ICQ вирусы и трояны

[Псих]

В этом топе никакого флейма или обмена мнениями, постим только информацию. Все мнения через приват. ВСЁ!

В этом топике предлагаю публиковать icq номера, которые :

1.Используют вирусы и трояны для распостранения по сети.
2.Номерки с которых приходит спам

Помимо самого номера,опишите его зловредность ПОДРОБНО!
несоблюдение этого условия наказуемо!

Зловредные номерки

269337391 контакт King of the tyranny не принимать!Это вирус!
422887254 - вирус!

КАК ОНО БЫВАЕТ?:
1.На компьютер жертвы доставляется ICQ-сообщение с ссылкой .Кликаем.Для маскировки пользователю показываются мультфильмы из популярного сериала Joecartoon. При этом на компьютер пользователя, используя "дыру" в ICQ, загружается троянская программа, которая незаметно рассылает от имени владельца компьютера ссылку на опасный сайт всем получателям из контакт-листа. Кроме того, по данным ЛК, в главном компоненте червя заложена функция, позволяющая автору получать реквизиты платежной системы E-Gold.

Сообщение от Псих

Сегодня от двух совершенно разных русскоязычных знакомых получил по нескольку раз ссылки
вида

Check this:
http://5690.cukeradesunmea.com/1/4970/

Даже не проверял. Подозрительно. Омерекосы завоевуют мир.

сегодня
http://7034.kiliheraseuhedeun.com/storage/7725/
329125950
Stration.XJ worm

[Jaded]

Сегодня по аське пришло:

Перешли плиз, это сообщение всем людям из твоего контакт-листа, даже тем кто сейчас в оффлайне, чтобы они не добавляли в контакт "Авриша (407-205-493)", потому что это ВИРУС. Её имя в аське Полина,и он разрушает весь жесткий диск! Иесли его схватит кто то из твоего контакт - листа, то ТЫ тоже будеш заражен !!! Так что, пожалуйста скопируй и разошли,ок

[Псих]

Jaded, я уже начинаю склоняться к выводу, что это все тупой бред. уже года 3 такое сообщение по сети шастает, только номер меняется.

[Jaded]

Псих, кто предупрежден, тот вооружен. IMHO

[xroot]

Получил в аську сообщение от Cybersant


http://proteam.3dn.ru/*****.exe
ну просто ржу нимагу, кот ганяет по экрану, как ошпареный, нельзя не улыбнуться)))

взято с нонейма
дрВеб у него промолчал и НортонКорпарайт у меня промолчали, Нод промолчал тоже хотя у того кто постил топик угнали номерок

у кого то антивить сработал

[salam]

Думаю угон мыла тоже можно косвенно соотнести с угоном аськи.
Вот что получил кент на мыло:
ПО ЛИНКУ НЕ ХОДИТЬ!!!

Здравствуйте!

За последнюю неделю было произведено большое количество попыток несанкционированного доступа к Вашему почтовому ящику.
Для того чтобы наша служба поддержки смогла предоставить дополнительные средства для обеспечения безопасности вашего
почтового ящика, нам необходимо удостовериться, что в системе находитесь вы, а не другой пользователь под вашим именем.

Более подробная информация по данному вопросу и форма для подтверждения ваших прав на этот п/я находится по адресу:

_http://r.mail.ru/cln2863/a434236ez7536c66.*******.ru/***WFP


Чтобы заполнить форму достаточно просто нажать на ссылку или скопировать её в окно вашего браузера.
В случае если ваши данные окажутся не верными Администрация Mail.Ru будет в праве заблокировать ваш почтовый ящик.
Так как будет предполагаться, что ящик используется злоумышленником завладевшим вашим паролем.

Служба поддержки пользователей Mail.Ru

Как я понял это Очередной развод

[XPEHOTPOH]

Думаю, стоит написать в техподдержку мылару, чтоб они приняли какие-то меры. У меня нечто подобное с Яндексом было, написал им, чтоб уточнить, от них это письмо или нет, они после этого разослали сообщения всем с уведомлением о том, что это развод.

[Lomic]

Только что пришло от человека который в контакт листе
Сергей (18:16:58 19/12/2007)
Привет!

Сергей (18:17:00 19/12/2007)
мне тут прислали...

Сергей (18:17:06 19/12/2007)
_http://r.mail.ru/cln1234/mechel***.com/flash/ Это надо видеть

скачал, дрвеб неругнулся, посмотрел архив винрар, батник и 2 файла.

[Mishgun [SU]]

Сообщение от Lomic

Только что пришло от человека который в контакт листе
Сергей (18:16:58 19/12/2007)
Привет!

Сергей (18:17:00 19/12/2007)
мне тут прислали...

Сергей (18:17:06 19/12/2007)
_http://r.mail.ru/cln1234/mechel***.com/flash/ Это надо видеть

скачал, дрвеб неругнулся, посмотрел архив винрар, батник и 2 файла.

Имел неосторожность запустить сиё. Чем грозит?

[Jaded]

Проверяй систему на вирусы. Меняй пароль на аську.

[Plague]

Сообщение от Mishgun

Имел неосторожность запустить сиё. Чем грозит?

судя по описанию, имеем дело с Trojan-PSW.Win32.LdPinch.epi

d:\downloads\illusion.exe	архив RarSFX
d:\downloads\illusion.exe/data.rar	архив RAR
d:\downloads\illusion.exe/data.rar/calc.exe	обнаружен вирус Trojan-PSW.Win32.LdPinch.epi
d:\downloads\illusion.exe/data.rar/notepad.exe	лечение Trojan-PSW.Win32.LdPinch.epi невозможно.
d:\downloads\illusion.exe/data.rar	лечение Trojan-PSW.Win32.LdPinch.epi невозможно.
d:\downloads\illusion.exe	лечение Trojan-PSW.Win32.LdPinch.epi невозможно.

лог его "путешествий" по виртуалке в атаче.

Сообщение от Jaded

Меняй пароль на аську

не только на аську. заодно, на все мыло, ФТП, итд итп
дурацкий риторический вопрос: а нафига жать на ссылку, не уточнив по крайней мере, что в ней..?

ps о подобных вещах очень рекомендую писать администрации серверов, на которых это лежит. чтоб по крайней мере, зараза дальше не шла.
по данному случаю, abuse@mail.ru

[Mishgun [SU]]

Plague, спасибо за разъяснение.
Объясню ситуацию: сегодня утром мне от моего друга пришли эти сообщения. С ним часто переписываемся и обмениваемся всякими приколюхами. Вот и сегодня, так сказать, обменялись. )))

Запустил файл. На компе установлен Dr.Web 4.44 с базами от 17.12.07.
Он промолчал. Как только там мелькнуло досовское окошко - я сразу всё понял.
Файл я тут же отослал в лабораторию Др.Веб. Оттуда получил ответ что с базами от 20.12.2007 этот вирус определяется. Обновил базы - действительно, стал определяться, как Trojan.Inject.552.
Но было уже поздно, ведь он был запущен ранее.

Послал вирус в лабораторию Касперского.
Там прислали ответ, что это вирус:Trojan-PSW.Win32.LdPinch.eql

Также попытался его открыть на машине с НОДом. НОД предательски молчал, как и Др.Веб до обновления баз.

Затестил этот вирус на _http://www.virustotal.com/ru/
Только 11 из 34 антивирусов просекли, что это вирус. Это данные на 9-00 Москвы 20.12.2007г.

На данный момент поменял пароли на аську и почту.
ФТП сервера нет.

Посмотрел лог - не хило он так шарится.
Где еще пароли поменять?

[Borland]

Сообщение от Mishgun [SU

;1499804]Где еще пароли поменять?

Вкратце: меняй все пароли от внешних ресурсов, которые были сохранены у тебя на машине любыми программами. Сюда же относятся всяческий онлайн-банкинг с е-деньгами, аккаунты на игровых серверах, пароли форумов и т.п. Пинчи нынче большой разборчивостью не отличаются, тырят всё, что плохо лежит...

All
И не кликайте бездумно по ссылкам даже от проверенных контактов - лучше переспросите, что там находится.

Мне лично на одну из асек приходит каждый день по 2-3 новых пинча. Думаю, не только мне. Если кто-то из ваших знакомых словит такую бяку - рассылка пойдёт по его контакт-листу с его номера. Со всеми вытекающими...

[Lomic]

Вопрос тогда такой как узнать куда всё это ушло, или проверить куда уходит, и как просто прямого доступа нет к сети, а только по прокси, как всё это отсылаеться?

[KalaSh]

С номера 256027877 пришло сообщение

Вы хотите видеть невидимые контакты
в icq? Если да, то новые патчи для популярных
Icq-клиентов для вас просто необходимы
http://patch-for-icq.narod.ru/icq_patch***.exe

Подозреваю, что там будет не только патч для inv. контактов.

[KalaSh]

Привет, смотри!!! 
http://thedatingmatrix.com/co****s/top/
( http://thedatingmatrix.com/co****s/top/TheBestFebruary.zip )
Классная вещь!

Однозначно вирус, качать не рекомендую, прислано со свежеугнанного номера.

[salam]

ТОлько что получил на мыло письмо следующего содержания:

Здравствуйте.
Нас заинтересовала ваша кандидатура, однако предлагаем вам заполнить
наш фирменный бланк резюме и отправить его по адресу job@fep.ru
Ответ не гарантируется, однако если Ваше резюме нас заинтересует, мы позвоним Вам в течение нескольких дней. Не забудьте указать телефон, а также позицию, на которую Вы претендуете. Желательно также указать пожелания по окладу.
Наш фирменный бланк вы можете скачать по нижеуказанной ссылке.
http://vitalprint***.com/***.exe

И вот что показал анализ:

Файл resume.exe получен 2008.03.12 20:13:24 (CET)
Текущий статус: закончено
Результат: 11/32 (34.38%)

Антивирус Версия Обновление Результат
AhnLab-V3 2008.3.12.0 2008.03.12 -
AntiVir 7.6.0.73 2008.03.12 DR/Delphi.Gen
Authentium 4.93.8 2008.03.11 -
Avast 4.7.1098.0 2008.03.11 -
AVG 7.5.0.516 2008.03.12 -
BitDefender 7.2 2008.03.12 -
CAT-QuickHeal 9.50 2008.03.12 -
ClamAV 0.92.1 2008.03.12 -
DrWeb 4.44.0.09170 2008.03.12 Trojan.MulDrop.12068
eSafe 7.0.15.0 2008.03.09 -
eTrust-Vet 31.3.5608 2008.03.12 -
Ewido 4.0 2008.03.12 -
FileAdvisor 1 2008.03.12 -
Fortinet 3.14.0.0 2008.03.12 -
F-Prot 4.4.2.54 2008.03.11 -
F-Secure 6.70.13260.0 2008.03.12 Trojan-Dropper.Win32.Agent.fun
Ikarus T3.1.1.20 2008.03.12 Virus.Win32.Zapchast.DA
Kaspersky 7.0.0.125 2008.03.12 Trojan-Dropper.Win32.Agent.fun
McAfee 5249 2008.03.11 -
Microsoft 1.3301 2008.03.12 VirTool:Win32/DelfInject.gen!AA
NOD32v2 2942 2008.03.12 -
Norman 5.80.02 2008.03.12 -
Panda 9.0.0.4 2008.03.12 Suspicious file
Prevx1 V2 2008.03.12 -
Rising 20.35.22.00 2008.03.12 Trojan.DL.Win32.Agent.bxw
Sophos 4.27.0 2008.03.12 Mal/EncPk-CM
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.12 -
TheHacker 6.2.92.243 2008.03.12 -
VBA32 3.12.6.2 2008.03.05 Trojan.PWS.LDPinch.1941
VirusBuster 4.3.26:9 2008.03.12 -
Webwasher-Gateway 6.6.2 2008.03.12 Trojan.Dropper.Delphi.Gen
Дополнительная информация
File size: 213504 bytes
MD5: 28ea52f388e67211b5f8973e9ca94c2d
SHA1: 5cd1a85ea75b8071c765571657374f0b1b589850
PEiD: -

Как видим куча антивирей его пропустила.
вопчем очердной пинч

73385536
398725930
422887254
эти номера трояны шлют.

[Jaded]

kachello, трояны шлют со многих номеров, просто нужно читать приходящие сообщения и не в коем случае не ходить по присылаемым с этих номеров ссылкам. Думаю не стоит здесь публиковать ноиера с которых рассылают трояны т.к. номерами как правило этими пользуются единоразово и номера очень часто меняются.

[Iv@№1]

в сентябре заметил вот что: в воктакте появляются левые номера (один из них 387-317-789, снова появился), удаляю себя из его списка и сам контакт, один хрен появляется. Стоим антиспам (кип), все кто новый всегда с авторизауией мучаются, а тут без всяких авторизаций приклеился ко мне. Передача файлов отключена, всякую дрянь не принимаю.
Зато известный 12111 теперь всегда в оффлайне