Поддельный ресурс компании Microsoft - Общий форум по информационной безопасности - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

AlexxSun

Доброе утро, коллеги!

Одна из фирм выиграла конкурс на поставку операционной системы на наше предприятие. Ей, в качестве подтверждения лицензионности поставки ОС, был предоставлен документ под наименованием «Microsoft Open License». В качестве ресурса для получения ключа активации операционной системы в графе «Ключ продукта» указан сайт _http://eopen-microsoft.com

Данный ресурс сразу же вызвал подозрение, более того — посещение этого ресурса было заблокировано эвристическим компонентом KIS.

По факту срабатывания антивируса мной был создан запрос в Лабораторию Касперского, ответ на запрос был однозначный — сайт является фишинговым, данные о клоне были внесены в антивирусные базы всех продуктов компании.

Далее стало ещё веселее — 19 мая пытаюсь открыть данный сайт, мне выдаётся сообщение, что сайт заблокирован администрацией хостера. Хостер находился (на тот момент) на Украине. Вчера попытался снова открыть этот сайт — он открывается! Сделал запрос к сервисам Whois, получается что поддельный сайт переехал в Канаду :blink: И снова благополучно работает. Вот только данные с той бумажки, которую нам предоставил поставщик уже не принимает.

Мне очень интересно — как злоумышленникам с такой скоростью удаётся переезжать с хостинга на хостинг?

По части фишингового ресурса отправил запросы в компании Доктор Веб и Eset, пока не получил от них ответа. Данные с Вирустотала говорят о том, что пока только два антивирусных продукта детектируют указанный ресурс как вредоносный.

И ещё вопрос — каким образом в Microsoft сообщить(сообщать) о возобновлении работы поддельного сайта?

eopen_microsoft_com002.png

eopen_microsoft_com004.png

post-3858-1400722378_thumb.png

post-3858-1400722385_thumb.png

  • Downvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mvs

если цель запретить поставщику участвовать в госзакупках - то через правоохранительные органы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
UIT

Не то чтобы совсем понял Вашу ситуацию, когда есть выбор, закупаю практически всё всегда только в овеществлённом виде - коробках из картона/конвертах/пластиковых боксах. Так, помимо документации, во владении есть и понятное материальное подтверждение со всякими сильно важными наклейками и прочим. В остальные программы лицензирования вникаю мало, да и необходимости совсем нет.

Полистайте на сайте Майкрософта, там мне встречалась информация про куда жаловаться на нарушителей прав - это должно подойти. Или позвоните в службу поддержки. Бумажки от поставщика программного продукта у Вас есть, пусть корпорация Майкрософт разбирается в ситуации и посоветует в случае необходимости дальнейшие действия.

*Вы приобрели ПО у победителя конкурса?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexxSun

Вы прекрасно рассказали, как покупать операционку, но не предложили решения как быть с поддельным сайтом Майкрософт. В службу поддержки уже позвонил, служба подтвердила, что таких данных, которые указаны на сертификате, в Microsoft нет. Но слова, как всем известно, к делу не подошьёшь.

  • Downvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexxSun

Произошло некоторое оживление с данным поддельным ресурсом — при попытке его открытия происходит перенаправление на сайт

www.licensing-servicecenter.com

Кстати, Eset занёс в свои базы оба этих поддельных ресурса.

Сайт снова расположен на украинском хостинге.

licensing_servicecenter.png

post-3858-1400767656_thumb.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
UIT

Это не рассказ о правильной покупке, а пояснение о том, что я ограниченно понимаю Вашу ситуацию и стремление в первую очередь что-то сделать с сайтом. Ибо хотел написать больше.

Картинка сложилась где-то примерно в таком направлении: Вы собираетесь или уже оплатили ПО. Подтверждать легальность ПО будете документом - который ничего не подтверждает. Нелицензионное ПО. ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexxSun

Мы ничего не оплатили мошенникам. Более того, сегодня пришёл наконец-то ответ от юридической фирмы, представляющей интересы компании Microsoft, в котором написано — сайт не принадлежит компании Microsoft, и сам сертификат является контрафактным.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      Да есть такой баг, выбор целого диска не предусмотрел.
    • PR55.RP55
      Сейчас попробовал добавить файлы и... E:\ [Error: 0x3 - The system cannot find the path specified. ] т.е. Файл > Добавить в список >  Все исполняемые файлы каталога. или пишет вышеуказанную ошибку или вешается. Это и на Win 7 и на Win 10 и с HDD дисками и с USB Диски нормально открываются т.е. доступны.
    • demkd
      А ничего с этим не сделать старые версии windows проблемные там система сама балуется внедрением потоков при очень низком уровне защиты системных процессов, а эцп вообще ничего не гарантирует когда речь заходит о внедренных потоках, зловред вполне может внедрить поток в системный процесс как с помощью подкинутой в правильное место "легитимной" dll, так и просто создав его, а тот уже в свою очередь внедрить в следующий системный и ищи концы среди вот этого вот всего.
      Все это усугубляется тем что тот же SVCHOST.EXE который был когда запущен может оказаться совсем не системным, хотя путь у него будет правильным как и файл будет иметь валидную эцп и запущен он будет якобы services.exe, в 10ке такое провернуть уже сложнее, а вот 7ке легко, потому урезать лог по принципу "оба файла имеют эцп" никак нельзя.
    • PR55.RP55
      uVS v5.0.6v x64 [http://dsrt.dyndns.org:8888]: Windows 7 Home Basic x64 (NT v6.1 SP1) build 7601 Service Pack 1 [C:\WINDOWS] (!) ПРЕДУПРЕЖДЕНИЕ: Ф зафиксировал внедрение потока C:\WINDOWS\SYSTEM32\SERVICES.EXE [428] внедрил поток [380] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [876]   C:\WINDOWS\SYSTEM32\SVCHOST.EXE [1060] внедрил поток [1276] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [336] и т.д.  А есть ли смысл выводить в лог десяток - другой аналогичных записей, если все эти файлы  в базе проверенных и у них легальная цифровая?  
    • demkd
      ---------------------------------------------------------
       5.0.6
      ---------------------------------------------------------
       o Добавлено 4 новых ключа автозапуска в список для проверки.

       o Добавлен новый статус "UWP".
         Его получают пакеты приложений универсальной платформы Windows (Universal Windows Platform Apps).

       o Добавлен новый твик #46: Отключить Windows Terminal и очистить реестр.
         Если Windows Terminal активен, в лог выдается предупреждение.
         При обнаружении подозрительных настроек Windows Terminal в конфигурационных файлах, реестре или в каталогах с фрагментами в лог выводится предупреждение.
         Если подозрительная строка найдена в JSON-файле настроек, то в список автозапуска добавляется этот файл с содержимым со статусом "подозрительный".
         В любом случае рекомендуется отключить Windows Terminal, а еще лучше немедленно удалить это из системы.
         Windows Terminal — крайне уязвимый и неоптимизированный кусок кода.

       o Улучшена функция масштабирования удаленного рабочего стола, повышено качество аппаратного апскейла, добавлен параметр "Резкость".
         (Требуется D2D и DX11 на клиентском компьютере)

       o Исправлена старая ошибка в функции отправки ответов серверной части uVS.
         Из-за ошибки в редких случаях могло происходить подвисание серверной и клиентской частей uVS при работе с удаленной системой.

       o Исправлена ошибка в функции завершения серверной части при выходе из удаленной системы.

       o Оптимизирована функция подключения к удаленной системе.

       o Оптимизирована функция сжатия фреймов для DDAL/DDAw режимов: шрифты теперь не теряют яркость, а картинка DDAL практически неотличима от DDA1/DDA2 на глаз, 
         при этом размер сжатого фрейма вырос лишь незначительно.

       o Добавлена x64 версия report_crash.

       o Обновалена функция сбора дампа при падении uVS, функция перенесена в утилиту report_crash, что позволит
         получить максимально точную информацию о произошедшей ошибке.

       o Временно добавлена аппаратная функция обнаружения разрушения списка автозапуска в памяти uVS, что позволит отлавливать сложные в обнаружении ошибки.
         Есть 5 дампов, по которым не удалось выяснить точное место ошибки и эта функция должна помочь найти проблемное место.
         Функция снижает скорость формирования списка на ~5% на современных процессорах.

       o Исправлена ошибка в функции подсчета удаленных ключей реестра.

       o Исправлена ошибка в функции записи параметров при выходе из uVS.

       o Исправлена ошибка разбора JSON-файлов.

       o Исправлена ошибка проверки переменных окружения загруженного пользователя.

       o Из списка доступных для подключения IP-адресов удалены адреса активных VPN.

       
×