Article View: pl.comp.security
Article #64620Re: trojany wykradajace hasla do ftp?
From: bofh
Date: Wed, 11 May 2011 09:52
Date: Wed, 11 May 2011 09:52
30 lines
2585 bytes
2585 bytes
On 11.05.2011 08:12, Robson wrote: > W dniu 2011-05-10 14:18, bofh@nano.pl pisze: >> Witam, >> >> czy ma ktos moze jakies dokladniejsze informacje o tych >> wirusach/trojanach? Non stop mam problemy z klientami, którym >> wykradziono hasła i wrzucono jakieś przekierowania. Szukam metody walki >> z tym i każda informacja mi się przyda. >> >> > > Zrezygnuj z protokołu ftp na rzecz ftps. W ftp haslo jest przesylane > otwartym tekstem, wiec byle snifer w sieci bardzo latwo moze je > przechwycic. I to jest bardziej prawdopodobne niz trojany wykradajace > hasla. To nie sniffer. Mam klientów z różnych sieci (hosting), a miałem od cholery połączeń z jednego hosta z Grecji, który łączył się legalnie. Więc sniffing wykluczony. Musiałby ktoś przejąć wiele hostów albo routerów w wielu sieciach i wtedy sniffować. To jest wykradane przez jakieś trojany/wirusy. Sam host łączący się na ftp działa na dwa sposoby, albo dokleja do index.html wywołanie obrazka z jakiegoś serwera (nieczynnego już), więc podejrzewam, że ten obrazek to był jakiś exploit na dziury w bibliotekach jpg/png. A drugie zachowanie jest ciekawsze, wrzuca plik php na serwer, po sekundzie kasuje. W tym czasie jeszcze wykonuje ten plik. -- wer <",,)~~ http://szumofob.eu
Technical Details
Message-ID:
<iqdm9b$78m$1@node2.news.atman.pl>Path:
mbox-mo1.pugleaf.net!news-archive.icm.edu.pl!news.rmf.pl!agh.edu.pl!news.agh.edu.pl!news.onet.pl!news.nask.pl!news.nask.org.pl!newsfeed2.atman.pl!newsfeed.atman.pl!newsfeed.neostrada.pl!unt-exc-02.news.neostrada.pl!news.underley.eu.org!moderators!marcinwReferences:
<iqbafe$ia0$1@node2.news.atman.pl> <iqd9bs$j61$1@news.onet.pl>Show Full Headers
Complete Article Headers
From: "bofh@nano.pl" <bofh@nano.pl> Newsgroups: pl.comp.security Subject: Re: trojany wykradajace hasla do ftp? Date: Wed, 11 May 2011 11:52:43 +0200 Organization: ATMAN - ATM S.A. Lines: 30 Message-ID: <iqdm9b$78m$1@node2.news.atman.pl> References: <iqbafe$ia0$1@node2.news.atman.pl> <iqd9bs$j61$1@news.onet.pl> NNTP-Posting-Host: ghostwheel.underley.eu.org Mime-Version: 1.0 X-Trace: node2.news.atman.pl 1305107563 7446 195.78.66.5 (11 May 2011 09:52:43 GMT) X-Complaints-To: usenet@atman.pl NNTP-Posting-Date: Wed, 11 May 2011 09:52:43 +0000 (UTC) User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.1.10) Gecko/20100624 Mandriva/3.0.5-0.1mdv2009.1 (2009.1) Thunderbird/3.0.5 In-Reply-To: <iqd9bs$j61$1@news.onet.pl> X-Moder-Tool: ModerGate.pl v3.0 (c) 2008 Daniel Podlejski X-Orig-NNTP-Posting-Host: 195.78.66.5 X-Orig-Newsgroups: pl.comp.security Path: mbox-mo1.pugleaf.net!news-archive.icm.edu.pl!news.rmf.pl!agh.edu.pl!news.agh.edu.pl!news.onet.pl!news.nask.pl!news.nask.org.pl!newsfeed2.atman.pl!newsfeed.atman.pl!newsfeed.neostrada.pl!unt-exc-02.news.neostrada.pl!news.underley.eu.org!moderators!marcinw Approved: marcinw.pcs@gmail.com X-Post-Key: 7c9140b07e05515312f2b62858598945 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit