🚀 go-pugleaf

smerf wrote:
> Pojawił się w moich kodach na serwerze wirus.
> Czy ktoś już to debugował i może powiedzieć w skrócie jak to działa ?
>

nie chce mi sie, ale to ze sie pojawilo to znaczy ze masz na 99% total 
comandera w wersji < niz beta 08 i nie masz szyfrowania AES nalozonego na 
zapamietane(!) hasla w programie. Ktos kto ma kody zapewne ma trojana ktory je 
ukradl i wyslal do botnetu a ten ruch**a Twoje pliki na serwerze. Zmien haslo, 
oczysc strony. Nie uzywaj TCMD bez szyfrowania albo zmien w ogole klienta ftp.

W jednej z moich firm sie to to wgralo i myslalem ze u mnie wyciekly hasla 
(raptem 30 FTP roznych firm, mialby wstyd jak stad na hel, tj z Wroclawia). Ale 
okazalo sie ze wyciekly w oddziale Warszawskim. Nawet trojan informowal 
laskawie i uczciwie, posiadacza maszyny, ze ten komputer jest zainfekowany i 
kliknij tu (a potem zaplac) za usuniecie wirusa :))) Tak wiec na bank tam 
wycieklo haslo.

Teraz mam szyfrowane wszystkie hasla. Czekamy az trojan bedzie kradl master 
password z TCMD i robil swoje nadal.

Kod tego scierwa jest dosc prymitywny i uszkodzil serwis WWW poniewaz wkleil 
do:

echo '<body ................>' swoj kod z ' czym zwalil skrypt PHP i ten sie w 
ogole nie wykonywal.

echo '<body><iframe src=' ' >' cos takiego mniej wiecej zrobil i php sie juz 
nie odpalal. Cale szczescie bo by mieli bana na google :-)


I tak ogolnie mowiac to nie wirus, to kod - exploit, na jakas luke w 
przegladarce (nie wiem jakiej, pewnie IE). Przez ten Iframe idzie atak scierwa 
co dopiero wgrywa malware.