Newsgroup: it.news.net-abuse
Titolo: Dialer da identificare

Chi mi aiuta? Si tratta dello spammer porno che usa provider francesi.
http://www.bofh.it/~md/super_sfondi.exe
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 ha scritto nel messaggio
news:b7focv$jqm$1...@wonderland.linux.it...

Tentativo scarso
Excal

 
http://www.bofh.it/~md/super_sfondi.exe
Marco, prendi i dati cum grano salis, perché ho solo esaminato velocemente
l'eseguibile, non l'ho debuggato.
Conclusioni:
1) non è compresso
2) contiene, a partire dall'offset 0x694c (0x40694c se caricato in memoria)
una serie di stringhe crittate (semplicemente sommando 0x83)
3) Queste stringhe sono:
Sfondi Fantastici !! - Migliaia di sfondii, skin, screensaver, temi...
7090017512
123123
A014B200458
http://www.valoreweb.it/redirect.php?dialer=sfondi-
Stranamente è incompleto il link, ma il numero pare proprio 7090017512 (in
chiaro c'è un messaggio di avvertimento che notifica che ci si sta
collegando ad un 709).
Lascia una riga se vuoi che vada più a fondo.
Ciao.
--
zello
Non fate reply, è una spamtrap.
Se volete scrivermi, fatelo su zello <at> despammed <dot> com

 7090017512
Confermo, il dialer tenta di comporre quel numero (Telephonica S.p.A.).
Ciao
  David
-- 
<d.santinoli presso mi. flashnet. it>

 Stranamente è incompleto il link, ma il numero pare proprio 7090017512 (in
Hai messo un carattere in piu' nell'url. Quello presente nel dialer e':
 
 
http://www.valoreweb.it/redirect.php?dialer=sfondi
privo del '-' finale (0x6A17 e' 0x00) e punta a un redirect che porta a
una zona protetta (
http://pc-fun.hqcontents.com/
). 
Ah...: A014B200458 e 123123 non sono ne username ne password, as is :-P
Forse necessitano di qualche spippolamento o non c'entrano nulla (anche
se...).
Fabio

 :-P Forse necessitano di qualche spippolamento o non c'entrano nulla
Forse hanno "riadattato" un altro sorgente. Ci sono una marea di riferimenti
a funzioni importate dalle mfc che non paiono essere raggiungibili da
codice, e il codice stesso č disseminato di 0xcc (int 0x3, trappola del
debugger).
Volendo posso mettere un break in lettura sugli indirizzi, e vediamo quando
scatta. Ma non so se ne valga la pena.
Ciao
--
zello
Non fate reply, č una spamtrap.


 se...).
Quelli da te indicati sono in effetti lo Username e la Password.
Se metti un breakpoint su RasDialA in RASAPI32, il terzo parametro sullo
stack e' un puntatore ad una struttura di tipo RASDIALPARAMS.
In questa struttuta, il numero di telefono, username e password si trovano
rispettivamente all'offset 261, 519 e 776.
Nel nostro caso, si ha:
Telefono: 7090017512
User:     A014B200458
Password: 123123
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 trovano rispettivamente all'offset 261, 519 e 776.
Ok, era probabile e ora ne abbiamo conferma. Comunque quando ho 
detto che non erano ne username e password mi stavo riferendo a
quelle per accedere ad 
http://pc-fun.hqcontents.com/
 e non alla
autenticazione pap.
Fabio

 autenticazione pap.
Non credo che il dialer contenga le informazioni per effettuare
l'autenticazione basic su quel server.
Il dialer fa partire il browser con una semplice chiamata a ShellExecute,
mettendo come parametro la URL del redirector.
La mia idea e' che il server sia configurato in modo da accettare
richieste senza autenticazione solo da alcuni network (cioe' se si sta
effettivamente utilizzando come provider quello del dialer), mentre per
tutti gli altri viene richiesta l'autenticazione basic. 
In Apache, si puo' fare con poche righe di configurazione.


 tutti gli altri viene richiesta l'autenticazione basic. 
Non ho guardato queste parti del codice, anche perche' sono 
un po' una sega in queste cose e ci devo impiegare un tempo
sproporzionato ai risultati. Non m'era sembrato cosi' tanto
inverosimile che l'url passata al browser potesse contenere
anche il campo <userinfo>, ma a ben pensarci sarebbe un po'
una fesseria: la tua ipotesi e' decisamente piu' sensata.
Fabio