Uwaga na keyloggera na stronie ui.worldofwar.net

Sobtainer · **Posty:** 12796 **Dołączył(a):** 17.08.2005

Ile zapłaciłeś?

Czy zwalnia system?

Ogólnie w skali 1-10 ile? ;p

P.S
Windowsa mam oryginalnego, także w dobrego antywira też chętnie bym zainwestował w najbliższym czasie.

Huragan · **Posty:** 10851 **Dołączył(a):** 12.02.2004

jeden z adminow worldofwar.net wyjasnil, ze strona zostala zaatakowana przez hackerow ...

Cytuj:

Hi guys, Flukes here:

Fortunately I have limited database access on the site (because of UI Central development) so I was able to remove the malicious code myself. I am sure it will return again and I cannot edit the backend code of the site to fix the vulnerability - unfortunately the site owner Rush is in Canada at the moment and I cannot reach him, but as soon as he gets to the computer I am positive the problem will be fixed permanently.

At the moment, the site is therefore safe to use, until I or a Site Admin says otherwise.

On behalf of the site I do apologise about this - unfortunately a few days ago the site was compromised by foreign hackers and a lot of data was lost or damaged. We thought the security had been tightened but it seems there are still a few unpatched issues.

Once again, I apologise about this and I highly recommend you get a decent virus scanner running on your machine if you think you've been affected by this problem (it only occurred on ui.worldofwar.net).

Sadly like all websites, WorldOfWar.Net is prone to attacks by malicious users, and such is the nature of the Internet that some people feel cowardly enough to exploit other users such as you and I. If you still have any concerns please come and speak to me on IRC (irc.incgamers.com).

http://forums.wow-europe.com/thread.htm ... 1&pageNo=3

takim samym atakiem potraktowano tez kilka innych stron:

http://www.google.co.uk/search?q=ui.bce ... =firefox-a

Huragan · **Posty:** 10851 **Dołączył(a):** 12.02.2004

nowe info, curse-gaming.com rowniez zostal zaatakowany keylogerami:

Some new info:
The curse-gaming keylogger isn't *EXACTLY* on curse-gaming.com, it's on media1.curse-gaming.com. If you go to their beta patch notes page from their site, everything's clean, but if you go to the one listed above, it's got the keylogger on it.

the curse-gaming .exe contains this (Courtesy of Borong from Final Ascension):
Quote:

boy this was a project.. so 47-22782-ollydbg-ollydbg.exe was written in simple Chinese which when executed does 3 things:

1. unpacks some files to a temp dir
2. creates a VB script
3. runs the VB script

Here's the vbscript:

Code:

@Echo Off¡¡¡¡
Set date=%date%
date 1987-12-18
@Echo Off & setlocal enableextensions
Echo WScript.Sleep 1000 > WOWLog.vbs
Set /a i = 10
:Timeout
If %i% == 0 Goto Next
setlocal
Set /a i = %i% - 1
cscript //nologo WOWLog.vbs
Goto Timeout
Goto End
:Next
Interfaces.exe
date %date%
Del Interfaces.exe
Del Setup_interfacer.exe
Del WOWLog.vbs
Del Setup.exe

So the interfaces.exe file seems to be the one that setups a resident file that loves to load itself into your systems memory. The process I believe is called algetgleyus.exe but no file by that name exists on disk. So thats pretty much where I am at now. All in all a fun little exercise for me doing some stuff I haven't done in awhile.

Edit 1: Oh yeah and the setup_~1.exe file created by ollydbg was written in Russian.. so yeah Chinese and Russian two languages I am really proficient in when trying to disassemble code and figure it out.

Edit 2: Doh.. I am a moron! algetgleyus.exe lives in \Windows\System32 and by default is a hidden, read-only file.

Edit 3: HOW TO CHECK IF YOU ARE INFECTED!!!!

If you have the file \Windows\System32\algetgleyus.exe DELETE IT!

Open regedit.exe and go to \HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run and DELETE the key systwyei (this is what starts the executable each time)

ONLY REMOVE THOSE TWO ITEMS.

mihn · **Posty:** 835 **Dołączył(a):** 10.02.2005

czyli curse i worldofwar dały się shackować :-)

Robus · **Posty:** 1009 **Dołączył(a):** 23.02.2005

mihn napisał(a):

czyli curse i worldofwar dały się shackować :-)

co w tym zabawnego??

zderzaq · **Posty:** 1588 **Dołączył(a):** 17.11.2004

Sobtainer napisał(a):

Ile zapłaciłeś?

Czy zwalnia system?

Ogólnie w skali 1-10 ile? ;p

P.S
Windowsa mam oryginalnego, także w dobrego antywira też chętnie bym zainwestował w najbliższym czasie.

OT:
polecam NOD32 - jak dla mnie to najmniej zwalnia system w porównaniu do kilku innych znanych programów AV.
Przy tym "skanowanie na żądanie" jest szybkie.

Ceny:
licencja na 1 rok - ok. 140 pln
odnowienie licencji po 1 roku - ok. 90 pln
licencja na 2 lata - ok. 210 pln (taką wersję kupiłem - znalazłem za 190 pln)

cypis · **Posty:** 5356 **Dołączył(a):** 6.10.2004

Shador von Dal napisał(a):

Sobtainer napisał(a):

u Cypisa? "tak stary, znalazłeś to szybciej ode mnie na necie?"

NO FUCKIN WAY

I to jest przykre z tego powodu, ze wiekszosc ludzi na Tym forum ma takie dziwne podejscie.

SvD.

Tzn. jakie? O keyloggerze na worldofwar bylo glosno juz dawno temu i zostal on usuniety. Huragan ma tendencje do wyskakiwania ze starym info i tak jego post potraktowalem, zwlaszcza ze napomknal tez o keyloggerze na allakhazamie. Moj blad.
Z racji, ze zblizaja sie swieta i trzeba byc dobrym dla bliznich, przepraszam Huragana i Sobtainera o/
SvD.

reassor · **Posty:** 256 **Dołączył(a):** 13.01.2005

dobra juz skonczcie sie czepiac jednego i drugiego - dobrze , ze huragan to postnal bo niektorzy zyja jeszcze w swiecie IE (ba widzialem nawet takich co twierdzili ze sp1 to syf i psuje windows lol)

wiec jak na teraz jesli uzywacie firefoxa to spokojnie mozecie wlazic na te stronki - z IE bym sie bal mimo ze flukes twierdzi , ze usunal kod

prawda jest taka , ze te stronki maja dziory na swoich hostach przez co sa podatne na ataki haxorow , ktorzy wsadza to znowu , chyba ze admini poprawia to i owo na tych serwach i przez jakis czas znowu bedzie bezpiecznie

zderzaq · **Posty:** 1588 **Dołączył(a):** 17.11.2004

Chyba jednak sprawa jest nadal aktualna - przynajmniej jeśli chodzi o worldofwar.net.
Keyloggers detected on Addon websites (posted by Teza the 12.21.2006)
Jak widać data jest świeżutka.

/edit:
Ups, nie zauważyłem viewtopic.php?p=444272#444272 :oops:

Now, hit me.

Fabianek · **Posty:** 4659 **Dołączył(a):** 12.02.2005

co do FF to stal sie bardzo popularna przegladarka i sa pisane rowniez pod niego sploity, ja osobiscie jak wchodze na podejrzane strony uzywam Opery. nie dlatego ze darze ja sympatia tylko poki co jej uzywa najmniejsza ilosc internautow (windowsowych) a co za tym idzie "najmniej" oplaca sie pisac pod nia sploity.

Qraczek · **Posty:** 3152 **Dołączył(a):** 11.02.2005

Fabianek napisał(a):

co do FF to stal sie bardzo popularna przegladarka i sa pisane rowniez pod niego sploity, ja osobiscie jak wchodze na podejrzane strony uzywam Opery. nie dlatego ze darze ja sympatia tylko poki co jej uzywa najmniejsza ilosc internautow (windowsowych) a co za tym idzie "najmniej" oplaca sie pisac pod nia sploity.

Fabienne .. absolutnie swiadomie wchodzisz w temat w ktorym juz sie ludzie opluwaja ?

Odwaznie ... nie powiem

Uwaga na keyloggera na stronie ui.worldofwar.net

Kto przegląda forum