НГС.Форум /Компьютеры Интернет Связь / Операционные системы и системное ПО /

Спам или вирус?

Печать RSS Деревом

buzzer
veteran
Сообщений: 1758
04.03.03 10:53
Периодически на экране появляется окно (см. файл). Кто-нибудь знает что это и как бороться? Операционка win2k.
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям
PoisoN
activist
Сообщений: 385
04.03.03 11:07Ответ на сообщение Спам или вирус? пользователя buzzer
Интересное сообщение.
А как оно появляется, в процессе чего, чем в этот момент занят комп?
КопироватьСсылка
Рассказать друзьям
buzzer
veteran
Сообщений: 1758
04.03.03 11:11Ответ на сообщение Re: Спам или вирус? пользователя PoisoN
Появляется в случайное время независимо от того, чем комп занят. Приходит через application popup (см. файл).
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям
hidden
experienced
Сообщений: 905
04.03.03 11:23Ответ на сообщение Re: Спам или вирус? пользователя buzzer
запрети службу сообщений и/или поставь personal firewall.
Gott weiss ich will kein Engel sein
КопироватьСсылка
Рассказать друзьям
buzzer
veteran
Сообщений: 1758
04.03.03 11:27Ответ на сообщение Re: Спам или вирус? пользователя hidden
1. Служба сообщений нужна.
2. А какой порт закрывать?
3. И вообще, что это все-таки? Спам?
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям
Stalker
IT-нечисть
Сообщений: 6188
04.03.03 11:44Ответ на сообщение Re: Спам или вирус? пользователя buzzer
Ставь себе ZoneAlarm, OutPost или AtGuard - и будет тебе щасье
Wir werden alle sterben
КопироватьСсылка
Рассказать друзьям
Full
guru
Сообщений: 2561
04.03.03 11:47Ответ на сообщение Re: Спам или вирус? пользователя buzzer
1. Ну тогда пусть живет
2. Закрой все входящие на порты ниже 1024
Служба сообщений работает... мням-мням... не помню точно, но где то на уровне портов 137-139
3. Спам и дырка в безопасности

---
Full http://full.nm.ru
-------
Семейный патологоанатом
КопироватьСсылка
Рассказать друзьям
buzzer
veteran
Сообщений: 1758
04.03.03 11:56Ответ на сообщение Re: Спам или вирус? пользователя Full
Из 137-139 только 139 (netbios) открыт.
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям
Анонимный пользователь
04.03.03 18:07Ответ на сообщение Спам или вирус? пользователя buzzer
загляни сюда...

неплохая тулза под винды, которая вычищает трояны, жучки и прочую шваль, что любит садиться после посещения всяких "интересностей" в инете, типа "ххх" и т.п.

и у тебя определённо такой жучок сидит ... штучка, которую антивирусники обычно не "видят"...

и потом, файервольчик - вещчь тоже нужная
КопироватьСсылка
Рассказать друзьям
Анонимный пользователь
05.03.03 16:37Ответ на сообщение Re: Спам или вирус? пользователя Анонимный пользователь
А какая именно?
КопироватьСсылка
Рассказать друзьям
Крыска
unreal
Сообщений: 119370
05.03.03 16:55Ответ на сообщение Спам или вирус? пользователя buzzer
Эта фигня шлется командой net send
Проходит на все компьютеры домена, на которых запущен сервис Messenger (по-русски Служба сообщений).
Это не вирус, это спам, однозначно.

Как лечить, уже написали... Или стопануть сервис, или настраивать файрволл.

Удивительно, что до такой простой вещи спамеры не додумались намного раньше...
КопироватьСсылка
Рассказать друзьям
Анонимный пользователь
05.03.03 17:14Ответ на сообщение Re: Спам или вирус? пользователя Анонимный пользователь
любая из них... "лекарство"(кейгенерялку) поисчи в инете...
КопироватьСсылка
Рассказать друзьям
Анонимный пользователь
05.03.03 17:17Ответ на сообщение Re: Спам или вирус? пользователя Крыска
умничка

вопрос попутно - сервис Messenger
понимает разметку и стили? ))))))
КопироватьСсылка
Рассказать друзьям
buzzer
veteran
Сообщений: 1758
05.03.03 17:23Ответ на сообщение Re: Спам или вирус? пользователя Крыска
Спасибо за исчерпывающую информацию!
А все-таки, какой порт закрывать надо? Кто-нибудь знает? Неужели netbios?
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям
Крыска
unreal
Сообщений: 119370
05.03.03 17:27Ответ на сообщение Re: Спам или вирус? пользователя Анонимный пользователь
Скорее всего... Ведь сообщение-то появляется в его окне.
КопироватьСсылка
Рассказать друзьям
Анонимный пользователь
05.03.03 18:09Ответ на сообщение Re: Спам или вирус? пользователя Крыска
Крыска, если ты глянешь на формочку с сообщением, то увидишь, что там текст:
- форматирован + применены различные стили.

так что имеем отдельно сделанную форму, умеющую выводить текст с разметкой. Кстати подобным образом выводится похожая байда (токо на инглише), если поставить себе DivX Pro 5.x, тот, где показ рекламы не "выкушен"...

и потом, виндовая команда net send, насколько мне известно, такой текст ни передать, ни потом вывести не смогёт...
КопироватьСсылка
Рассказать друзьям
Крыска
unreal
Сообщений: 119370
05.03.03 19:11Ответ на сообщение Re: Спам или вирус? пользователя Анонимный пользователь
Эта ерунда приходит на компы без всякого DivX...

Ясно, что шлется оно не самим net send, но чем-то вроде.

А что касается мессенджера, то думаю, что он умеет выводить и форматированный текст. Почему бы и нет...
КопироватьСсылка
Рассказать друзьям
Анонимный пользователь
06.03.03 09:13Ответ на сообщение Re: Спам или вирус? пользователя Крыска
Крыска, про DivX - это всего лишь частный пример был

в остальном - как жаль, что ты-то, ты а никто иной, не выявила проблемку...
КопироватьСсылка
Рассказать друзьям
hidden
experienced
Сообщений: 905
06.03.03 09:22Ответ на сообщение Re: Спам или вирус? пользователя Анонимный пользователь
В ответ на: в остальном - как жаль, что ты-то, ты а никто иной, не выявила проблемку...
перечитал неоднократно. буквы складываются в слова, слова во фразу, смысл ускользает.
чё за ботва? (с)
Gott weiss ich will kein Engel sein
КопироватьСсылка
Рассказать друзьям
Крыска
unreal
Сообщений: 119370
06.03.03 15:55Ответ на сообщение Re: Спам или вирус? пользователя hidden
Я не вижу проблемы. Закрыть порт, и нет проблем.
КопироватьСсылка
Рассказать друзьям
buzzer
veteran
Сообщений: 1758
09.03.03 00:37Ответ на сообщение Re: Спам или вирус? пользователя Анонимный пользователь
В ответ на: неплохая тулза под винды, которая вычищает трояны, жучки и прочую шваль, что любит садиться после посещения всяких "интересностей" в инете, типа "ххх" и т.п.
Спасибо за ссылку. Много эта программка у юзеров чего понаходила. В карантин упрятала. Хотя все это было неактивно, просто лежало, ждало своего часа. Я думаю, все равно не дождалось бы, кто его из-под админа запустит-то?
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям
buzzer
veteran
Сообщений: 1758
09.03.03 01:00Ответ на сообщение Re: Спам или вирус? пользователя Крыска
В ответ на: Я не вижу проблемы. Закрыть порт, и нет проблем.
Простите великодушно, но не подскажете ли чайнику (то есть мне), какой точно (в граммах :)) порт закрывать? 139-й или какой-то еще?
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям
Крыска
unreal
Сообщений: 119370
09.03.03 12:58Ответ на сообщение Re: Спам или вирус? пользователя buzzer
http://cterra.vrn.ru/view_news.asp?id=1021

[29.10 11:05] ТЫ ИХ В ДВЕРЬ,ОНИ В ОКНО.
Среди обитателей Интернета давно уже гуляет популярное присловье, что ОС Windows — это один большой «троянец».

Не так давно компания Direct Advertiser.com в очередной раз продемонстрировала, насколько злая шутка недалека от истины, разработав инструмент для массовой рассылки анонимного спама, замаскированного под системные предупреждения. Заманчивой программой-новинкой за 700 долларов тут же заинтересовались ушлые спамеры, и вот уже пользователи Windows, отгороженные от сети файрволом, начали обнаруживать на своих экранах окна, приглашающие купить вузовский диплом или посетить «веселенький веб-сайтик».
Как показало исследование программы DirectAdvertiser, по сути своей она является инструментом NetBIOS-атак и способна проталкивать спам-пакеты в машину жертвы с помощью функций дистанционного сетевого администрирования RPC (Remote Procedure Call). Обычно это происходит через порты 137 (NetBIOS name service) и 138 (NetBIOS UDP). Если же обнаруживается, что файрволом эти порты заблокированы, то используется порт 135 (DCE/RPC), который часто оставляют открытым, поскольку он требуется для работы сервисов с удаленным вызовом процедур. В частности, уязвимыми для «NetBIOS-спама» оказались практически все компьютеры, на которых работает Windows-сервис Messenger, позволяющий системным администраторам рассылать сообщения пользователям сети (не путать с чат-клиентом MSN Messenger). Поэтому простейший путь защититься от мусорных окон — просто отключить на машине Windows Messenger. Если же сервис необходим, то придется более тщательно настроить фильтрацию порта 135. Ну, а если и этот путь неприемлем, то компания Direct Advertiser обещает выдать собственные рекомендации по блокированию навязчивой рекламы, но лишь при личном обращении «жертвы».
КопироватьСсылка
Рассказать друзьям
Анонимный пользователь
09.03.03 16:00Ответ на сообщение Re: Спам или вирус? пользователя Крыска
вот это уже другое дело
КопироватьСсылка
Рассказать друзьям
buzzer
veteran
Сообщений: 1758
09.03.03 16:22Ответ на сообщение Re: Спам или вирус? пользователя Крыска
Спасибо за помощь!
135-й был открыт. Сейчас проверим, будет ли идти спам без доступа по 135-му.
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям
Full
guru
Сообщений: 2561
12.03.03 17:51Ответ на сообщение Re: Спам или вирус? пользователя buzzer
Дык ты только сначала определись, нужны ли тебе входящие на порты ниже 1024 вообще.
если нет, то и прибивай их нафиг :))
На моем файрволе так все и закрыто, во избежание, т.с. :))

---
Full http://full.nm.ru
-------
Сисадминов нужно убивать пока они ещё чайники !!!!
КопироватьСсылка
Рассказать друзьям
buzzer
veteran
Сообщений: 1758
12.03.03 18:01Ответ на сообщение Re: Спам или вирус? пользователя Full
Нужны 21, 80 и 139 из тех, что ниже 1024. Я боялся, что эта гадость через 139-й лезет. Но сейчас Крыска все прояснила.
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям
Full
guru
Сообщений: 2561
12.03.03 19:56Ответ на сообщение Re: Спам или вирус? пользователя buzzer
Гхм....
Входящие 20, 21, 80 - понятно, их порт-маппингом бросать куда надо. А 139 во внешней сети то зачем?

---
Full http://full.nm.ru
-------
Скажи мне, халявщик, любимец Богов...
КопироватьСсылка
Рассказать друзьям
buzzer
veteran
Сообщений: 1758
13.03.03 00:44Ответ на сообщение Re: Спам или вирус? пользователя Full
А сеть Микрософт разве не через него работает?
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям
Full
guru
Сообщений: 2561
13.03.03 13:22Ответ на сообщение Re: Спам или вирус? пользователя buzzer
Через него самого, но это ж у тебя выход во ВНЕШНЮЮ сеть, то бишь в тырнет. Нафига тебе там сеть мелкомягких?

---
Full http://full.nm.ru
-------
Скажи-ка, тетя, ты не даром?
КопироватьСсылка
Рассказать друзьям
buzzer
veteran
Сообщений: 1758
13.03.03 13:46Ответ на сообщение Re: Спам или вирус? пользователя Full
Было дело, когда несколько наших машин были вне нашей сетки (физически). А им тоже хотелось иметь доступ не только по ftp. То есть "по историческим причинам" это осталось. Надо будет закрыть. А вот 135-й зачем был открыт - сам не понимаю. $:а\?:$
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям
Full
guru
Сообщений: 2561
13.03.03 14:46Ответ на сообщение Re: Спам или вирус? пользователя buzzer
epmap 135/tcp loc-srv #DCE endpoint resolution
epmap 135/udp loc-srv #DCE endpoint resolution
netbios-ns 137/tcp nbname #NETBIOS Name Service
netbios-ns 137/udp nbname #NETBIOS Name Service
netbios-dgm 138/udp nbdatagram #NETBIOS Datagram Service
netbios-ssn 139/tcp nbsession #NETBIOS Session Service

Так что для полноценной работы сети тебе потребуется 137-139 порты, как я понимаю

---
Full http://full.nm.ru
-------
Сколько Вашему сорванцу? Шестнадцать? Да, аборт делать уже поздно...
КопироватьСсылка
Рассказать друзьям
buzzer
veteran
Сообщений: 1758
14.03.03 01:49Ответ на сообщение Re: Спам или вирус? пользователя Full
На выходных потестирую, но вроде бы 139-го всегда хватало. $:а\?:$
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям
Full
guru
Сообщений: 2561
14.03.03 09:25Ответ на сообщение Re: Спам или вирус? пользователя buzzer
Ну тогда хоть адресацию той сети прописывай в конфигурации, а то как то всем давать доступ по 139 порту, сие не есть гуд, как мне кажется....

---
Full http://full.nm.ru
-------
Сколько водки не бери, все равно два раза бегать.
КопироватьСсылка
Рассказать друзьям
buzzer
veteran
Сообщений: 1758
16.03.03 00:42Ответ на сообщение Re: Спам или вирус? пользователя Full
Я же говорю, что это оставалось по историческим причинам. Сейчас уже все закрыто. Наглухо. Вот уже несколько дней как. Благодаря добрым советам, полученным здесь.
Кстати, протестировал доступ по микрософтовской сети: хватает одного 139-го.
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям
formalist
veteran
Сообщений: 2665
31.03.03 19:45Ответ на сообщение Re: Спам или вирус? пользователя buzzer
Вот тут наткнулся на материальчик. Вдруг что новое для себя найдешь.

Новый вид спама

В последнее время все большее распространение получает новый вид спама - рассылка сообщений через службу messenger (по умолчанию она запущена на Win2000 и WinXP). Сообщения при этом появляются в выскакивающих окошках, похожих на стандартное сообщение об ошибке.

Для того чтобы защититься от таких сообщений вы можете остановить сервис messenger (на одиноко стоящих машинах это не должно ни на что повлиять, а в корпоративной сети, где эта служба эксплуатируется сисадмины обычно блокируют такие сообщения еще на входе). Альтернативой может служить установленный файрволл, закрывающий порт 135 (а заодно и 139).

Дополнительную информацию можно получить по адресам:
http://support.microsoft.com/default.aspx?scid=kb;[LN];Q330904
http://www.chebucto.ns.ca/~rakerman/trojan-port-table.html
КопироватьСсылка
Рассказать друзьям
buzzer
veteran
Сообщений: 1758
31.03.03 20:20Ответ на сообщение Re: Спам или вирус? пользователя formalist
С тех пор, как закрыл 135-й, ни одна зараза еще не пролезла (вот уже больше, чем полмесяца). Всем спасибо за помощь.
Ваш клич безумен. Мне с вас смешно. Ведь я же умер. Причем давно. ©
КопироватьСсылка
Рассказать друзьям

НГС.Форум /Компьютеры Интернет Связь / Операционные системы и системное ПО /

Перейти в форум

открыть в новом окне

Модераторы: