Внимание! вредные java-приложения mysms.su

Взял отсюда - [url]http://www.weboborona.ru/index.php?nma=forumd&fla=topic&forum=2&ids=14&page=59[/url]

[QUOTE]Внимание!!!

Нужно СРОЧНО пресечь действия мошенников: *mysms.su* которые распространяют в WAP-интернете зловредные java-приложения смс-аларм.
При запуске такого приложения, отправляется МНОЖЕСТВО смс-запросов на платные короткие номера 3649 5537 4460 1171 и ряд других!

Например:

*o5sex.ws/1/detskoe_porno.jar*
*o5sex.ws/1/iznasilovanie.jar*
*o5sex.ws/1/free-gprs.jar*

... (существует ряд модификаций)
Эти приложения они распространяют по средствам своей <партнерской
программы>: *mysms.su/partners*

В данных приложениях нет НИКАКОЙ информации ни о стоимости ни о самой <услуге>, просто отправляется ряд смс-запросов на сервисные номера перечисленные выше.

В
основном эти смс-алармы распространяются на WAP-сайтах, причем в контекстах <детского порно>, <программ для бесплатного GPRS> и прочего лохотрона.

Вот лишь несколько таких ссылок для примера:



"Скачать в телефон!" *o5sex.ws/93/sex.jar*


<Разврат в школьном туалете> *o5sex.ws/93/SexVtualete.jar*
<Кадры выпускных извращений> *o5sex.ws/56/VypusknoySex.jar*
<Как рвутся целки!> *o5sex.ws/33/Celki.jar*


<Скачать FreeSms.jar> *o5sex.ws/56/PornoFail.jar*
*sex.vazelin.net/files.php?dir=img/video*
<Скачать> *o5sex.ws/56/PornoFail.jar*
...


<ХИТ Игра:Укради вибратор!!!> *o5sex.ws/93/vibrator.jar*
<Билан имеет Собчак в анус!> *o5sex.ws/93/sobchak.jar*
<Тимати и Беркова в VIP комнате!> *o5sex.ws/54/berkova.jar*
...


Нажмите ДА подтверждая свое согласие на скачивание порно файлов <Скачать видео> *o5sex.ws/23/porno_roliki.jar*
Юных девок буквально рвут!
<Скачать видео> *o5sex.ws/93/CELKI_XXX.jar*


<Устал искать хорошою Порнушку?-Зайди в наш архив и качай порно из 400
категорий> *o5sex.ws/86/ArhivPorno.jar*
СРЫВ ЦЕЛОК !!! (Молоденьких девок буквально рвут) <Скачать***> *o5sex.ws/76/MolodoePorno.jar*

и т.д., и т.д., и т.д...

Подобных примеров - сотни!

Владельцы *mysms.su* даже не скрывают перед своими сабпартнерами, что <заработок> происходит путем мошенничества!

eSMS - отправка смс с подменой номера
*o5sex.ws/esms.jar*

Эта программа сама по себе нарушение закона, т.к. отправка анонимных смс ЗАПРЕЩЕНА операторами сотовой связи!!!

Просьба принять меры к сайту *mysms.su*!!!![/QUOTE]

По ссылкам скачивается архив, который содержит в себе 3 файла, это ****.class файл который и является вредоносным кодом написанным на Java, детектируется антивирусом Касперского как [B]Trojan-SMS.J2ME.Konov.f[/B], так же в архиве содержится так называемый MANIFEST файл, который хранит в себе префиксы и номера для отправки СМС и иконка .jpg...

Короткий номер телефона 4460 вижу уже не в первый раз, везде одно и то же, куча сайтов где нуно оплатить за ява игры или например как здесь - [url]http://advisor.wmtransfer.com/FeedBackList.aspx?url=a1help.ru#37790[/url] , очень разнообразно *работают*

Знакомый номер
Панель в Интернет Эксплорера вылазит на пол-окна и не убирается никак.
"Чтобы убрать панель отправьте СМС на номер 4460..."
Вот такой вот навязчивый сервис.

Чтобы убрать панель отправьте смс ...
[url]http://www.ii4.ru/viewer.php?id=388700spam.JPG[/url]
Вот такая панель вылезала у меня в Интернет-Эксплорере.
KIS2009 avz и прочие ничего не находили
В одной из тем с подобной проблемой рекомендовали порыться в надстройках ИЭ тем более что в Firefoxе такая панель не появлялась.
Методом исключения нашел что панель вызывается файлом
"C:\Document and Setting\All Users.Windows\Application Date\oallib.dll"
Удалил - пока панель не появляется.
Если кто столкнулся с подобной проблемой может мой совет поможет.

Могу добавить, пишите на форум, если вдруг попали на такие вещи, деньги при многочисленных жалобах, если они будут направленны к оператору, обычно возвращают и удаляют эти номера...

Ну вот оно и появилось о чем собственно и говорил я еще года 3 наверное назад! Ну, что поделать будем и с этой заразой бороться!

[QUOTE=loco;329185]Знакомый номер
Панель в Интернет Эксплорера вылазит на пол-окна и не убирается никак.
"Чтобы убрать панель отправьте СМС на номер 4460..."
Вот такой вот навязчивый сервис.


у меня 5 схожих машин было только вместо рекламы поискоивков и почты там была реклама порно... 2 или 3 случая из них лечил здесь остальные сам... главный прикол в том что 1 из наших сотрудниц боясь огласки данного инцидента 3 раза отправляла СМС мошенникам (стоимость смски по ее словам была около 300р) в ответ действительно получала код и реклама исчезла, правда не надолго , на следующее утро все было на месте...... к счастью для сотрудницы у нее кончались деньги на телефоне и ей все же пришлось просить помощи у нашего отдела

Вот он, номерочек 4460 всплыл снова - *gsm-poisk.ru*

К знакомой в Украине на почту приходит постоянно:
[url=http://radikal.ru/F/s57.radikal.ru/i157/0901/53/f10e74258d06.jpg.html][img]http://s57.radikal.ru/i157/0901/53/f10e74258d06t.jpg[/img][/url]

Вот это развод так развод... хорошо гуглю подставляют... гугля так любит через почту sms отправлять... :L

[QUOTE=valho;339334]К знакомой в Украине на почту приходит постоянно:
[url=http://radikal.ru/F/s57.radikal.ru/i157/0901/53/f10e74258d06.jpg.html][img]http://s57.radikal.ru/i157/0901/53/f10e74258d06t.jpg[/img][/url][/QUOTE]

а какой адрес отправителя? (нажать *показать подробные сведения*)

и заголовки тоже интересно глянуть (стрелочка вниз справа, нажимаем *show original* - *показать оригинал* - предпоследняя строчка)

[quote=ScratchyClaws;339719]а какой адрес отправителя? (нажать *показать подробные сведения*)
и заголовки тоже интересно глянуть (стрелочка вниз справа, нажимаем *show original* - *показать оригинал* - предпоследняя строчка)[/quote]
Вот:
[QUOTE]от GoogleCop <[email protected]>
кому [email][email protected][/email]
дата 20 января 2009 г. 7:46
тема Уведомление[/QUOTE]
[QUOTE]
Delivered-To: [email][email protected][/email]
Received: by 10.210.57.6 with SMTP id f6cs140322eba;
Mon, 19 Jan 2009 17:06:07 -0800 (PST)
Received: by 10.181.13.19 with SMTP id q19mr2276242bki.53.1232413565962;
Mon, 19 Jan 2009 17:06:05 -0800 (PST)
Return-Path: <[email protected]>
Received: from mail2.100mb.net (MAIL2.100MB.net [195.14.47.7])
by mx.google.com with SMTP id 3si4944687bwz.64.2009.01.19.17.06.05;
Mon, 19 Jan 2009 17:06:05 -0800 (PST)
Received-SPF: neutral (google.com: 195.14.47.7 is neither permitted nor denied by domain of [email][email protected][/email]) client-ip=195.14.47.7;
Authentication-Results: mx.google.com; spf=neutral (google.com: 195.14.47.7 is neither permitted nor denied by domain of [email][email protected][/email]) [email protected]
Received: (qmail 15208 invoked by uid 399); 20 Jan 2009 01:06:01 -0000
Received: from unknown (HELO ehlo) ([email protected]@85.237.52.58 )
by mail2.100mb.net with SMTP; 20 Jan 2009 01:06:01 -0000
Message-ID: <005c01c97afe$b17f30a4$efa3f34b@lgxneuxbyumq>
From: "=?windows-1251?B?R29vZ2xlQ29w?=" <[email protected]>
To: <[email protected]>
Subject: =?windows-1251?B?0+Ll5O7s6+Xt6OU=?=
Date: Tue, 20 Jan 2009 04:05:10 +0300
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_0018_01C2A9A6.0A3D6962"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2600.0000
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2600.0000

This is a multi-part message in MIME format.

------=_NextPart_000_0018_01C2A9A6.0A3D6962
Content-Type: text/plain;
charset="windows-1251"
Content-Transfer-Encoding: quoted-printable


------=_NextPart_000_0018_01C2A9A6.0A3D6962
Content-Type: text/html;
charset="windows-1251"
Content-Transfer-Encoding: quoted-printable

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<HTML><HEAD>
<META http-equiv=3DContent-Type content=3D"text/html; charset=3Dwindows=
-1251">
<META content=3D"MSHTML 6.00.2600.0000" name=3DGENERATOR>
</HEAD>
<BODY bgcolor=3D#FFFFFF leftmargin=3D5 topmargin=3D5 rightmargin=3D5=20=
bottommargin=3D5>
<FONT size=3D2 color=3D#000000 face=3D"Arial">
<DIV>&nbsp;</DIV>
<DIV align=3Dcenter><FONT size=3D4><U>=D3=E2=E0=E6=E0=E5=EC=FB=E9 =EF=EE=
=EB=FC=E7=EE=E2=E0=F2=E5=EB=FC!</U></FONT><FONT size=3D4>&nbsp;</FONT><=
/DIV>
<DIV align=3Dcenter><FONT size=3D4>&nbsp;</FONT></DIV>
<DIV align=3Dcenter><FONT size=3D4>=C4=EE =ED=E5=E4=E0=E2=ED=E5=E3=EE=20=
=E2=F0=E5=EC=E5=ED=E8 =ED=E0=EC=E8 =E1=FB=EB=E0 =E7=E0=EC=E5=F7=E5=ED=E0=
=E0=EA=F2=E8=E2=ED=EE=F1=F2=FC =F3=F7=E0=F1=F2=E8=FF =E2=E0=F8=E5=E3=EE=
=EF=EE=F7=F2=EE=E2=EE=E3=EE =E0=E4=F0=E5=F1=E0</FONT></DIV>
<DIV align=3Dcenter><FONT size=3D4>=C2 =F1=EF=E0=EC=E5=F0=F1=EA=E8=F5=20=
=F0=E0=F1=F1=FB=EB=EA=E0=F5, =E8 =EF=F0=E5=E4=EF=EE=EB=E0=E3=E0=E5=EC=20=
=F7=F2=EE =E0=EA=EA=E0=F3=ED=F2 =F3=EF=F0=E0=E2=EB=FF=E5=F2=FC=F1=FF=20=
=F0=EE=E1=EE=F2=EE=EC!</FONT></DIV>
<DIV align=3Dcenter><FONT size=3D4>=CC=FB =E2=FB=ED=F3=E6=E4=E5=ED=FB=20=
=E7=E0=E1=EB=EE=EA=E8=F0=EE=E2=E0=F2=FC =E2=E0=F8 =E0=EA=EA=E0=F3=ED=F2=
=E4=EE =E8=E4=E5=ED=F2=E5=F4=E8=EA=E0=F6=E8=E8</FONT></DIV>
<DIV align=3Dcenter><FONT size=3D4>=C4=EB=FF =EF=EE=E4=F2=E2=E5=F0=E6=E4=
=E5=ED=E8=FF =E8 =F0=E0=E7=E1=EB=EE=EA=E8=F0=EE=E2=EA=E8 =E0=EA=EA=E0=F3=
=ED=F2=E0 =EE=F2=EF=F0=E0=E2=FC=F2=E5&nbsp;</FONT></DIV>
<DIV align=3Dcenter><FONT size=3D4>=F1=EC=F1 =F1 =F2=E5=EA=F1=F2=EE=EC&=
nbsp;</FONT><FONT size=3D4 color=3D#FF6600>gemail</FONT><FONT size=3D4>=
&nbsp;=ED=E0 =EA=EE=F0=EE=F2=EA=E8=E9 =ED=EE=EC=E5=F0&nbsp;</FONT><FONT=
size=3D4 color=3D#FF6600>4460</FONT></DIV>
<DIV align=3Dcenter><FONT size=3D4>&nbsp;</FONT></DIV>
<DIV align=3Dcenter><FONT size=3D4>&nbsp;</FONT><FONT size=3D4 color=3D=
#3366FF>Google</FONT><FONT size=3D4 color=3D#FF0000>Spam</FONT><FONT=20=
size=3D4>&nbsp;</FONT><FONT size=3D4 color=3D#FFFF00>Sistem</FONT></DIV=
>
<DIV align=3Dcenter>=C2=ED=E8=EC=E0=ED=E8=E5 =FD=F2=EE =F1=EE=EE=E1=F9=E5=
=ED=E8=E5 =E1=FB=EB=EE =EE=F2=EF=F0=E0=E2=EB=E5=ED=EE =E0=E2=F2=EE=EC=E0=
=F2=E8=F7=E5=F1=EA=E8</DIV>
<DIV align=3Dcenter>=EE=F2=E2=E5=F7=E0=F2=FC =ED=E0 =ED=E5=E3=EE =ED=E5=
=ED=F3=E6=ED=EE</DIV>
<DIV align=3Dcenter>www.google.com</DIV>
<DIV>&nbsp;</DIV>
</FONT>
</BODY></HTML>

------=_NextPart_000_0018_01C2A9A6.0A3D6962--[/QUOTE]

Адрес знакомой, надеюсь, подправил. ;)

Покопалась в своей почте... вот что нашлось
-
[B]Коллектив Gmail[/B] <[email protected]>

и подписываются они тоже, [B]коллектив Gmail[/B].

Это было подтверждение регистрации, по этому адрес для ответа стоит другой (человека, который принял приглашение)

[QUOTE]Received: by 10.65.200.13; Fri, 26 Jan 2007 01:32:38 -0800 (PST)
Message-ID: <[email protected]>
Date: Fri, 26 Jan 2007 01:32:38 -0800
From: "=?KOI8-R?B?68/MzMXL1MnXIEdtYWls?=" <[email protected]>
Reply-To: [email][email protected][/email]
To: "=?KOI8-R?B?+tej2sTO2cog68/Uo87Pyw==?=" <[email protected]>
Subject: =?KOI8-R?B?69PFzsnRIOfB0s3B2yDQ0snOyc3BxdQg?= =?KOI8-R?B?98HbxSDQ0snHzMHbxc7JxSDXIEdtYWls?=
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_Part_23893_11593657.1169803958502"

------=_Part_23893_11593657.1169803958502
Content-Type: text/plain; charset=KOI8-R; format=flowed
Content-Transfer-Encoding: base64
Content-Disposition: inline

69PFzsnRIOfB0s3B2yDQ0snOyc3BxdQg98HbxSDQ0snHzMHbxc7JxSDXINDP3tTVIEdtYWlsLCDX
2cLSwdcgzs/X2coK3MzFy9TSz87O2cogwcTSxdMgLSBrZ2FybWFzaEBnbWFpbC5jb20uIPfZIM3P
1sXUxSDPxM7JzSDJ2iDQxdLX2cggz9TQ0sHXydTYCtDJ09jNzyDQz8zY2s/XwdTFzMAg69PFzsnR
INDPIM7P18/N1SDBxNLF09UgLSDQ0s/T1M8g0M/bzMnUxSDP1NfF1CwgySDr08XOydEKxcfPINDP
zNXeydQuIPzUz9QgwcTSxdMgKGtnYXJtYXNoQGdtYWlsLmNvbSkgwtnMIMHX1M/NwdTJ3sXTy8kg
xM/CwdfMxc4g1wr3wdvVIMHE0sXTztXAIMvOycfVLCDe1M/C2SD32SDNz8fMySDQz8TExdLWydfB
1Ngg09fR2tgg0NLJINDPzc/dySBHbWFpbC4KCgrzIMLMwcfPxMHSzs/T1NjALAoK68/MzMXL1MnX
IEdtYWlsCg==
------=_Part_23893_11593657.1169803958502
Content-Type: text/html; charset=KOI8-R
Content-Transfer-Encoding: base64
Content-Disposition: inline
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=
------=_Part_23893_11593657.1169803958502--[/QUOTE]

[quote=PavelA;339776]Адрес знакомой, надеюсь, подправил. ;)[/quote]
да, подправил

[quote=ScratchyClaws;339802]Покопалась в своей почте... вот что нашлось
-
[B]Коллектив Gmail[/B] <[email protected]>

и подписываются они тоже, [B]коллектив Gmail[/B].

Это было подтверждение регистрации, по этому адрес для ответа стоит другой (человека, который принял приглашение)[/quote]
А что это значит?
До меня дошло... :pardon:

это были настоящие заголовки Гугловых Почтальонов )))
почувствуйте разницу (с)

[QUOTE=loco;329185]
Панель в Интернет Эксплорера вылазит на пол-окна и не убирается никак.
"Чтобы убрать панель отправьте СМС на номер 4460..."
Вот такой вот навязчивый сервис. [/QUOTE]

У знакомой на пол страницы выплывала порно реклама и естественно убрать типо ее можно только отправив смс.Дал ей бесплатную утилиту Dr.Web CureIt!®.Помоему она счастлива!:rolleyes:

Вот ещё один сайтик -
хттп://konstruktor.icq-rus.com/
хттп://jimm.icq-rus.com/
[url]http://www.virustotal.com/analisis/638ba5ec03857d5802276365ab550847[/url]
[url]http://www.virustotal.com/analisis/631d9d7b3f08b3739db7de59d8f2ca3d[/url]
Это... хочу сказать, на антивирусы лучше особо не надейтесь, некоторые вирусы не спаливаются годами

[quote=valho;352547]Это... хочу сказать, на антивирусы лучше особо не надейтесь, некоторые вирусы не спаливаются годами[/quote]
Для того и созданы службы ТП у антивирусных вендоров? Можно отослать семплы, чтобы их добавили в базы.

[QUOTE=valho;352547]Вот ещё один сайтик -
хттп://konstruktor.icq-rus.com/
хттп://jimm.icq-rus.com/
[url]http://www.virustotal.com/analisis/638ba5ec03857d5802276365ab550847[/url]
[url]http://www.virustotal.com/analisis/631d9d7b3f08b3739db7de59d8f2ca3d[/url]
Это... хочу сказать, на антивирусы лучше особо не надейтесь, некоторые вирусы не спаливаются годами[/QUOTE]

Правильно говорите! Но говорите уже давно известные факты ;)

icqgsm.ru
Якобы Jimm, качается совсем не то, после установки на телефон отправляются смс сообщения на короткие номера
[url]http://www.virustotal.com/analisis/305082744e65dcc2d31343a21fa56ce8[/url]

[url]http://securityresponse.symantec.com/security_response/writeup.jsp?docid=2006-022814-5027-99[/url]