Взломан QIP.ru

[B]Взломан QIP.ru[/B]

Сегодня ночью был взломан официальный сайт популярного мессенджера мговенных сообщений qip.ru.

На главной странице сайта были опубликованы нецензурные выражения в адрес админов портала. Возможно также был подменен дистрибутив QIP IM клиента.

На сайте были выложены пароли к административному интерфейсу портала, в связи с чем главная страница на некоторое время была превращена в чат, в котором любой зашедший пользователь мог добавить произвольное сообщение.

[URL="http://www.securitylab.ru/news/379218.php"]securitylab.ru[/URL]

[url]http://www.xakep.ru/post/47864/default.asp[/url]

"..."Топовые" программные продукты, распространяемые на бесплатной основе, зачастую пользуются такой популярностью, что пользователи доверяют их авторам всецело, совершенно забывая о собственной безопасности. Чтобы разрушить весьма распространенный миф о том, что "популярно - значит надежно", мы займемся исследованием раскрученного на территории СНГ интернет-пейджера QIP.
Пробиваем "непробиваемую" броню

В одном из выпусков рубрики "Easyhack" я рассказывал, как модифицировать QIP так, чтобы он выдавал введенный пароль при помощи использования MessageBoxA. Естественно, я не стал раскрывать все карты сразу и описывать обход защитных механизмов – исключительно для того, чтобы разработчики залатали дыры, а хакеры не использовали информацию в корыстных целях, для создания "нового релиза" QIP с функцией воровства аккаунтов.

Прошло достаточно времени, и я решил углубиться в увлекательную исследовательскую работу. Вместе с тобой мы попробуем пропатчить qip.exe таким образом, чтобы он записывал введенные пользователем пароли в файл..."

***************
К вопросу "а зачем".

[quote]попробуем пропатчить qip.exe[/quote]

так поэтому и говорят, что софт надо качать с оф. сайтов, не пользоваться чужими сборками XP и т.д.
В принципе - в любую программу можно встроить любой механизм.
Гораздо проще это сделать если есть исходники. Взял исходники миранды, настроил отправку логов по фильтрам слов и рекламируй как самую удобную сборку :)

[QUOTE=Damien;398835]так поэтому и говорят, что софт надо качать с оф. сайтов[/QUOTE]
Что и делали сегодня ночью многие пользователи. Как знать, какая версия была в тот момент доступна... Хотя, скорей всего, не патчили. В этом случае пароли бы стал выкладывать только дурак. Ведь чем незаметнее - тем дольше оставалась бы модифицированная версия в свободном доступе.

вот она проблема популяризации :)

скриншот взломанного сайта [url]http://www.xakep.ru/post/48139/default.asp[/url]

[quote]Что и делали сегодня ночью многие пользователи[/quote]

есть такая отечественная пословица - утро вечера мудренее.

[quote]скриншот взломанного сайта [url]http://www.xakep.ru/post/48139/default.asp[/url][/quote]

есть более подробный скрин с объяснениями:

[url]http://xmages.net/out.php/i215238_qip.png[/url]

На сервере Jabber.ru есть конференция в которой высказывалось недовольство Infium'ом и его пользователями, а также высказывались намерения уничтожить Qip.ru.

Chat:at:conference.jabber.ru

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

Damien, а откуда у Вас сведения о подробностях?
Очень странно это всё....
Но вполне понимаемо. Передайте своим друзьям, что вне зависимости от того, куда и как Вы спрячетесь за Вами всё равно придут. Рано или поздно.

[size="1"][color="#666686"][B][I]Добавлено через 43 минуты[/I][/B][/color][/size]

[B]Внимание всем![/B]
Текущий дистрибутив Инфиума скачан и будет отправлен на исследование. Результаты будут выложены здесь же!

В связи с опубликованием новости о взломе сайта мессенджера QIP.ru мной было проведено небольшое расследование.

Убедительная просьба ко всем читающим школьникам: [B]не нужно спекулировать на чужой беде и рекламировать Миранду. Это наносит вред самой Миранде и приводит к многочисленным конфликтам!
Просто нужно уяснить раз и навсегда: труд одного человека стоит труда тысячи человек! И человек, способный на это в одиночку, стоит тысячи людей![/B]

[COLOR="Blue"][I][B][Пользуясь случаем,хочу принести публичные извинения группе разработчиков проекта Miranda IM и извиниться перед Вами за причинённые Вам неудобства.][/B][/I][/COLOR]

[QUOTE=anton_dr;398898]Что и делали сегодня ночью многие пользователи. Как знать, какая версия была в тот момент доступна...[/QUOTE]


Была доступна [B]оригинальная[/B] версия QIP Infum 9030.
Двухсторонняя, неразрушающая проверка файла показала, что целостность Архива QIP Infium 9030 сохранена.

Ответ Инфа:
[QUOTE]Доступа к download.qip.ru из [url]http://www.qip.ru[/url] нет, поэтому никто и не сможет заменить дистрибутивы из CMS.[/QUOTE]

Вы можете проверить Правоту этих слов при помощи контроля MD5 (требуемый файл прикреплён как вложение в этом посте.)

С 8:00 MCK по настоящее время все сервисы , предоставляемые qip.ru через Клиент QIP Infium, [B]функционируют в полном объёме.[/B]
Подозрительных манипуляций с Аккаунтом @qip.ru и другими аккаунтами замечено не было.

[QUOTE=anton_dr;398898]Хотя, скорей всего, не патчили. В этом случае пароли бы стал выкладывать только дурак. Ведь чем незаметнее - тем дольше оставалась бы модифицированная версия в свободном доступе.[/QUOTE]

Судя по результатам проверки действовал дилетант. По сведениям из осведомлённых источников пострадал только Форум.

[QUOTE]>Уважаемый Inf скажите пожалуста почему лежит форум квип, это как-то связано с
>ночным происшествием?

Форум пока отключен, потому что пароль одного из админов был также сохранен в этой злосчастной админке новостей и в него успели запустить свои ручки горе-хацкеры. Его надо приводить в порядок, но у всех сейчас выходной, так что возможно его начнут приводить в порядок после 11 числа. [URL="http://www.inf.ru/2009/05/08/spasibo/#comment-1675"]Ссылка на оригинал[/URL][/QUOTE]

[B]Подтверждённая контрольная сумма дистрибутива: ac0994e7b9969bcf9b4cc127c315ea6a[/B]

Спасибо за информацию

Пожайлуста. Просто ресурс наш читают многие и было бы неплохо, если итоги моего расследования станут известны.

[QUOTE]Судя по результатам проверки действовал дилетант.[/QUOTE]

Сомневаюсь скорее всего целью был просто дефейс, потому что доступ к админке был получен.
[IMG]http://s55.radikal.ru/i148/0905/6c/c30d964e8926.jpg[/IMG]


А так же взломан блог одного из администраторов:
[URL="http://smages.com/i/3c/01/3c01066a8c81d174cc473446af5525f6.jpg"]Картинка[/URL]

По сведениям пароль являлся номером сотового телефона администратора.

Кстати после данного случая на сайте плати.ру в продаже появилась база данных пользователей qip.ru - [URL="http://www.plati.ru/asp/pay.asp?idd=776222"]http://www.plati.ru/asp/pay.asp?idd=776222[/URL]
(на данный момент он удалён, но как видно из заголовка товар существовал. И на момент моего посещения было 2-ое покупателей).
Однако есть подозрения что это был просто фейк и база не утекла (да насколько мне известно пароли находятся на другом сервере (storage.qip.ru), поэтому скорее всего пароли не были "украдены"). Это подтвержает и сам администратор (он же INF):
[QUOTE]>Вопрос №1: утекла ли база паролей пользователей QIP Infium?
Нет, админка CMS сделана для управления новостями, страницами, пользователями (которые пишут новости, модерят странички), которые в ней созданы. Это локальная система управления сайтом, которая не выходит дальше [url]http://www.qip.ru[/url]. Учетные записи джаббера и прочие сервисы никак не связаны с CMS [url]http://www.qip.ru[/url].[/QUOTE]
Его блог: [URL="http://www.inf.ru"]http://www.inf.ru[/URL].


P.S c днём победы и с выходом России в финал чемпионата мира по хоккею :)

[QUOTE]Судя по результатам проверки действовал дилетант.[/QUOTE]
Ну да, конечно. Это значит что у вас работают дилетанты (мягко сказано).
[QUOTE]С 8:00 MCK по настоящее время все сервисы , предоставляемые qip.ru функционируют в полном объёме.[/QUOTE]
Не правда, форум до сих пор не работает. 21:45

[QUOTE=petyanamlt;399119]Ну да, конечно. Это значит что у вас работают дилетанты (мягко сказано).

Не правда, форум до сих пор не работает. 21:45[/QUOTE]

Неплохо для Juniora. Вы хоть знаете, о чём эта новость?
[B]О том, что QIP Infium 9030.exe изменениям не подвергался! [/B]

Если Вы считаете по-другому, пожалуйста, снимите MD5 и выложите сюда!

[QUOTE]С 8:00 MCK по настоящее время все сервисы , предоставляемые qip.ru функционируют в полном объёме.[/QUOTE]
Это для кого написали а?

Для людей, которые будут юзать QIP - Infium с полным набором: SIPNet, Jabber, GTalk и прочих Сервисов!

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

[QUOTE]Однако есть подозрения что это был просто фейк и база не утекла (да насколько мне известно пароли находятся на другом сервере (storage.qip.ru), поэтому скорее всего пароли не были "украдены")[/QUOTE]

Подтверждаю. Все сервисы клиента Фукнционируют в обычном режиме.

Во вторых писать [QUOTE]Судя по результатам проверки действовал дилетант.[/QUOTE] это нечто, вас поимели на весь рунет, а это оказываеться был дилетант. В таком случае вам очень повезло, что это был не профессионал, страшно подумать что бы он мог натворить. Да и безопастность вашего сайта не внушает доверия, тем более что инфиум по умолчанию хранит пароли на своем сервере, завтра к примеру и его похакают, опять скажете пработал дилетант? В любом случае квипом не пользуюсь и другим не советую.
И почему вы так резко на критику реагируете? Сразу обзываться, конструктивно тяжело ответить? Вы случайно не один из админов форума qip? Они точно также реагируют.
За сим откланяюсь.

Я случайно просто Пользователь. А Вы случайно не Миранду юзаете?
Читать надо, о чём Вам пишут. Я тоже не прочь откланяться.

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

VirCode, скажем так: дефейс давно баян. Детская забавка для зудящих прыщей. А если протрояненный дистриб подкинули - это уже серъёзно. Речь шла именно об этом.

[B]Shark [/B]прав, логичнее было бы подменить дистр клиента и напихать в него, чего душа пожелает.. И сделать это очень тихо, очень-очень :)

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 56 минут[/I][/B][/color][/size]

[QUOTE=petyanamlt;399119]
Не правда, форум до сих пор не работает. 21:45[/QUOTE]


[QUOTE]Asus пишет:
>Уважаемый Inf скажите пожалуста почему лежит форум квип, это как-то связано с
>ночным происшествием?

Форум пока отключен, потому что пароль одного из админов был также сохранен в этой злосчастной админке новостей и в него успели запустить свои ручки горе-хацкеры. Его надо приводить в порядок, но у всех сейчас выходной, так что возможно его начнут приводить в порядок после 11 числа. [URL="http://www.inf.ru/2009/05/08/spasibo/#comment-1675"]Ссылка на оригинал[/URL][/QUOTE]

Убедительная просьба ко всем читающим школьникам: [B]не нужно спекулировать на чужой беде и рекламировать Миранду. Это наносит вред самой Миранде и приводит к многочисленным конфликтам!
Просто нужно уяснить раз и навсегда: труд одного человека стоит труда тысячи человек! И человек, способный на это в одиночку, стоит тысячи людей![/B]