Alexandr, 43 - 30 апреля 2008 10:12

Вчера-позавчера меня пытались атаковать с помощью этого сайта :) Так как по ряду признаков "хакер" из йошкар-олы то опишу примерную схему:

1. Приходит в личку сообщение вида [COLOR=violet]"Привет, давай знакомиться, ты мне понравился, я фотку пыталась загрузить на сайт но модератор отклонил, я понимаю что без фотки сложно общяться, если хочешь я могу скинуть тебе фоку на емал.. "[/COLOR] Первый тревожный звонок, заставлящий насторожиться - её нет среди просматривавших анкету.

2. После моего ответа[COLOR=darkblue] " Привет. Мне без фотки общаться не проблема, но если тебе будет спокойнее - можешь послать на [мыло перед публикацией вырезано]
Извини что сразу не ответил - был в это время в краснодаре в командировке"[/COLOR] на указанное мыло приходит письмо.

3. Содержимое письма
[COLOR=violet]"Приветик, это я, на днях подключилась к дому.ru вот сегодня зарегистрировала
бесплатный почтовый ящик, дом ру вообще классный интернет,
скорость такая нормальная, качает хорошо...
Слушай, ты знаешь где можно бесплатно фильмов скачать
ну там боевики или эротику... я воще люблю эротику,
но не порно там, а чтобы красиво было свечки, шампанское, любовь
ну ты понимаешь...
Может знаешь где скачать можно... подскажи адрес..
Тут когда мне интернет мальчик приходил настраивать
рассказывал про файлообменную сеть, матрица наывается может слышал об
этом... если да, расскажи как она работат и как оттуда кино скачать
можно.. Посылаю тебе фотки хочу их на сайтах знакомств разместить
только пока немогу что то собраться...
Ну ладно записалась я что то...
Буду жать ответа..

P.S. Совсем забыла спросить фотки тебе понравились, не слишком
откровенное интим фото? Как думаешь на сайте можно такое разместить????"[/COLOR]

Мне лично показалась черезчур откровенным для первого письма.

К письму приложен архив со следующими файлами
[COLOR=violet]"Для dating.ru (Черное и белое) художественное фото.gif"
"Для анкеты на сайте mamba.ru (Сижу на кровати).jpeg"
"Для профиля (Интимная фотка) на сайте vdul.com"
"Моя фото.bmp"[/COLOR]

По привычке смотрю тип файлов - и конечно же сразу вижу что "[COLOR=violet]Для профиля (Интимная фотка) на сайте vdul.com[/COLOR]" это приложение (не картинка)
Видимо для того, чтоб значок приложения не выделялся среди прочих картинок как белая ворона - все картинки имеют разные расширения gif bmp jpg (внутри они все jpg)
Это тоже необычно, но иначе приложение не замаскировать - (да в исполняемый файл можно встроить иконку чтоб он был похож на картинку, но такая картинка не отобразится при просмотре архива).

Конечно всегда остаётся вероятность что "девушка по неопытности стёрла расширение у файла вида "Для профиля (Интимная фотка) на сайте vdul.com.JPG"
Поэтому открываю подозрительный файл в тектовом редакторе фара (можно хксредактором) и вижу в самом начале MZP
MZP - это типичное начало исполняемого файла (кстати я проверил все 4 файла прежде чем открывать, у трёх оставшихся было невинное JFIF)

Таким образом я убедился, что некий "хакер" намеренно заслал мне исполняемый файл. С вероятностью 99.9999% это сделано намеренно для заражения компьютера трояном/вирусом.

Последний этап - понять почему антивирус не ругался. Онлайн проверка у касперского и др.веба дала результат "файл не заражён"
Онлайн проверка группой антивирусов дала более радостные результаты - антивирус AntiVir опознал в файле трояна.

Вывод?
1) Антивирусы не видят всех угроз, головой тоже думать надо
2) "хакер" недостаточно внимательно подошёл к процессу и заставил "жертву" заранее насторожиться. Ему стоило просмотреть мою анкету прежде чем писать сообщение и быть поскромнее в тексте письма... Но думаю что 50% пользователей (из тех кого я знаю) на моём месте попались бы и запустили вируса себе в комп.

• 
• 
•