Будьте бдительны! Трояны в почте!

[HATTIFNATTOR]

Закинул 10713 на фтп.

[anton_dr]

А ввот и ответ, почему на mail.ru
http://exler.ru/expromt/16-12-2005.htm

[MOCT]

А ввот и ответ, почему на mail.ru
http://exler.ru/expromt/16-12-2005.htm

пришло даже на некоторые ящики, не засвеченные в сети

2 HATTIFNATTOR : спасибо!

[anton_dr]

А мне не пришло. Хотя пользуюсь им уже три года, и везде регистрируюсь с ним. И вообще на него мало очень спама идет, а вирусов не видел ваабще.

[Олеся]

Скажите это лучше не открывать? Что будет если открыть?

[AndreyKa]

Скажите это лучше не открывать? Что будет если открыть?

Лучше не надо. Если откроете ваши пароли на почту, ICQ и т.д. утекут через Интеренет к нехорошим людям. От вашего имени смогут написать что им угодно и вашу почту смогут читать.

[MOCT]

Скажите это лучше не открывать? Что будет если открыть?

это письмо ни в коем случае не открывайте. иначе на компьютер будут скачиваться вирусы и троянцы, которые украдут Ваши пароли от почты, аськи, кошельков и всего прочего, да еще будут рассылать вирусы с Вашего компьютера.

[PulseLine]

Мне тоже пришло это письмо... Я сразу понял, что это херня - не доброй вести. Решил скачать... и как на зло, я касперыча вырубил (я не люблю антивиры, потому что это и есть вирус), думал очередная хрень!!! Кхе... поначалу было очень весело!!! Моргал экран... обновлялся раб. стол, запускается с каких то херов каспер, говорит, что его модуль повреждён... Я не долго думая нажал reset. (скорость моего модема на тот момент была 48 кб/с ) Так что тому лоху ничего не успело отправиться... Хорошо что у меня 2 системы!!! Смог во второй системе просканировать C

[ScratchyClaws]

Гм... у меня блогов на мейле нету... а второй е-мыл я уже пару лет использую только для пары рассылок... И спам там весьма редкий гость)
А вообще ИМХО те кто адреса предоставляет - они же их и продают... У меня адрес есть... особо понтовый.. его всего один человек знает... И туад почему-то валится спам... Причем не просто спам... а сочетание имени и адреса которые я использовала всего 1 раз, когда писала письмо в техподдрежку этого адреса. Вот так вот

2МОСТ - у меня один файл 11107 байт(на море.ехе), а второй 11127 байт(отдыхаю.exe), могу подарить оба)

[AVP]

Как будто прямо все такие лохи и все будут открывать "фотографию" с расширением .exe и размером 18 кб... Это какаяж должна быть фотография.. =) Да и тем более каким лохом нуна быть... чтобы не понять что ето вирь (или червь или еще какая гадость) имя "Ксюха" а e-mail [email protected] (по-моему такой был у мну)..
жуть!

[MOCT]

"фотографию" с расширением .exe и размером 18 кб

с нами поделитесь? а то нам такую фотку не присылали

[Alexey P.]

Скажите это лучше не открывать? Что будет если открыть?

Ничего не будет. Ни коня, ни шашки .. (с) анекдот .

[pig]

Вот такое уже второй раз валится из сети Северо-Западного Мегафона (конкретика сегодняшняя):
От кого: "Koma" <[email protected]>
Тема: Re: Where are you?
Текст: Hi, drop me a line today, ok? And see the program I'm sending. Bye!

Вложение: Passwords.hta
Диагноз: Email-Worm.Win32.Scano.aq

Файл сохранён как scano_45027598ea026.rar
Размер файла 28955
MD5 551d26e8856fcbefaf392484c2a9b0ba

[pig]

Файл сохранён как 060911_021152_scano_4504fe28ad80d.rar
Размер файла 57131
MD5 1c26b0b386b549bea539451615d06d1d

Источник тот же, шкурка не изменилась, но внутри какое-то новьё, KAV пока не определяет.

[BiZ]

Файл сохранён как 060911_021152_scano_4504fe28ad80d.rar
Размер файла 57131
MD5 1c26b0b386b549bea539451615d06d1d

zato GMAIL etu xrenatu mne vychistil... !!!

[ScratchyClaws]

Свалилось вот -

ОТ Кристинка <[email protected]>
КОМУ ХХХ <ХХХ@bk.ru>
ТЕМА НУ хоть позвони!

X-AntiVirus: Checked by Dr.Web [version: 4.33, engine: 4.33.5.10110, virus records: 151545, updated:
2.11.2006]
Return-path: <[email protected]>
Received: from [195.149.227.182] (port=52897 helo=1082.v.tld.pl)
by mx23.mail.ru with esmtp
id 1GhGuC-000FrI-00
for ХХХ@bk.ru; Tue, 07 Nov 2006 05:41:40 +0300
Received-SPF: none (mx23.mail.ru: 195.149.227.182 is neither permitted nor denied by domain of yahoo.com)
client-ip=195.149.227.182; [email protected]; helo=1082.v.tld.pl;
Received: from ldd (186.170.177.224)
by 1082.v.tld.pl; Tue, 7 Nov 2006 03:41:37 +0100
Date: Tue, 7 Nov 2006 03:41:37 +0100
From: =?koi8-r?B?69LJ09TJzsvB?= <[email protected]>
X-Mailer: The Bat! (v2.01)
Reply-To: =?koi8-r?B?ZGRk?= <[email protected]>
X-Priority: 3 (Normal)
Message-ID: <[email protected]>
To: =?koi8-r?B?Y3JhenljYXR6?= <ХХХ@bk.ru>
Subject: =?koi8-r?B?7vUgyM/U2CDQz9rXz87JIQ==?=
MIME-Version: 1.0
Content-Type: multipart/mixed;
boundary="----------1AC897C58CBAC"
X-Spam: Not detected

Привет, тебя давно не видела, ты щас где? Позвони мне сразу как сможешь, а то уже скучаю. А ты держи мою новую фотку, я там умываюсь) тебе понравиться. пока!

Внутри умываюсь.ехе 11135 байт

а это внутри архива -

Complete scanning result of "___1091", received in VirusTotal at 11.07.2006, 19:52:50 (CET).

Antivirus Version Update Result
AntiVir 7.2.0.37 11.07.2006 TR/Dldr.Delf.awg.2
Authentium 4.93.8 11.07.2006 no virus found
Avast 4.7.892.0 11.07.2006 Win32elf-BSE
AVG 386 11.07.2006 no virus found
BitDefender 7.2 11.07.2006 BehavesLike:Win32.ExplorerHijack
CAT-QuickHeal 8.00 11.07.2006 (Suspicious) - DNAScan
ClamAV devel-20060426 11.07.2006 Trojan.Downloader.Small-2298
DrWeb 4.33 11.07.2006 Trojan.DownLoader.14682
eTrust-InoculateIT 23.73.48 11.07.2006 no virus found
eTrust-Vet 30.3.3181 11.07.2006 no virus found
Ewido 4.0 11.07.2006 no virus found
Fortinet 2.82.0.0 11.07.2006 suspicious
F-Prot 3.16f 11.07.2006 no virus found
F-Prot4 4.2.1.29 11.07.2006 no virus found
Ikarus 0.2.65.0 11.07.2006 Packer.byDwing
Kaspersky 4.0.2.24 11.07.2006 Trojan-Downloader.Win32.Delf.awg
McAfee 4890 11.07.2006 Downloader-AWA
Microsoft 1.1609 11.07.2006 no virus found
NOD32v2 1.1857 11.07.2006 a variant of Win32/TrojanDownloader.Delf.AJD
Norman 5.80.02 11.07.2006 W32/Downloader
Panda 9.0.0.4 11.07.2006 Suspicious file
Sophos 4.11.0 11.07.2006 Mal/Packer
TheHacker 6.0.1.113 11.06.2006 no virus found
UNA 1.83 11.06.2006 no virus found
VBA32 3.11.1 11.07.2006 no virus found
VirusBuster 4.3.15:9 11.07.2006 Trojan.DL.Delf.TZU

Aditional Information
File size: 11140 bytes
MD5: d41af672733a008e0fdd13f3ce5d9d87
SHA1: 5b7f99e6728a4ccd387cb349404f614b565170e6
packers: Upack
packers: UPACK
packers: UPack
norman sandbox: [ General information ]
* **IMPORTANT: PLEASE SEND THE SCANNED FILE TO: [email protected] - REMEMBER TO ENCRYPT IT (E.G. ZIP WITH PASSWORD)**.
* **Locates window "NULL [class AVP.AlertDialog]" on desktop.
* File length: 11140 bytes.

[ Changes to filesystem ]
* Creates file C:WINDOWSTEMPcsrss.exe.

[ Changes to registry ]
* Sets value "m"="m" in key "HKCUSoftwareMicrosoftWindows".

[ Network services ]
* Looks for an Internet connection.
* Opens URL: xxx.xxx.com

[ Security issues ]
* Starting downloaded file - potential security problem.

[ Process/window information ]
* Modifies other process memory.
* Attemps to open C:WINDOWSTEMPcsrss.exe NULL.

[Участковый]

Почему-то его пропустил антивирус на mail.ru...

От кого: Анютка <[email protected]>
Дата: 09 Ноя 2006 08:12:50
Тема: я в сети

Привет, я снова в интернете, так что пиши мне. И глянь мою новую фотку, я тебе ее прислала, пока.

Complete scanning result of "1.exe", received in VirusTotal at 11.09.2006, 16:38:10 (CET).
Antivirus Version Update Result
AntiVir 7.2.0.39 11.09.2006 TR/Dldr.Delf.awg.2
Authentium 4.93.8 11.09.2006 no virus found
Avast 4.7.892.0 11.09.2006 Win32: Delf-BSE
AVG 386 11.09.2006 no virus found
BitDefender 7.2 11.09.2006 BehavesLike:Win32.ExplorerHijack
CAT-QuickHeal 8.00 11.09.2006 (Suspicious) - DNAScan
ClamAV devel-20060426 11.09.2006 Trojan.Downloader.Small-2298
DrWeb 4.33 11.09.2006 Trojan.DownLoader.14688
eTrust-InoculateIT 23.73.50 11.09.2006 no virus found
eTrust-Vet 30.3.3184 11.09.2006 no virus found
Ewido 4.0 11.09.2006 no virus found
Fortinet 2.82.0.0 11.09.2006 suspicious
F-Prot 3.16f 11.09.2006 no virus found
F-Prot4 4.2.1.29 11.09.2006 no virus found
Ikarus 0.2.65.0 11.09.2006 Packer.byDwing
Kaspersky 4.0.2.24 11.09.2006 Trojan-Downloader.Win32.Delf.awg
McAfee 4891 11.08.2006 Downloader-AWA
Microsoft 1.1609 11.09.2006 no virus found
NOD32v2 1860 11.09.2006 a variant of Win32/TrojanDownloader.Delf.AJD
Norman 5.80.02 11.09.2006 W32/Downloader
Panda 9.0.0.4 11.09.2006 Trj/Downloader.LGH
Sophos 4.11.0 11.07.2006 Mal/Packer
TheHacker 6.0.1.116 11.09.2006 no virus found
UNA 1.83 11.09.2006 no virus found
VBA32 3.11.1 11.08.2006 no virus found
VirusBuster 4.3.15:9 11.09.2006 Trojan.DL.Delf.TZU

Aditional Information
File size: 11139 bytes
MD5: a4fb9212e5be5676b21d256a02de97cf
SHA1: 385427da118f3d8e095fb702da4d3409828e4f6f
packers: Upack
packers: UPACK
packers: UPack
norman sandbox: [ General information ]
* **IMPORTANT: PLEASE SEND THE SCANNED FILE TO: [email protected] - REMEMBER TO ENCRYPT IT (E.G. ZIP WITH PASSWORD)**.
* **Locates window "NULL [class AVP.AlertDialog]" on desktop.
* File length: 11139 bytes.

[ Changes to filesystem ]
* Creates file C:WINDOWSTEMPcsrss.exe.

[ Changes to registry ]
* Sets value "m"="m" in key "HKCUSoftwareMicrosoftWindows".

[ Network services ]
* Looks for an Internet connection.
* Opens URL: _http://www.xeseretuo.com/px1.exe.

[ Security issues ]
* Starting downloaded file - potential security problem.

[ Process/window information ]
* Modifies other process memory.
* Attemps to open C:WINDOWSTEMPcsrss.exe NULL.

[Участковый]

А вот то, что он загружает:

Complete scanning result of "px1.exe", received in VirusTotal at 11.09.2006, 17:16:07 (CET).
Antivirus Version Update Result
AntiVir 7.2.0.39 11.09.2006 HEUR/Crypted
Authentium 4.93.8 11.09.2006 W32/PWStealer.AHW
Avast 4.7.892.0 11.09.2006 no virus found
AVG 386 11.09.2006 PSW.Ldpinch.CNN
BitDefender 7.2 11.09.2006 Trojan.Mirm.A
CAT-QuickHeal 8.00 11.09.2006 (Suspicious) - DNAScan
ClamAV devel-20060426 11.09.2006 no virus found
DrWeb 4.33 11.09.2006 Trojan.PWS.LDPinch.1286
eTrust-InoculateIT 23.73.50 11.09.2006 no virus found
eTrust-Vet 30.3.3184 11.09.2006 no virus found
Ewido 4.0 11.09.2006 Trojan.LdPinch.azf
Fortinet 2.82.0.0 11.09.2006 W32/LdPinch.AZF!tr.pws
F-Prot 3.16f 11.09.2006 security risk named W32/PWStealer.AHW
F-Prot4 4.2.1.29 11.09.2006 W32/PWStealer.AHW
Ikarus 0.2.65.0 11.09.2006 Backdoor.Win32.Ciadoor.N
Kaspersky 4.0.2.24 11.09.2006 Trojan-PSW.Win32.LdPinch.azf
McAfee 4891 11.08.2006 no virus found
Microsoft 1.1609 11.09.2006 Win32/Ldpinch
NOD32v2 1860 11.09.2006 a variant of Win32/PSW.LdPinch.NCC
Norman 5.80.02 11.09.2006 W32/LdPinch.FBB
Panda 9.0.0.4 11.09.2006 Trj/Ldpinch.UP
Sophos 4.11.0 11.07.2006 Mal/Packer
TheHacker 6.0.1.116 11.09.2006 Trojan/PSW.LdPinch.azf
UNA 1.83 11.09.2006 no virus found
VBA32 3.11.1 11.09.2006 Trojan-PSW.Win32.LdPinch.azf
VirusBuster 4.3.15:9 11.09.2006 no virus found

Aditional Information
File size: 24426 bytes
MD5: db54fdcb81c497ca2863fb1297eaaa6f
SHA1: 9633aa3cd5510849037c08547759487283337ef1
packers: MEW

Кстати, AVZ его тоже видит как Trojan-PSW.Win32.LdPinch.azf.

[DoSTR]

пришло даже на некоторые ящики, не засвеченные в сети

Попытаюсь ответить на данный вопрос.
Дело в том, что:
http://agent.mail.ru/developer.html
Mail.Ru Агент - разработчикам
Открыт внутренний протокол обмена данными Mail.Ru Агент.
Это позволяет Спамерам создав не хитрую программу пополнить свой спам лист свежими нигде не светившимися e-mail'лами.

создавать клиентские приложения для разных платформ
добавлять поддержку Агента в мультипротокольные IM
расширять возможности клиента, добавляя новый функционал

Описание протокола обмена данными Mail.ru Агент.

[MOCT]

Открыт внутренний протокол обмена данными Mail.Ru Агент.

это позволить создавать другие программы, которые смогут слать почту на mail.ru или в программу MRU.

Это позволяет Спамерам создав не хитрую программу пополнить свой спам лист свежими нигде не светившимися e-mail'лами.

и каким же это интересно образом?