среда, 27 июля 2011 г.
вторник, 26 июля 2011 г.
среда, 20 июля 2011 г.
Trojan.DownLoader4.15953 на номер U465011147538
U465011147538
код: 1G@h3J$k
-распаковываем
-ищем код _TForm1_Button1Click proc а ниже будет
@Controls@TControl@GetText$qqrv ; Controls::TControl::GetText(void)
Спасибо EP_X0FF, напомнил про _TForm1_Button1Click, тоже самое было в первых синих баннерах с кнопками
понедельник, 18 июля 2011 г.
В 5 утра без обьявления войны
Сегодня с утра без обьявлении войны был закрыт доступ к ящику на mail.ru, а к нему была привязана страничка с фотками винлоков http://foto.mail.ru/mail/mrbelyash/WinLock
Попытка получить адекватный ответ не овенчалась успехом.
Далее переписка
Ссылка на пользовательское соглашение с майлсру http://help.mail.ru/mail-help/UA
После прочтения такого списка требований все таки так и не понял причину бана.
-------------------------------------------------------------------------------------
Возможно это было связано с вот этим http://foto.mail.ru/mail/mrbelyash/WinLock/147.html#
Переходим по ссылке http://wvvw.ucoz.ru/gb/#sign
Там без валидации аккаунта пишем отсебятину на любого человека и ставим любой имейл.
Далее прроверяем http://www.cgi2you.com/guestbook/1_view_demo4.html там тоже без регистрации пишем на любого человека.
для примера просто ставим туда корпоративку поддержки майлру
Ха,а вот еще фотки корректор кинул
Как видно с ящика даже ничего не рассылалось,т.к. RFC не предоставили....тупо по каментам на голимых гостевых. Суппорт майла жгет
Кстати на моей же почте есть письмецо
--------------------
Собственно далее сказать нечего, спасибо суппорт майл.ру
На страницу http://foto.mail.ru/mail/mrbelyash/WinLock собственно что-либо добавить больше не могу, каменты тоже удалять не могу...новые скриншоты и коды тоже соответствено добавлять не смогу.
Цель была одна: в кратчайшие сроки разобраться с проблемой и уяснить какой винлок, а после помочь пользователю...
--------------------------------------------------------------------------------------------------------------------------
Страничка закрыта и больше не поддерживается!
Открыто :)
Попытка получить адекватный ответ не овенчалась успехом.
Далее переписка
Ссылка на пользовательское соглашение с майлсру http://help.mail.ru/mail-help/UA
После прочтения такого списка требований все таки так и не понял причину бана.
-------------------------------------------------------------------------------------
Возможно это было связано с вот этим http://foto.mail.ru/mail/mrbelyash/WinLock/147.html#
Переходим по ссылке http://wvvw.ucoz.ru/gb/#sign
Там без валидации аккаунта пишем отсебятину на любого человека и ставим любой имейл.
Далее прроверяем http://www.cgi2you.com/guestbook/1_view_demo4.html там тоже без регистрации пишем на любого человека.
для примера просто ставим туда корпоративку поддержки майлру
Ха,а вот еще фотки корректор кинул
Как видно с ящика даже ничего не рассылалось,т.к. RFC не предоставили....тупо по каментам на голимых гостевых. Суппорт майла жгет
Кстати на моей же почте есть письмецо
--------------------
Собственно далее сказать нечего, спасибо суппорт майл.ру
На страницу http://foto.mail.ru/mail/mrbelyash/WinLock собственно что-либо добавить больше не могу, каменты тоже удалять не могу...новые скриншоты и коды тоже соответствено добавлять не смогу.
Цель была одна: в кратчайшие сроки разобраться с проблемой и уяснить какой винлок, а после помочь пользователю...
--------------------------------------------------------------------------------------------------------------------------
Открыто :)
понедельник, 4 июля 2011 г.
Trojan.Winlock.3523
-Распаковываем с помощью QuickUnpack2.2
-нажимаем Next несколько раз
-нажимаем YES
-ставим указанные галки
-нажимаем распаковать (внимание....если при распаковке появятся битые секции-красным веделены,то галки снять и повторить все заново...здесь нужно пробывать)
-все ок.нажимаем сохранить
Все,на этом распаковка закончена.
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
-полученный файл сохраняем в другом месте и перезапускаем виртуалку
-перетягиваем распакованный файл на ольку
-ставим бряку F2 на
0040197B FF15 FC024200 CALL DWORD PTR DS:[<&shell32.ShellExecut>; shell32.ShellExecuteW
(иногда эти секции могут быть не видны..раз 7-8 нажимаем F7....потом через контекстное меню Search for ===>All referensed text string)
-вводим bpx get и нажимаем ввод
-находим TepminateProcess и дважды щелкаем по нему
-теперь в окне ищем чуть выше
00401231 FF15 14034200 CALL DWORD PTR DS:[<&shlwapi.StrCmpW>] ; SHLWAPI.StrCmpW
-ставим на строчке бряку F2
-запускаем процесс F9
-появится окно баннера..вводим любой текст...например 11111
Как видно на рисунке код PLAYBOY
Вот видео как распаковать и достать код
Это видео с каментами можно скачать отсюда http://rghost.ru/33065501
Внимание! Видео в формате исполняемого файла.
-------------------------------
Коды для него
9687639596 => VERONIKA
9057860783 => VERONIKA
9057860628 => VERONIKA
9057860638 => VERONIKA
9032809254 => VERONIKA
9057860324 => VERONIKA
9872767422 => OLD
9872701746 => YANDEX
9872883297 => YANDEX
9872701573 => YANDEX
9872696220 => MIX
9872696223 => MIX
9872696215 => MIX
9057861307 => UPLOADS
9651894161 => RABOTAET
9651894844 => EXCEL
9670670916 => EXCEL
9670670994 => EXCEL
9651894839 => EXCEL
9057266217 => EXCEL
9670671067 => EXCEL
9057861748 => EXCEL
9057265727 => EXCEL
9057265728 => EXCEL
9670670344 => PARALLEL
9032802710 => SUPRA
9057265850 => SUPRA
9057861629 => SUPRA
9057861317 => SUPRA
9032798940 => SUPRA
9057241915 => SUPRA
9032802710 => PIZDEZ
9057265850 => PIZDEZ
9057861629 => PIZDEZ
9057861317 => PIZDEZ
9032798940 => PIZDEZ
9057266137 => PIZDEZ
9057241915 => PIZDEZ
9057861756 => ZERKALO
9670670569 => ZERKALO
9670670535 => ZERKALO
9057861725 => ZERKALO
9057861933 => FANTAGIRL
9670671259 => FANTAGIRL
9057861942 => FANTAGIRL
9057241915 => FANTAGIRL
9670671007 => GRANATINKA
9057861942 => GRANATINKA
9057251172 => GRANATINKA
9651894841 => GRANATINKA
9057861644 => GRANATINKA
9032799084 => GRANATINKA
9688586090 => IDIVJOPU
9652265929 => BELGIUM
9099417118 => BELGIUM
9099417146 => BELGIUM
9652265922 => PITERSTAR
9652265941 => PITERSTAR
9099417172 => PITERSTAR
9652265755 => PITERSTAR
9057251172 => PITERSTAR
9687639571 => PITERSTAR
9688586090 => PITERSTAR
9670670608 => PITERSTAR
9652265755 => LOCKERFUCK
9652265922 => LOCKERFUCK
9670670608 => LOCKERFUCK
9099417172 => LOCKERFUCK
9652265941 => LOCKERFUCK
9652265687 => LOCKERFUCK
9652265663 => LOCKERFUCK
9099417146 => CAPSLOCKER
89687639702 => BELGIUM
89652265929 => BELGIUM
89099417118 => BELGIUM
89099417146 => BELGIUM
89099417096 => BELGIUM
89652265845 => BELGIUM
89670670608 => PITERSTAR
9687639701 => KATERINA
9652265826 => KATERINA
9688586093 => KATERINA
9687639703 => KATERINA
9687639704 => KATERINA
9652265845 => BELGIUM
9687639704 => KATERINA
9099417201 => BELGIUM
9652265930 => KATERINA
9057227643 => ALBINA
9057860703 => ALBINA
9057861993 => ALBINA
9057860779 => ALBINA
9652265930 => ALBINA
9057859605 => ALBINA
9057860324 => NASTYA
9057860638 => NASTYA
9057860628 => NASTYA
9057860783 => NASTYA
9687639596 => NASTYA
9032809254 => NASTYA
9651893182 => PAHUCHKA
9057859680 => PAHUCHKA
9096884510 => KROVAT
9096885670 => KROVAT
9096884583 => KROVAT
9057859680 => KROVAT
9096884476 => KROVAT
9096884480 => KROVAT
9096885649 => KROVAT
9096885743 => KROVAT
9096884480 => BOXXX
9671254097 => BOXXX
9671248652 => BOXXX
9671254801 => BOXXX
9671254929 => BOXXX
9096884350 => BOXXX
9671251466 => PHONES
9671251267 => PHONES
9671254097 => PHONES
9671254929 => PHONES
9671254801 => PHONES
9096884643 => PHONES
9629486249 => ULTRA
9629486269 => ULTRA
9629486265 => ULTRA
9671254801 => ULTRA
9096884643 => ULTRA
9096884938 => FISHKI
9629486249 => FISHKI
9629486269 => FISHKI
9629486296 => FISHKI
9629486295 => FISHKI
9096884643 => FISHKI
9096884522 => FISHKI
9096884560 => FISHKI
9099416507 => ICQQQ
9099416524 => ICQQQ
9670645302 => ICQQQ
9099416468 => ICQQQ
9099416431 => ICQQQ
9099416715 => IWANTYOU
9099416505 => IWANTYOU
9099416501 => IWANTYOU
9671251218 => IWANTYOU
9099416431 => IWANTYOU
9671248713 => VODKA
9671255172 => VODKA
9671255239 => VODKA
9671250747 => VODKA
9057859629 => VODKA
9057859688 => VODKA
9688586435 => VODKA
9057254708 => VODKA
9687639594 => ELKA
9652265782 => ELKA
9057859469 => ELKA
9057860280 => ELKA
9057227812 => JULY
9651893052 => JULY
9057859838 => JULY
9057859718 => NOKIA
9057859741 => NOKIA
9057859838 => NOKIA
9670645318 => NOKIA
9057859762 => NOKIA
9057229349 => NOKIA
9057230092 => SMERT
9057859762 => SMERT
9057229349 => SMERT
9096884977 => AIRBUS
9671250722 => AIRBUS
9096884975 => AIRBUS
9671254717 => KIROV
9671250431 => KIROV
9096884967 => KIROV
9671250471 => LENIN
9096884823 => LENIN
9096885732 => LENIN
9096885787 => SAFETY
9096885205 => SAFETY
9099416529 => SAFETY
9629486310 => DENDY
9670645329 => DENDY
9096885112 => DENDY
9096885112 => NOFACE
9096885134 => NOFACE
9629486310 => NOFACE
9096885143 => NOFACE
9096885157 => NOFACE
9096885174 => NOFACE
9096884280 => NOFACE
9096884302 => NOFACE
9096884319 => NOFACE
9688586130 => NOFACE
9651811833 => POEZD
9687636533 => POEZD
9096884319 => POEZD
9687635792 => POEZD
9687635776 => POEZD
9688586147 => POEZD
9672859061 => POEZD
9099416566 => MOIKA
9687635776 => MOIKA
9099416559 => MOIKA
9672859061 => MOIKA
9057160798 => NEWS
9099416559 => NEWS
9687635773 => NEWS
9687636535 => NEWS
9688586146 => NEWS
9687635773 => BASH
9672860173 => BASH
9099416559 => BASH
9687636535 => BASH
9687635773 => TUNNEL
9672860173 => TUNNEL
9672859970 => TUNNEL
9687636535 => TUNNEL
9687636534 => VINT
9672860932 => VINT
9672859970 => VINT
9688586135 => VINT
9687635768 => PULYA
9688586145 => PULYA
9672859970 => PULYA
9687639678 => PULYA
9687639593 => PULYA
9688586133 => PULYA
9688586134 => PULYA
9852469538 => NEWTEST
9852471089 => NEWTEST
9852484558 => NEWTEST
9152291942 => NEWTEST
9852378665 => SKUKA
9152488780 => SKUKA
9852484558 => SKUKA
9152291942 => SKUKA
9852945784 => STATUS
9152253976 => STATUS
9852484558 => STATUS
9852490863 => STATUS
9852491826 => STATUS
9152170928 => STATUS
9852927860 => UPLOAD
9852970942 => UPLOAD
9852484558 => UPLOAD
9852493642 => UPLOAD
9852927860 => CHECK
9852392678 => CHECK
9852493642 => CHECK
9178660195 => GENERAL
9178660306 => GENERAL
9872701738 => GENERAL
9179039124 => NEWSERVER
9179042684 => NEWSERVER
9872767421 => NEWSERVER
9179044485 => SLON
9872767408 => SLON
9874205158 => SLON
9178660259 => IDEA
9168284071 => IDEA
9872767418 => IDEA
9872767418 => KVAS
9872767411 => KVAS
9178660216 => KVAS
9179042702 => KVAS
9179039017 => KVAS
9179038848 => KVAS
9178660226 => PRINT
9178660233 => PRINT
9178660245 => IBIZA
9178660238 => IBIZA
9178660239 => IBIZA
9178660214 => KUKLA
9178660241 => KUKLA
9179042006 => KUKLA
9178660210 => KUKLA
9178660189 => KUKLA
9179042697 => LOSHAD
9178660189 => LOSHAD
9872701753 => LOSHAD
9179037970 => LOSHAD
9179045303 => SOK
9872767409 => SOK
9872767410 => SOK
9872701753 => SOK
9872767412 => SOK
9872767416 => BROWSE
9872767412 => BROWSE
9872767410 => BROWSE
9872767436 => JEKA
9872701755 => JEKA
9872701745 => JEKA
9872701736 => TWIX
9872701755 => TWIX
9872701740 => TWIX
9179041847 => GLAD
9179041826 => GLAD
9872883387 => GLAD
9179044863 => CALLER
9179041826 => CALLER
9872883387 => CALLER
9872883281 => SOBAKA
9872883273 => SOBAKA
9179041909 => SOBAKA
9872883351 => ENTER
9872696221 => ENTER
9179041909 => ENTER
9168281594 => KOROVA
9168226832 => KOROVA
9872701694 => KOROVA
9670670535 => PIZDEZ
9057861317 => PIZDEZ
9057265850 => PIZDEZ
9651893196 => CONTROL
9651894161 => PARALLEL
9651894765 => PARALLEL
9099417084 => FUCKOFF
9651893349 => EXCEL
9670670916 => EXCEL
9057266311 => EXCEL
9057861657 => EXCEL
9670671067 => EXCEL
9687639702 => BELGIUM
9099417096 => BELGIUM
9652265845 => BELGIUM
9099417201 => BELGIUM
9670670608 => LOCKERFUCK
9057860329 => TUPILO
9652266227 => TUPILO
9652266228 => TUPILO
9651893182 => TUPILO
9057859509 => TUPILO
9652265618 => TUPILO
9057859570 => PAHUCHKA
9057229839 => PAHUCHKA
9688586092 => PAHUCHKA
9652265618 => PAHUCHKA
9057859570 => SEXXX
9099416525 => SEXXX
9688586092 => SEXXX
9057859680 => SEXXX
9096884476 => SEXXX
9096884480 => SEXXX
9629486250 => ULTRA
9099416534 => SKYPE
9099416713 => SKYPE
9096884560 => SKYPE
9629486296 => SKYPE
9099416506 => SKYPE
9096884643 => SKYPE
9057860254 => BABAYAGA
9057229031 => BABAYAGA
9057860307 => BABAYAGA
9651893052 => BABAYAGA
9687639697 => BABAYAGA
9687639698 => KALYAN
9057860744 => KALYAN
9057227812 => KALYAN
9057266709 => KALYAN
9179037996 => BEALONE
9179041164 => BEALONE
9874113180 => MEDINA
9179041164 => MEDINA
9872767398 => FIRE
9179019106 => FIRE
9178992490 => CHANNEL
9874113154 => CHANNEL
9872701688 => LOADY
9179039061 => LOADY
9179044485 => MUSICRELAX
9872767419 => MUSICRELAX
9874205158 => MUSICRELAX
9872767411 => IDEA
9178660216 => IDEA
9872767394 => LOADY
9179038896 => PRINT
9178660236 => PRINT
9178660239 => PRINT
9872767420 => OLD
9872701745 => OLD
9872701741 => TWIX
9872767397 => TWIX
9179044590 => TRAIN
9178660218 => TRAIN
9179039147 => TRAIN
9179038015 => MADONNA
9179043966 => MADONNA
9179039147 => MADONNA
9872696216 => ENTER
9872696219 => ENTER
9872701694 => ENTER
9168282398 => ABOVE
9168293369 => ABOVE
9168271723 => ABOVE
9168281494 => LIFE
9168282499 => LIFE
9168282389 => LIFE
9652265929 => BELGIUM
9099417118 => BELGIUM
9099417146 => BELGIUM
9057861720 => SUPRA
9670964964 => WALKER
9032809671 => SHARP
9652494216 => LOLA
9670697072 => GARDEN
9651893567 => ELECTRA
9037075304 => TRAVKA
9037075298 => TRAVKA
9671255452 => POKER
9671255407 => POKER
9096694113 => BANK
9637734661 => POLYNOM
9629486180 => FRESH
9096694100 => GASH
9671254220 => SPAT
9671250401 => SPAT
9671250956 => SPAT
9057230834 => PEPSI
9654167422 => MALO
9032805492 => SCHOOL
9032805453 => SCHOOL
9032798454 => SCHOOL
9651895594 => SCHOOL
9651895594 => WORD
9032805988 => MAXXX
9651895797 => MAXXX
9651895304 => MAXXX
9651895594 => MAXXX
9651895206 => CAPS
9651895292 => CAPS
9651895745 => CAPS
9032806541 => CAPS
9057230750 => COCACOLA
9670669964 => URAL
9654167485 => ADMIN
9651895613 => LOGIN
9032799184 => LOGIN
9057861884 => LOGIN
9057861257 => LOGIN
9651895469 => NODAV
9651894857 => NODAV
9651895613 => NODAV
9670670493 => NODAV
9651893615 => PROJECT
9057861831 => PROJECT
9057266356 => PROJECT
9670671085 => PROJECT
9670670061 => BOTY
9670671161 => BOTY
9651893615 => BOTY
9670670132 => BOTY
9057861709 => DOWNLOAD
9057266414 => DOWNLOAD
9057230416 => DOWNLOAD
9651894211 => BOLITGOLOVA
9057344801 => BOLITGOLOVA
9651894245 => BOLITGOLOVA
9651893615 => BOLITGOLOVA
9037073909 => TRANCE
9057859866 => SVADBA
9651893039 => SVADBA
9651893541 => SVADBA
9651893536 => SVADBA
9651895718 => SPELL
9654171564 => PLAYBOY
9654227281 => PLAYBOY
9651893039 => PLAYBOY
9057439954 => PLAYBOY
9654226763 => NUMBERONE
9654226483 => PLAYGIRL
9057860244 => JUSTPING
9057228618 => JUSTPING
9670670879 => COMEON
9651893082 => CONTROL
9654226720 => CONTROL
9057860173 => REMOTE
9057861643 => UPLOADS
9057861307 => UPLOADS
9032809731 => UPLOADS
9670670344 => UPLOADS
9651894161 => PARALLEL
9651893195 => PARALLEL
9651894765 => PARALLEL
9670670344 => PARALLEL
9099417073 => FUCKOFF
9099417084 => FUCKOFF
9651894797 => FUCKOFF
9651893349 => EXCEL
9670670994 => EXCEL
9670670916 => EXCEL
9651894844 => EXCEL
9057265727 => EXCEL
9057266311 => EXCEL
9057861657 => EXCEL
9670671067 => EXCEL
89096884280 => NOFACE
89096884476 => KROVAT
9096562951 => THE TROOPER
Подписаться на:
Сообщения (Atom)