מה זה?

[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://img165.imageshack.us/img165/539/virusds6.jpg]

כנראה וירוס במוחו הקודח של נאד32...

http://www.fresh.co.il/vBulletin/sh...ad.php?t=211876

או שאולי יש לנו וירוס יחיד ומיוחד, כזה שאף אנטי וירוס בעולם חוץ מנאד32 לא מוצא...

נמאס לכם לזכור סיסמאות? לחצו כאן!

ואולי מישהו בפורום PHP מנסה לעשות משהו שהוא לא אמור לעשות?

המלצתי מעבר עומדת בעינה. לא הייתי פוסל על הסף שום דבר.

אני חותם לך על זה!
[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://forums.ort.org.il/files/30/2327773/1431043.gif]


נו, פשוש, קנית כבר ווינדוס ויסטה כמו שהבטחת שלא תעשה ואני הבטחתי לך שתעשה? . . . . . לא יכולתי לעמוד בפיתוי - מחשב חדש לי בגרושים ממש.

יש מספר בעיות קלות, ואשמח אם תעזור לי להבין:

1. האנטי וירוס מדווח שהטרוייאן הזה קיים בקובץ HTML - לכל הדעות - לא קובץ executable.

2. רק אנטי וירוס אחד בעולם "מזהה" שם את הטרוייאן (למרות שאנטי וירוסים אחרים מכירים אותו גם, ולא מזהים...)

3. כדי שהאתר יהיה דבוק בטרוייאן וידביק אחרים, הקבצים שלו צריכים להגיע אל השרת של האתר, ולהטען בדף המסויים, וכאן יש לנו שלוש בעיות:
א. האתר לא רץ על "חלונות", ולכן קצת קשה לו להדבק בוירוסים שפועלים רק על המערכת הנ"ל (טוב, זו לא כל כך בעייה בשבילנו, אלא יותר בעייה בשביל הטרוייאן)
ב. בדף שבו כביכול נמצא הטרוייאן, אין שום אזכור לשום דבר חוץ מקבצי תמונות וקישורים לדפים אחרים - קישורים שכולם קיימים גם בפורומים אחרים...
ג. היה ובכל זאת אחד הקישורים הם תולעת, חייבים לגרום לדפדפן להוריד ולבצע אותה. לשם כך אנו זקוקים לטכנולוגיה מספיק לא בטוחה שמאפשרת זאת (אני מכיר אחת העונה לשם ActiveX) - אממה - שאין שום תג שקורא למערכות שכאלה אפילו פעם אחת בכל הדף...

אם אתה רואה משהו שאני לא, תסביר לי בבקשה מה לבדוק ואני אבדוק...

נמאס לכם לזכור סיסמאות? לחצו כאן!

אי אפשר אף פעם לדעת אם מישהו מצא דרך להחדיר דאתא בדלת אחורית (קומבינציה של קודים שהוא מכניס בכותרת הפוסט שלו לדוגמא) שאמורה לנצל, לדוגמא, חור 0-יום של מיקיסופט. בכל אופן זה כנראה באמת לא המצב במקרה הזה. שוטטתי קצת בדף מס' 6 כרגע של פורום PHP וראיתי במה מדובר. הסתכלתי קצת בקוד HTML ולא ראיתי שום דבר שלי נראה מסוכן מדי. בכל זאת שלחתי את החשוד לאנליזה של NOD32 אחרי שקיבלתי דיווח מרגיע מ-VirusTotal:

Complete scanning result of "forumdisplay[2].zip", processed in VirusTotal at 09/17/2006 07:08:02 (CET).

[ file data ]
* name: forumdisplay[2].zip
* size: 17949
* md5.: 1991ff4a845ade3c65e05f55969ccdfb
* sha1: 8ea78ceb64e3655e2eb67e2f69933fa829c4a285

[ scan result ]
AntiVir 7.2.0.16/20060916 found nothing
Authentium 4.93.8/20060915 found nothing
Avast 4.7.844.0/20060915 found nothing
AVG 386/20060915 found nothing
BitDefender 7.2/20060917 found nothing
CAT-QuickHeal 8.00/20060915 found nothing
ClamAV devel-20060426/20060917 found nothing
DrWeb 4.33/20060916 found nothing
eTrust-InoculateIT 23.72.127/20060916 found nothing
eTrust-Vet 30.3.3078/20060915 found nothing
Ewido 4.0/20060916 found nothing
F-Prot 3.16f/20060915 found nothing
F-Prot4 4.2.1.29/20060915 found nothing
Fortinet 2.82.0.0/20060917 found nothing
Ikarus 0.2.65.0/20060916 found nothing
Kaspersky 4.0.2.24/20060917 found nothing
McAfee 4853/20060915 found nothing
Microsoft 1.1560/20060917 found nothing
NOD32v2 1.1759/20060916 found [BAT/DelSYS.F]
Norman 5.80.02/20060915 found nothing
Sophos 4.09.0/20060916 found nothing
Symantec 8.0/20060917 found nothing
TheHacker 6.0.1.071/20060917 found nothing
UNA 1.83/20060915 found nothing
VBA32 3.11.1/20060915 found nothing
VirusBuster 4.3.7:9/20060916 found nothing

__________________________________________________
VirusTotal is a free service offered by Hispasec Sistemas. There are no guarantees about the availability and continuity of this service. Do not reply to this message. It has been generated by an automatic address that will not handle any reply. Although the detection rate afforded by the use of multiple antivirus engines is far superior to that offered by just one product, these results DO NOT guarantee the harmlessness of a file. Currently, there is not any solution that offers a 100% effectiveness rate for detecting viruses and malware.

אפשר להיות רגועים, תשובה סופית.

אני חותם לך על זה!
[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://forums.ort.org.il/files/30/2327773/1431043.gif]


נו, פשוש, קנית כבר ווינדוס ויסטה כמו שהבטחת שלא תעשה ואני הבטחתי לך שתעשה? . . . . . לא יכולתי לעמוד בפיתוי - מחשב חדש לי בגרושים ממש.

..

אני מציע לך להסיר את הוירוס nod32.