Форум успешных вебмастеров - GoFuckBiz.com

  Форум успешных вебмастеров - GoFuckBiz.com > Бизнес-решения > Скрипты, программы и технические решения
Дата
USD/RUB58.8660
BTC/USD0.0000
Скрипты, программы и технические решения Обсуждаем скрипты, программы и новые технологии.

Закрытая тема
Опции темы Опции просмотра
Старый 17.12.2008, 02:33   #1
lol
Advanced member
 
Аватар для lol
 
Регистрация: 04.05.2007
Сообщений: 4,049
Бабло: $417650
По умолчанию Дрянь

Интересует что делает данный код:
Код:
$VAR1 = {
'last_resource' => 'http://www.[покоцано].biz/',
'time_at' => '2008-11-29 05:06:08.253',
   'os_processes' => [
     {
     'pid' => '2392',
     'regkeys' => [],
     'name' => 'C:\\Program Files\\Internet Explorer\\IEXPLORE.EXE',
       'process_files' => [
         {
         'name' => 'C:\\WINDOWS\\winv5x6iSuYgU.exe',
           'file_content' => {
           'sha1' => '5ac7cc02e07227ad5bd4d0b39ba5e4dc931548d5',
           'md5' => '5423ed5bea53ebe3714b12c2bbb2ed59',
           'size' => '27648',
           'mime_type' => 'application/x-ms-dos-executable'
         },
         'event' => 'Write',
         'time_at' => '2008-11-29 05:06:08.253'
       }
     ]
   },
     {
     'stopped' => '2008-11-29 05:06:11.909',
     'created' => '2008-11-29 05:06:10.628',
     'regkeys' => [],
     'pid' => '2464',
     'parent_name' => 'C:\\Program Files\\Internet Explorer\\IEXPLORE.EXE',
     'parent_pid' => '2392',
     'name' => 'C:\\WINDOWS\\winv5x6iSuYgU.exe',
     'process_files' => []
   }
]
};
Один умник через ифрейм и сутру грузит сплоит...
__________________
Лучшее ФАРМА решение для Германии, Франции (Visa, MC, Blue card, BANK)
lol вне форума  
Старый 17.12.2008, 02:39   #2
Aлeкceй
Юниор
 
Регистрация: 13.12.2008
Сообщений: 15
Бабло: $500
По умолчанию

данный код формирует массив данных... а вот нафига он это делает - я хз.
__________________
Закрыая парнерка, высокий конверт. Первая неделя - выплаты по 100%. за инвайтами и подробностями в личку.
Aлeкceй вне форума  
Старый 17.12.2008, 02:43   #3
seocoder
хуйнанэ
 
Аватар для seocoder
 
Регистрация: 03.04.2007
Сообщений: 1,267
Бабло: $107486
Отправить сообщение для seocoder с помощью Skype™
По умолчанию

весь функционал winv5x6iSuYgU.exe тут
а что он делает без реверса не узнать
seocoder вне форума  
Старый 17.12.2008, 02:50   #4
lol
Advanced member
 
Аватар для lol
 
Регистрация: 04.05.2007
Сообщений: 4,049
Бабло: $417650
ТС -->
автор темы ТС По умолчанию

Если файла winv5x6iSuYgU.exe нет все в порядке?
IEXPLORE.EXE чистый, проверил на virustotal и virscan. Дата послд. изменения 15 октября.
__________________
Лучшее ФАРМА решение для Германии, Франции (Visa, MC, Blue card, BANK)
lol вне форума  
Старый 17.12.2008, 02:52   #5
seocoder
хуйнанэ
 
Аватар для seocoder
 
Регистрация: 03.04.2007
Сообщений: 1,267
Бабло: $107486
Отправить сообщение для seocoder с помощью Skype™
По умолчанию

а тот код что ты дал не может выполниться - это просто дамп какой то
seocoder вне форума  
Старый 17.12.2008, 03:06   #6
zlaya ssuka
ChefJavaProgrammierer
 
Аватар для zlaya ssuka
 
Регистрация: 05.04.2007
Сообщений: 1,166
Бабло: $15090
Отправить сообщение для zlaya ssuka с помощью ICQ
По умолчанию

ну судя по тому, что в этом дампе у ехе файла есть время запуска и время остановки, и они различаются, то я хз - проверяй систему антивирами и трояноловами
zlaya ssuka вне форума  
Старый 17.12.2008, 03:07   #7
lol
Advanced member
 
Аватар для lol
 
Регистрация: 04.05.2007
Сообщений: 4,049
Бабло: $417650
ТС -->
автор темы ТС По умолчанию

Зашел на WP блог (v2.6), глюканула опера (v9.63), закрыл через ctr+alt+del. Открыл блог повторно глянул исходный код, в нем ифрейм, ведет на тдску. По урлу в гугле нашел этот код и что он грузит с той схемы. Avira молчит, сканю Dr.Web.. *в раздумья*.
__________________
Лучшее ФАРМА решение для Германии, Франции (Visa, MC, Blue card, BANK)
lol вне форума  
Старый 17.12.2008, 03:39   #8
gopher
googlebot
 
Регистрация: 28.06.2008
Адрес: Panama
Сообщений: 93
Бабло: $515
По умолчанию

код из связки сплойтов под осла, судя по всему
gopher вне форума  
Старый 17.12.2008, 03:41   #9
Aлeкceй
Юниор
 
Регистрация: 13.12.2008
Сообщений: 15
Бабло: $500
По умолчанию

что то где то учпущено. где то должен быть обработчик. либо этот кусок как то работает с браузером (например пишет что то через дыру и т.д.)
__________________
Закрыая парнерка, высокий конверт. Первая неделя - выплаты по 100%. за инвайтами и подробностями в личку.
Aлeкceй вне форума  
Старый 17.12.2008, 04:42   #10
CrazyStudentS_Mi}{
Senior Member
 
Аватар для CrazyStudentS_Mi}{
 
Регистрация: 06.11.2008
Сообщений: 855
Бабло: $123628
По умолчанию

все дружно юзаем comodo internet security и блочим вражеский ифрэймы, ТС ты попал на связку сплойтов. тебе прогрузили лоадер, проверяй исходящие конекты и меняй пароли пока не поздно
__________________
PharmCash - Лучшие условия и профит в фарме. Hold-0, Refunds-0, Commission–50%, CPU+500. Google нас любит!
CrazyStudentS_Mi}{ вне форума  
Закрытая тема



Опции темы
Опции просмотра