| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 15:17:25 (+0700) | #661 | 245839 |
texudo
Member
![[Minus]](/hvaonline/templates/viet/images/minus.gif "[Minus]") |
0 |
![[Plus]](/hvaonline/templates/viet/images/plus.gif "[Plus]")
|
|
Joined: 20/07/2011 11:14:04
Messages: 31
Offline
|
|
http://www.virustotal.com/file-scan/report.html?id=ea8ed86c2ef87da60d096025291d5d517b397a3c95e8354f5a2fb96eb7a5132d-1314261104
Mấy cái files này bị một đống trình AVs phát hiện rồi mà. |
|
|
 |
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 15:43:51 (+0700) | #662 | 245841 |
![[Avatar]](/hvaonline/images/avatar/089f41810321eefc3f4eef5d4a388e42.png "[Avatar]")
|
conmale
Administrator
|
Joined: 07/05/2004 23:43:15
Messages: 9353
Location: down under
Offline
|
|
Hello 1visao,
Nhờ 1visao tìm trên máy xem có cái "WS2_32.dll" không? Nếu có vui lòng upload lên giúp luôn nha? Cám ơn. |
|
| What bringing us together is stronger than what pulling us apart. |
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 15:50:14 (+0700) | #663 | 245842 |
PXMMRF
Administrator
|
Joined: 26/09/2002 07:17:55
Messages: 946
Offline
|
|
conmale wrote:
1visao wrote:
chắc đây là mẫu mới của đám Malware Sinh tử lệnh, TQN cần file gì để mình gửi
dùng tcpview bắt được .
chuyển qua proxy thì thấy liên tục gửi request đến địa chỉ vietnamnet
Địa chỉ download file ituneshelp
http://www.mediafire.com/?my3ge2sqvnlno76
13:20 pm , sau khi post bài này đã ngưng gửi request tới Vietnamnet , thêm vào đó thấy được mấy địa chỉ lạ
http://daily.leteaks.com/index.txt?
http://wide.ircop.cn/index.txt?
http://pref.firebay.cn/index.txt?
http://link.susaks.com/index.txt?
Ha ha, hoan hô 1visao 
Cái này là đích thị con nai vàng tấn công vietnamnet rồi. Sẽ cập nhật thêm thông tin.
Các bạn CMC có bị đám bot tấn công không? Có IP (cho leased line) nào là 183.91.14.15 và 183.91.14.15 của CMCTI.vn đang sử dụng mà bị đập không?
Thêm:
Hoá ra 183.91.14.15 thuộc infrastructure của CMCTI.vn và IP này dùng để host tuanvietnam.vietnamnet.vn. Còn 183.91.14.11 thì host vef.vn.
Ngoài ra, vietnamnet.vn bị đánh vào 2 IP khác nhau (2 A records: 123.30.133.166 và 117.103.197.249). Còn vietnamweek.net host ở bên Mỹ (209.160.52.52) cũng chịu chung số phận.
Botnet này đánh vô tất cả các sites quan trọng của vietnamnet.
Cập nhật:
Tất cả zombies của botnet này hiện trỏ về master ở 200.74.244.198. IP này thuộc Panama. Nếu cần chặn, vncert có thể phối hợp các ISP để chặn ngay trên ISP level.
Hiện giờ chỉ có mỗi Kaspersky nhận diện con trojan này là: Trojan.Win32.Diple.acxu.
PS: sẵn tiện thông báo luôn cho công luận biết là nhóm thành viên HVA lộ diện trong việc phân tích và truy tìm malware của stl thường xuyên bị đe doạ bằng nhiều cách khác nhau. Hành vi phạm pháp và vô đạo đức bằng kỹ thuật nay bắt đầu chuyển sang hướng đe doạ. Xin thông báo để bà con rõ mức độ tồi tệ của sự việc.
Khi unrar con iTunes.rar ta có 4 files:
data.mdf
iTunesHelper-tray.exe
iTunesHelper.exe
ITUNESHELPER.EXE-2BE8106E.pf
Thì thưc ra file data.mdf mới bị detect là 1 Trojan. Avira cũng đã detect nó là Trojan TR/Diple.acju
Nhưng tôi lại nghi thành phần chính của DDoS tool là file iTunesHelper.exe cơ!
Đang thử nghiệm thưc tế.
|
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 15:57:36 (+0700) | #664 | 245845 |
weasel1026789
Member
|
|
0 |
|
|
Joined: 25/06/2011 23:51:19
Messages: 10
Offline
|
|
Em vừa submit file ituneshelper.exe lên web của: Symantec, McAfee, Nod32, Microsoft, Avast, AVG, Bitdefender.
Em tự hỏi chúng ta có nên liên lạc với danlambaovn nhờ họ thông báo rộng rãi cho đọc giả giúp submit các file nhiễm trojan STL lên các website của các chương trình antivirus không? |
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 16:01:07 (+0700) | #665 | 245846 |
PXMMRF
Administrator
|
Joined: 26/09/2002 07:17:55
Messages: 946
Offline
|
|
weasel1026789 wrote:
Em vừa submit file ituneshelper.exe lên web của: Symantec, McAfee, Nod32, Microsoft, Avast, AVG, Bitdefender.
Em tự hỏi chúng ta có nên liên lạc với danlambaovn nhờ họ thông báo rộng rãi cho đọc giả giúp submit các file nhiễm trojan STL lên các website của các chương trình antivirus không?
Ta nên kiểm tra kỹ hơn và cũng nên kiểm tra trong thưc tế, khi có kết quả chính xác thì thông báo cũng kịp |
|
The absence of disagreement is not harmony, it's apathy.
(Socrates)
Honest disagreement is often a good sign of progress.
(Mahatma Gandhi)
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 16:23:56 (+0700) | #666 | 245848 |
![[Avatar]](/hvaonline/images/avatar/3099a4ec6dc1da1e77c1b4070c7aa9b8.jpg "[Avatar]")
|
bolzano_1989
Journalist
|
|
0 |
|
|
Joined: 30/01/2007 12:49:15
Messages: 1406
Offline
|
|
1visao gửi thêm 2 log Autoruns, Autorunsc (Autoruns command-line) cho mình theo đúng hướng dẫn ở các bài viết sau nhé:
Hướng dẫn scan và gửi log Autoruns
http://support.cmclab.net/vn/tut0rial/huong-dan-scan-va-gui-log-autoruns/
Hướng dẫn scan và gửi log Autorunsc (Autoruns command-line)
http://support.cmclab.net/vn/tut0rial/huong-dan-scan-va-gui-log-autorunsc-(autoruns-command-line)/
Giờ mình phải đi đến tối khuya, khi về mình sẽ xem cho bạn ngay, bạn chịu khó đừng xóa virus bằng bất cứ công cụ hay phần mềm nào nhé  . |
|
Kiểm tra các file bạn nghi ngờ có virus:
http://goo.gl/m3Fb6C
http://goo.gl/EqaZt
http://goo.gl/gEF8e
Nhận mẫu virus qua FB: http://goo.gl/70Xo23
HVA Malware Response Team: kiemtravirus@gmail.com
Trợ giúp diệt virus: http://goo.gl/2bqxY |
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 17:26:46 (+0700) | #667 | 245853 |
TQN
Elite Member
|
|
0 |
|
|
Joined: 29/06/2006 22:28:01
Messages: 888
Location: Biết làm chi ?
Offline
|
|
Đặc sệt code của stl coder, CString + zlib + encode tá lã.
Lần này, mấy anh lại đi ăn cắp code nữa rồi mấy anh, libcurl chơi bê nguyên xi vậy à ? Hay là bản chất đại ca tàu khựa của mấy anh ăn cắp quen rồi nên mấy anh chỉ biết dùng đồ ăn cắp hay nhiểm ăn cắp luôn rồi.
Em gặp nhiều "mèo què" rồi, nhưng chưa bao giờ gặp đám "mèo què" nào như của tụi anh, đạo code, mạo danh các ct nổi tiếng. Hèn, hèn, hèn hạ hết chổ nói. Đx, chỉ biết nói thêm một câu, "khốn nạn", nhưng nói rồi thấy hình như chưa đủ "đô".
Em tức quá chửi luôn: bà con cẩn thận, tụi stl này giãy giụa, vùng vẫy, cắn càn như một đám chó điên rồi bị người dân dồn và đập rồi, ai đụng tới tụi nó thì tụi nó hết trò, chỉ biết ddos đáp trả thôi.
Run nó lên, nó sleep một đỗi rồi bắt đầu ồ ạt tấn công liền 1 loạt 3 địa chỉ của Vietnamet. Em đang rce đoạn code giải mã file .txt của nó. |
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 19:10:00 (+0700) | #668 | 245857 |
![[Avatar]](/hvaonline/images/avatar/2fd754b6eb5412c41571db2978ef1286.png "[Avatar]")
|
sonngh
Member
|
|
0 |
|
|
Joined: 04/11/2010 01:10:40
Messages: 37
Location: Thiên đường
Offline
|
|
Xem trên TCPView nó báo như vầy :
Mình đang vào HVA không mở thêm 1 tab nào khác .
|
|
| Ordeal but No Failure ! |
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 20:10:08 (+0700) | #669 | 245863 |
TQN
Elite Member
|
|
0 |
|
|
Joined: 29/06/2006 22:28:01
Messages: 888
Location: Biết làm chi ?
Offline
|
|
Thằng coder của con fake ITunes này là coder C++, chỉ quen dùng C++ ATL/MFC string, trong khi toàn bộ source của libcurl là pure C.
Avira đã có trả lời, mới up hồi chiều, nhanh thật: http://analysis.avira.com/samples/details.php?uniqueid=KcAZAjtnOS4VD6kgfsrWYGchX1gq6Lvn&incidentid=809945
Bạn 1visao vui lòng up giùm file Autoruns của bạn, vì chắc chắn trên máy bạn còn 1 thằng nằm vùng khác download ituneshelper.exe về. File data.mdf cũng chính là ituneshelper.exe nhưng có version cũ hơn.
Tức là lúc đầu con nằm vùng đó download ituneshelper.exe ver cũ về, sau đó một thời gian, nó kết nối tới đâu đó, thấy có lệnh cập nhật, nó down ituneshelper.exe mới về, kill process ituneshelper.exe cũ, rename, copy ituneshelper.exe mới vào thư mục ban đầu rồi run, đăng ký autorun. Và sẽ có một website nào đó nữa ta chưa biết chứa con trojan và file ra lệnh cập nhật này.
PS: Em nói đúng không mấy anh stl. RCE code mấy anh riết ngán quá rồi 
|
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 20:51:28 (+0700) | #670 | 245864 |
totden
Member
|
|
0 |
|
|
Joined: 07/10/2008 02:37:47
Messages: 17
Offline
|
|
TQN wrote:
Thằng coder của con fake ITunes này là coder C++, chỉ quen dùng C++ ATL/MFC string, trong khi toàn bộ source của libcurl là pure C.
em không biết nó vô ý hay cố tình chứ em thấy code lần này khó đọc vãi ... )
|
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 21:01:07 (+0700) | #671 | 245866 |
PXMMRF
Administrator
|
Joined: 26/09/2002 07:17:55
Messages: 946
Offline
|
|
Đúng 100% iTunesHelper.exe là DDoS tool của STL. Nó tấn công khá nhanh và khá manh, liên tục vào 7 IP, đều là của vietnamnet.vn. Nghĩa là nó tấn công toàn bộ kết cấu hạ tầng của vietnamnet.vn, từ các webserver đến các Route. Kinh khủng và liều mạng.
Mấy cậu nhóc VN thì đâu có kiến thức về kết cấu hạ tầng mạng để có thể tấn công như vậy. Các bác VN nhiều tuổi, giỏi và có kinh nghiệm về IT Network thì có cho kẹo cũng không dám làm, vì vietnamnet.vn là tờ báo mạng lớn và quan trọng của nhà nước, động vào là rất phiền.
Chỉ có các bác Khựa ngang ngược, ỷ thế nước lớn, coi VN không ra gì, mới làm như vậy.
Báo cao khảo sát thưc tế đã xong, đang hoàn tất thêm chút ít (chủ yếu là xem lai kết cấu hạ tầng mạng của vietnamnet.vn) và sẽ post lên. |
|
The absence of disagreement is not harmony, it's apathy.
(Socrates)
Honest disagreement is often a good sign of progress.
(Mahatma Gandhi)
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 21:20:24 (+0700) | #672 | 245868 |
![[Avatar]](/hvaonline/images/avatar/03229cc001fafe86b036c49839e31767.jpg "[Avatar]")
|
tanviet12
Member
|
|
0 |
|
|
Joined: 10/05/2010 12:15:15
Messages: 138
Location: TP - HCM
Offline
|
|
Chắc chắn là của mấy bác Tàu. Vietnamnet luôn có những bài viết sau sắc và "lớn tiếng" với tụi Tàu.. Nên nó lại muốn dập đây mà.
Hiện tại (10:19 25/08/2011) thì chỉ có tuanvietnam là vào được  |
|
BTV
fb.com/buitanviet |
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 21:44:37 (+0700) | #673 | 245870 |
TQN
Elite Member
|
|
0 |
|
|
Joined: 29/06/2006 22:28:01
Messages: 888
Location: Biết làm chi ?
Offline
|
|
| 2 totden: Dĩ nhiên rồi, code C++ mà dùng WTL, ATL, MFC, std, boost thì RCE cực bỏ xừ. Nhưng nếu quen và đã từng code, debug trên các library đó thì sẽ dể dàng hơn. |
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 21:58:18 (+0700) | #674 | 245873 |
vnchampion
Member
|
|
0 |
|
|
Joined: 16/06/2008 11:53:49
Messages: 8
Offline
|
|
Chào các bác !
Trời ạ, Hôm nay em mới seach từ Khoá Unikey nethoabinh
Hiện tại trang web nethoabinh.com là trang web của em 
Thực sự em đọc topic này mà rùng rợn người.
Từ trước tới nay em cài bao nhiêu phần mêm viruts quét rùi
mà file unikey em tải lên là File sạch
Giờ lại thấy các bác báo cáo thế, Em lại update và quét thì quả thật có báo
http://www.virustotal.com/file-scan/report.html?id=298452c3c9f0c638bea809bb8d4d890c6802272a5cc0aac7064531bbae98627e-1314287130
Em không biết một tí gì vì em load trực tiếp trên trang chủ của Unikey.org ????
Rùi update lại cho anh em dùng thôi - Giờ lại ra thế này thì em cũng chả biết phải tin vào ai bây giờ .
Nếu đợt tấn công vừa rồi là nguyên nhân do file unikey của bên em phát tán thì em thật sự xin lỗi và Em thề là không biết một tí gì vì tin tưởng load trên trang chủ và
quét các phần mềm diệt viruts rùi
Em xin cảm ơn. |
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 22:00:12 (+0700) | #675 | 245874 |
PXMMRF
Administrator
|
Joined: 26/09/2002 07:17:55
Messages: 946
Offline
|
|
TQN wrote:
Thằng coder của con fake ITunes này là coder C++, chỉ quen dùng C++ ATL/MFC string, trong khi toàn bộ source của libcurl là pure C.
Avira đã có trả lời, mới up hồi chiều, nhanh thật: http://analysis.avira.com/samples/details.php?uniqueid=KcAZAjtnOS4VD6kgfsrWYGchX1gq6Lvn&incidentid=809945
Bạn 1visao vui lòng up giùm file Autoruns của bạn, vì chắc chắn trên máy bạn còn 1 thằng nằm vùng khác download ituneshelper.exe về. File data.mdf cũng chính là ituneshelper.exe nhưng có version cũ hơn.
Tức là lúc đầu con nằm vùng đó download ituneshelper.exe ver cũ về, sau đó một thời gian, nó kết nối tới đâu đó, thấy có lệnh cập nhật, nó down ituneshelper.exe mới về, kill process ituneshelper.exe cũ, rename, copy ituneshelper.exe mới vào thư mục ban đầu rồi run, đăng ký autorun. Và sẽ có một website nào đó nữa ta chưa biết chứa con trojan và file ra lệnh cập nhật này.
PS: Em nói đúng không mấy anh stl. RCE code mấy anh riết ngán quá rồi
Master webserver có thể là một trong 2 webserver này:
www.rackspace.com IP 207.97.209.147, đặt tai Mesa, AZ, United States
host-200-74-244-198.ccipanama.com IP 200.74.244.198 , đặt tai Panama (không xác định được tỉnh nào?)
Hiện nay chưa có thời gian check để xác định cụ thể là webserver nào? Vừa qua cũng chưa thấy có kết nôi download file từ webserver đến máy nạn nhân (client).
Riêng việc các bác "16 chữ vàng" đặt và vận hành được webserver ở tận Panama thì quả thật em phải ngả mũ cúi chào. Chỉ có nước các bác lắm tiền, nhiều quân thì mới đủ sức đầu tư đến tận châu Phi, châu Mỹ Latinh. Chắc nước VN chúng em thì chịu.
|
|
The absence of disagreement is not harmony, it's apathy.
(Socrates)
Honest disagreement is often a good sign of progress.
(Mahatma Gandhi)
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 22:08:42 (+0700) | #676 | 245875 |
PXMMRF
Administrator
|
Joined: 26/09/2002 07:17:55
Messages: 946
Offline
|
|
|
|
The absence of disagreement is not harmony, it's apathy.
(Socrates)
Honest disagreement is often a good sign of progress.
(Mahatma Gandhi)
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 22:47:10 (+0700) | #677 | 245881 |
vnchampion
Member
|
|
0 |
|
|
Joined: 16/06/2008 11:53:49
Messages: 8
Offline
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 23:16:11 (+0700) | #678 | 245882 |
vnchampion
Member
|
|
0 |
|
|
Joined: 16/06/2008 11:53:49
Messages: 8
Offline
|
|
texudo wrote:
2 trang YeuHoaBinh.com và NetHoaBinh.com có rank là 682 và 688 (theo thứ tự các website ViệtNam) trên Alexa.
Và...việc tìm kiếm tới UniKey luôn đứng đầu 2 site này...chứng tỏ bà còn Việt bị nhiễm malware hơi nhiều.
http://www.alexa.com/siteinfo/nethoabinh.com
http://www.alexa.com/siteinfo/yeuhoabinh.com
Một điều đáng ngạc nhiên là như lequi nói: Khi search google về Flash Player download thì NETHOABINH.COM đứng trong top đầu mới kinh. Tuy nhiên link tới mediafire.com đã bị delete, ai có file Flash Player này thì tốt quá.
Mà cái bạn "LAM VOI" trên NETHOABINH có vẻ hâm mộ TQ quá, avatar là anh LÝ THÀNH LONG, lại còn học tiếng Trung Quốc....
@lequi: check traffic qua nettop cho các domain mà bạn đưa ra thì hầu hết là ZERO, và các domain này vừa mới được thiết lập (vào khoảng thời gian đầu tháng 7).
Chào Bạn mình là Admin của nethoabinh.com
Nay tình cờ vào xem topic này
Mình xin được tích cực tham gia nếu các phần mềm của mình bị dính
các phần mềm đó thì Mình sẽ gỡ sạch và tạ lội với anh em
Vì thực sự mình cũng hơi chủ quan
Mình xin gửi bạn 4 File flash mình update trên nethoabinh
và 1 file unikey
Link dơnload: http://nethoabinh.com/data/flash-nethoabinh.com.zip
@ Lâm voi: là tớ , và ảnh avartar là ảnh của tớ, Chỉ là thích lý tiểu long nên học Côn thôi. Yêu lý tiểu long nhưng Ghét Khựa . Không cùng quan điểm đâu nhé |
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 23:27:22 (+0700) | #679 | 245883 |
mv1098
Member
|
|
0 |
|
|
Joined: 18/07/2009 14:19:13
Messages: 119
Offline
|
|
@anh PXMMRF
host-200-74-244-198.ccipanama.com IP 200.74.244.198 , đặt tai Panama (không xác định được tỉnh nào?)
Nó nằm ở Panama City luôn anh à, thủ đô của nó là Panama luôn
theo suy luận của em chắc là 200.74.244.198 vì có cái nginx quen thuộc |
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
25/08/2011 23:40:52 (+0700) | #680 | 245885 |
TQN
Elite Member
|
|
0 |
|
|
Joined: 29/06/2006 22:28:01
Messages: 888
Location: Biết làm chi ?
Offline
|
|
Lại chia buồn mấy anh stl người Việt bán nước và mấy thằng tàu khựa. Em đã giãi mã ra file txt của anh rồi. Lần này mấy anh chơi mã hoá CAST128/256 cho tất cả hardcode strings trong exe của mấy anh và trong txt lấy về.
Key encrypt và decrypt của mấy anh đây:
1. hArd9zlOtY5wU89-: cho hard code string trong exe
2. qjJw4afl979K4quE20pcDhgk8YGbyB: để giãi mã file index.txt down về
Dưới đây là 3 hình ảnh minh hoạ file text index.txt sau khi được giãi mã trên bộ nhớ:
Lần này hết chối nhé mấy thằng tàu khựa và mấy thằng Vietnam phản động bán nước.
Bà con nên để ý kỹ cái link gạch đỏ cuối cùng, hình số 3, thằng nằm vùng sẽ download thằng trojan: http://option.drfound.net/k113.css này về vào thư mục %temp%iTunes.tmp. File này em đã nhanh tay down về và up lên mediafire + file index.txt đã giãi mã sơ bộ: http://www.mediafire.com/?acqlw6ywkcva3a8
Bây giờ em buồn ngủ rồi, ngày mai rảnh thì em sẽ code tool decode, còn lười thì post hướng dẫn debug cho nhanh. Bà con thông cảm nhé !
Với các bà con dùng OllyDbg, bà con load ituneshelper.exe vào OllyDbg, patch tại address 0040D5EA từ push 60000 thành push 0 (chứ không thì nó "ngủ" đến 1 phút lận). Sau đó đặt breakpoint tại: 0040D812, rồi Run (F9)
Khi OllyDbg break, quan sát nội dung memory mà thanh ghi ECX trỏ đến là ta có mệnh lệnh DDOS Vietnamnet đã được giãi mã:
Có được rồi thì terminate OllyDbg liền, đừng run gì nữa. |
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
26/08/2011 00:01:58 (+0700) | #681 | 245887 |
mv1098
Member
|
|
0 |
|
|
Joined: 18/07/2009 14:19:13
Messages: 119
Offline
|
|
94.242.203.16 ở LUXEMBOURG
option.drfound.net với mx2.thesmartsignature.com là 1
nhân tiện các bác phân tích giúp em thằng này, em download ở thesmartsignature.com về
http://www.mediafire.com/?bdybn6hsyvm9vci
link gốc
Code:
http://thesmartsignature.com/cgi-bin/updater-cgi?7LmQrC8pRrqF6iRQGJtYlQF9eW%2FIL8EMYLxfycFpK3nzZejuR6l3rSYOmNp3RABmOEdHGWZEv9IjSwi5D%2Fm5EWToI2ZwfDx7Ingr1BiyQmqJLdOxrPlLL1Br6Iwdw9xnyaCTblidOq1ZzxL78NmglKgnEBmxqeoNyz5E2dxubSMEi3p2B1Hh7oMvhe8%2BGbwtMhjGli%2FZymYjcWN7ZhZDLSMbJSDJp8DG1bGBldUgct5JJ%2BJPnFgdGmYV5EVexygoe2Sd2AhezpM%3D
|
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
26/08/2011 00:24:19 (+0700) | #682 | 245889 |
totden
Member
|
|
0 |
|
|
Joined: 07/10/2008 02:37:47
Messages: 17
Offline
|
|
mv1098 wrote:
94.242.203.16 ở LUXEMBOURG
option.drfound.net với mx2.thesmartsignature.com là 1
nhân tiện các bác phân tích giúp em thằng này, em download ở thesmartsignature.com về
http://www.mediafire.com/?bdybn6hsyvm9vci
link gốc
Code:
http://thesmartsignature.com/cgi-bin/updater-cgi?7LmQrC8pRrqF6iRQGJtYlQF9eW%2FIL8EMYLxfycFpK3nzZejuR6l3rSYOmNp3RABmOEdHGWZEv9IjSwi5D%2Fm5EWToI2ZwfDx7Ingr1BiyQmqJLdOxrPlLL1Br6Iwdw9xnyaCTblidOq1ZzxL78NmglKgnEBmxqeoNyz5E2dxubSMEi3p2B1Hh7oMvhe8%2BGbwtMhjGli%2FZymYjcWN7ZhZDLSMbJSDJp8DG1bGBldUgct5JJ%2BJPnFgdGmYV5EVexygoe2Sd2AhezpM%3D
Mình xem qua, bạn này là file sạch bạn ah. |
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
26/08/2011 00:51:49 (+0700) | #683 | 245892 |
TQN
Elite Member
|
|
0 |
|
|
Joined: 29/06/2006 22:28:01
Messages: 888
Location: Biết làm chi ?
Offline
|
|
Kết quả rce sơ bộ file k113.css chứng tỏ nhận định của tui, còn một thằng nằm vùng trên máy của 1visao đã download file k113.css này về.
Dùng Plugin PE Extract của PEiD, ta extract ra được hai file .exe giống y chang ituneshelper.exe và iTunesHelper-tray.exe. Các bạn xem kỹ hình minh hoạ.
RCE vào thẳng k113.css, ta thấy lần này, coder không dùng overlay hay zip data để nhúng PE file, thay vào đó cậu ta nhúng trực tiếp 2 file exe trên vào vùng .data section luôn, cho nên plugin PE Extract dể dàng extract ra được.
PS: Chà, bà con thức khuya theo dõi dữ ha. Thôi đi ngủ đi bà con, gần hạ màn rồi, giờ chỉ là up các file .exe và thằng exe mạo danh k113.css (Giống cảnh sát 113 quá ha) này lên cho các AVs nhai xương, và report bad links, bad site các cái website sau cho nó đi die luôn cho rồi:
Code:
http://wide.ircop.cn
http://pref.firebay.cn
http://daily.leteaks.com
http://link.susaks.com
http://option.drfound.net
Chúc bà con ngủ ngon, cuối cùng anh em HVA ta đã đi gần tới đích sau mấy tháng trời căng thẳng, mệt mỏi với tụi "sống chết theo lệnh", "sờ ti lợn", "ét ti eo" này  |
|
|
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
26/08/2011 01:02:01 (+0700) | #684 | 245893 |
mrquytk93
Member
|
|
0 |
|
|
Joined: 25/08/2011 13:29:35
Messages: 1
Offline
|
|
Sau vài lần lướt web thì thấy topic này có vẻ rất " HOT "
Chuyển sang chủ để chính luôn, là HVA có biện pháp gì mới để chống hay không
Chứ phân tích cái này rồi cuối cùng vẫn bị DIE thì hơi chán
Khoảng đầu tháng 9 mình muốn HVA nghiên cứu sâu hơn về synflood
Vì hiện tại với synflood mình có thể cho HVA die bất cứ lúc nào
-------------------------------------------------------------------------
Mr.Quy CBG.No1
ADMIN - ATH |
|
|
| [Analyzing] Phân tích tính chất vài trận DDoS HVA vừa qua. |
26/08/2011 01:10:44 (+0700) | #685 | 245894 |
vnchampion
Member
|
|
0 |
|
|
Joined: 16/06/2008 11:53:49
Messages: 8
Offline
|
|
|
![[Rule]](/hvaonline/templates/viet/images/icon_mini_rule.gif "[Rule]"){kind=icon}
![[Home]](/hvaonline/templates/viet/images/icon_mini_groups.gif "[Home]"){kind=icon}
![[Portal]](/hvaonline/templates/viet/images/icon_mini_portal.gif "[Portal]"){kind=icon}
![[Members]](/hvaonline/templates/viet/images/icon_mini_members.gif "[Members]"){kind=icon}
![[Statistics]](/hvaonline/templates/viet/images/icon_mini_stats.gif "[Statistics]"){kind=icon}
![[Search]](/hvaonline/templates/viet/images/icon_mini_search.gif "[Search]"){kind=icon}
![[Reading Room]](/hvaonline/templates/viet/images/icon_mini_book.gif "[Reading Room]"){kind=icon}
![[Register]](/hvaonline/templates/viet/images/icon_mini_register.gif "[Register]"){kind=icon}
Register![[Login]](/hvaonline/templates/viet/images/icon_mini_login.gif "[Login]"){kind=icon}
Login [
Thảo luận virus, trojan, spyware, worm...
![[Profile]](/hvaonline/templates/viet/images/en_US/icon_profile.gif "[Profile]"){kind=icon}
![[PM]](/hvaonline/templates/viet/images/en_US/icon_pm.gif "[PM]"){kind=icon}
![[Up]](/hvaonline/templates/viet/images/en_US/icon_up.gif "[Up]"){kind=icon}
![[Print Copy]](/hvaonline/templates/viet/images/en_US/icon_print.gif "[Print Copy]"){kind=icon}
![[WWW]](/hvaonline/templates/viet/images/icon_www.gif "[www]"){kind=icon}
![[Yahoo!]](/hvaonline/templates/viet/images/icon_yim.gif "[YIM]"){kind=icon}
![[Email]](/hvaonline/templates/viet/images/icon_email.gif "[E-mai]"){kind=icon}
nên giờ mà có mệnh hệ gì em cũng buồn lắm
![[Avatar]](/hvaonline/images/avatar/05f6cac8859246b13bca3903dfefc986.png "[Avatar]")
. Bồ có biết stl bot là gì không? Nếu chưa biết thì đọc từ đầu đến cuối chủ đề này để tìm hiểu. HVA không phải là chỗ để khệnh khạng "nhá hàng" bồ à.
![[digg]](/hvaonline/templates/viet/images/digg.gif "[digg]")
![[delicious]](/hvaonline/templates/viet/images/delicious.gif "[delicious]")
![[google]](/hvaonline/templates/viet/images/google.gif "[google]")
![[yahoo]](/hvaonline/templates/viet/images/yahoo.gif "[yahoo]")
![[technorati]](/hvaonline/templates/viet/images/technorati.gif "[technorati]")
![[reddit]](/hvaonline/templates/viet/images/reddit.gif "[reddit]")
![[stumbleupon]](/hvaonline/templates/viet/images/stumbleupon.gif "[stumbleupon]")