Member
Статус: Не в сети Регистрация: 17.05.2003 Откуда: Москва
В файле FAQ.chm находится всё инсталятор, при открытии chm, запускается самораспакрвывающийся CAB архив, который устанавливает всё тот же Hidden r-admin. Только bat-файл заменён теперь написанным на C++ файлом, с рабочим названием "coo". Кстати, в разработчиках файла числится Leg!on, к которому магистер имеет непосредственное отношение, хотя последний уверяет меня в своей непричастности к ДАННЫМ рассылкам.
Предыдущая рассылка "конкурсных" статей содержала файл 1.doc......exe, многие это знают и увидели. Поэтому на сей раз способ был более умным, тот же самый 1.doc.exe запаковали в chm файл. Многие думают что это просто закомпиленые web-страницы, поэтому и открывают. На самом деле, как я выяснил, chm может запустить ЛЮБОЙ html тэг или код.
Спасибо за внимание, если есть вопросы пишите в ЛС или в асю.
PS
кстати рассылка велась ОТСУДА: alain.tophttp.com
там написано вот это
Цитата:
Site is underconstruction. Wait soon for it to be ready. Yes, Neo was here ! llkl.net
Особенно смутило Yes, Neo was here !...
Ведь есть ещё на нас обиженные гуры Mr.Anderson (может это он Neo) и Юрий (а может и он) ... помните, враг не спит никогда... гыгы
member+
Статус: Не в сети Регистрация: 16.01.2004 Откуда: Estonia,Tallinn
Очередное письмо (опять с юмором, уже без трояна )
Код:
Return-path: <doors4ever@overclockers.ru> Envelope-to: vladson@heatpc.com Delivery-date: Sun, 27 Jun 2004 10:17:00 +0400 Received: from [69.56.201.2] (helo=alain.tophttp.com) by lauryn.e-neverland.net with esmtp (TLSv1:AES256-SHA:256) (Exim 4.30; FreeBSD) id 1BeSxj-0007wg-Lj for vladson@heatpc.com; Sun, 27 Jun 2004 10:16:23 +0400 Received: from nobody by alain.tophttp.com with local (Exim 4.34) id 1BeSvv-000387-2A for vladson@heatpc.com; Sun, 27 Jun 2004 01:14:31 -0500 To: vladson@heatpc.com Subject: PEN1.S -- enIargement - JUST for you!! MIME-Version: 1.0 From: doors4ever@overclockers.ru Reply-To: doors4ever@overclockers.ru Errors-To: doors4ever@overclockers.ru X-Mailer: MSOUTLOOK / 4.3.3 Content-Type: text/html; charset="ISO-8859-1" Content-Transfer-Encoding: quoted-printable Message-Id: <E1BeSvv-000387-2A@alain.tophttp.com> Date: Sun, 27 Jun 2004 01:14:31 -0500 X-AntiAbuse: This header was added to track abuse, please include it with any abuse report X-AntiAbuse: Primary Hostname - alain.tophttp.com X-AntiAbuse: Original Domain - heatpc.com X-AntiAbuse: Originator/Caller UID/GID - [99 99] / [47 12] X-AntiAbuse: Sender Address Domain - overclockers.ru X-Source: X-Source-Args: X-Source-Dir:
<table border=3D\"1\" width=3D\"100%\" id=3D\"table1\"> <tr> <td>HeII0 my fr!end!<p> </p> <p>We are Iead!ng manufacturer 0f pen!s ENHaNCEMENT p!IIs !n the w0rId.</= p> <p><br> 0ur 0VERCI0CKERS.RU P!IIs are weII kn0wn w0rId w!de and are the best=20 seII!ng herbaI pen!s enIargement f0rmuIa 3 years !n a r0w. T0 further=20 pr0ve 0ur ab!I!ty t0 be 0ne step ahead 0f the c0mpet!t!0n we deveI0ped=20 PEN!S ENIaRGEMENT PaTCHES. !t w0rks just as great as 0ur 0VERCI0CKERS.RU= =20 Pen!s P!IIs. 0ver the past few years we have rece!ved many !nqu!r!es=20 fr0m pe0pIe wh0 want t0 try 0ur 0VERCI0CKERS.RU Pen!s P!IIs but were=20 unabIe due t0 many reas0ns such as: !nab!I!ty t0 swaII0w the p!II,=20 !nc0nven!ence and 0thers. We t00k the!r requests ser!0usIy and started=20 w0rk!ng 0n deveI0p!ng a patch wh!ch w0uId su!te the!r needs. <br> <br> N0w 0ur Pen!s EnIargement Patches are ava!IabIe 0n 0ur webs!te and y0u=20 can take advantage 0f 0ur spec!aI 0ffer. We w0uId I!ke y0u t0 read 0ur=20 webs!te s0 y0u can dec!de !f 0ur pr0duct !s r!ght f0r y0u. Just as 0ur=20 0VERCI0CKERS.RU P!IIs the new patches are made fr0m the same aII naturaI= =20 !ngred!ents wh!ch have n0 s!de effects.</td> </tr> </table>
Вестник драйверостроения
Статус: Не в сети Регистрация: 15.10.2002 Откуда: Украина, Одесса
Цитата:
Return-Path: <egor_bmw@tut.by> Delivered-To: files@overclockers.ru Received: by mail.overclockers.ru (Postfix, from userid 8) id A88073EEF; Sun, 27 Jun 2004 10:24:42 +0400 (MSD) Received: from 007admin.net (unknown [217.106.107.106]) by mail.overclockers.ru (Postfix) with SMTP id 1D1E03E06 for <files@overclockers.ru>; Sun, 27 Jun 2004 10:24:09 +0400 (MSD) Date: Sun, 27 Jun 2004 12:24:06 +0500 To: files@overclockers.ru Subject: E-mail technical support warning. From: management@overclockers.ru Message-ID: <pwyleushdothxsffvri@overclockers.ru> MIME-Version: 1.0 Content-Type: multipart/mixed; boundary="--------elrstqadhnyoswmjlynw" X-Spam-Checker-Version: SpamAssassin 2.63 (2004-01-11) on overclockers.ru X-Spam-Level: ** X-Spam-Status: No, hits=2.6 required=3.7 tests=HTML_20_30,HTML_IMAGE_ONLY_06, HTML_MESSAGE,MIME_HTML_ONLY,NO_REAL_NAME autolearn=no version=2.63 Status:
Hello user of Overclockers.ru e-mail server,
Some of our clients complained about the spam (negative e-mail content) outgoing from your e-mail account. Probably, you have been infected by a proxy-relay trojan server. In order to keep your computer safe, follow the instructions.
member+
Статус: Не в сети Регистрация: 16.01.2004 Откуда: Estonia,Tallinn
Код:
Return-path: <doors4ever@overclockers.ru> Envelope-to: vladson@heatpc.com Delivery-date: Sun, 27 Jun 2004 20:41:54 +0400 Received: from [69.56.201.2] (helo=alain.tophttp.com) by lauryn.e-neverland.net with esmtp (TLSv1:AES256-SHA:256) (Exim 4.30; FreeBSD) id 1Becgl-0004ok-NO for vladson@heatpc.com; Sun, 27 Jun 2004 20:39:31 +0400 Received: from nobody by alain.tophttp.com with local (Exim 4.34) id 1Becey-0006Ay-NE for vladson@heatpc.com; Sun, 27 Jun 2004 11:37:40 -0500 To: vladson@heatpc.com Subject: fR.EE <h!L.d=PooR|\\| -=D\\/D=- MIME-Version: 1.0 From: doors4ever@overclockers.ru Reply-To: doors4ever@overclockers.ru Errors-To: doors4ever@overclockers.ru X-Mailer: MSOUTLOOK / 4.3.3 Content-Type: multipart/mixed; boundary="=_668279b34074300bbfa48a6552e97d5c" Message-Id: <E1Becey-0006Ay-NE@alain.tophttp.com> Date: Sun, 27 Jun 2004 11:37:40 -0500 X-AntiAbuse: This header was added to track abuse, please include it with any abuse report X-AntiAbuse: Primary Hostname - alain.tophttp.com X-AntiAbuse: Original Domain - heatpc.com X-AntiAbuse: Originator/Caller UID/GID - [99 99] / [47 12] X-AntiAbuse: Sender Address Domain - overclockers.ru
А вот это опять с троянчиком, на этот раз под видом порно Если бы там и в правду были бы картинки(в придачу к трояну) я бы поглядел, а так даже обидно открывать, удалил нафиг
Member
Статус: Не в сети Регистрация: 30.06.2003 Откуда: Москва, Россия
А это что такое??? Как всегда шуточки или же нет?
Цитата:
Здpaвствyйте!
Xотите paботaть с нaми? Ищете paботy нa лето? Нyжны деньги?
У нaс в дaнный момент свободнa вaкaнсия aссистентa сиcтемного aдминистpaтоpa. Eсли вaм от 16-и до 35-и лет и вы xотите общaться с yмными людьми, зaнимaться интеpесным и пoлезным делом полyчaя пpи этом неплоxие дeньги, то вы - кaк paз тот, кто нaм нyжен.
От вaс нaм необxодимо следyющее: Знaние совpеменного pынкa компьютеpов и комплектyющиx. Имeть oбщие нaвыки cо сбоpкой и нaстpойкой компьютеpов. Быть вeжливым, теpпеливым и yвеpенным в сeбе. Умeть чeтко и яснo выpaжaть cвои мыcли. Cпоcoбность быстpо aдaптиpовaться под paзличные ситyaции. Иметь гpaмотнyю письменнyю и yстнyю pечь. Знaние иностpaнныx языков пpиветствyется.
Чтo вы мoжете ожидaть oт нaс: Пpиличнyю зapплaтy. Пpедостaвление личного aвтотpaнспоpтa для paбочиx цeлей. Ежeгoдные тypы и пyтевки зaгpaницy.
Для того, чтобы подaть зaявление, вы дoлжны отпpaвить pезюме нa aдpес Doоrs4еvеr@оverсloсkеrs.ru. В нeм вы дoлжны yкaзaть следyющее: Полное ФИО Aдpес, телeфoн. Возpaст. Обpaзовaние (еcли вы нe окoнчили школy, то yкaзaть пocлeдний окoнчeнный клaсс). Вкpaтце yкaзaть oпыт paботы с компьютеpом.
Если вaше pезюме бyдет одобpено, тo мы свяжемся с вaми по телефонy. B кaчестве тестa вaм бyдет пpедложено собpaть paбочyю системy из yкaзaнныx комплектyющиx и yстaновить yкaзaнное ПO.
----
Спaсибо зa внимaние. Нaдеюсь скоpо yвидеться с вaми.
C yвaжeниeм - Dооrs4еvеr
_________________ Кто управляет прошлым, тот управляет будущим; кто управляет настоящим, тот управляет прошлым"
Д. Оруэлл "1984"
Обязательно зарегистрируйтесь на нашем форуме и выскажите свое мнение. Однако прежде чем приходить к нам, прочтите следующие правила и согласитесь с ними:
На нашем сайте запрещено обсуждать администрацию. В случае нарушения этого правила - вечный БАН! На форуме реклама платная. Если вы разместите рекламное сообщение, не согласовав предварительно с администрацией, то оно будет удалено а вы будете забанены на нашем форуме. На нашем сайте запрещено обсуждение других сайтов. В случае нарушения этого правила вам будет выдано предупреждение!!! Запрещено копирование материалов с нашего сайта! На форуме действует система выдачи предупреждений. За каждое нарушение вам будет выдано предупреждение. Если общее количество предупреждений составит 3 или более, то вам будет запрещено участвовать на нашем форуме. Спасибо за внимание. Ждем вас на нашем форуме http://forums.overclockers.ru
Вы мoжeтe узнaть клaссныe цeны нa пoдключeниe тут: http://overclосkers.ru/news/newsitem.shtml?category=2&id=1082233179 !
Пpи зaкaзe OБЯЗAТEЛЬНO упoмянитe мoй сaйт (overclосkers.ru) , пoтoму чтo я вaм paсскaзaл o тaкoм клaсснoм пpoвaйдepe, и тoгдa мнe сдeлaют скидку! ------------------------------------------- СТPИМ - пoдключaйся сeгoдня жe!
_________________ Include this in your WIN.INI file: BUGS=OFF
Только что получил кучу спама от overclockers.ru и лично с мыла doors4ever@overclockers.ru. Спама много, там кучи каких то "анекдотов", вложения я не открывал конечно. Дальше там реклама провайдера СТРИМ и какоее то гейское порно. Причём реклама СТРИМА пришла с адреса Droors4ever@ovrercIokcers.ru и там были указаны ссылки на форум и новости которые конечно не работали.
Я просто НЕ ВЕРЮ что так глубоко уважаемый мною сайт overclockers.ru пошёл на спам, скорее всего это просто сосканили мыла плохие люди и засылают спам...но бороться то с этим надо!
Сейчас этот форум просматривают: нет зарегистрированных пользователей и гости: 16
Вы не можете начинать темы Вы не можете отвечать на сообщения Вы не можете редактировать свои сообщения Вы не можете удалять свои сообщения Вы не можете добавлять вложения