Wed, 28 Jan 2004 07:49:38 +0200 (#65527)