Перейти к содержанию
AlexxSun

Интересно, откуда берётся z-connect ?

Recommended Posts

AlexxSun

Новая волна звонков в Сан-Томе и Принсиппи и Швейцарию среди моих знакомых интернетчиков , которые используют подключение к инету через dial-up, натолкнула меня на мысль написать это сообщение. Виновником состоявшихся звонков стала новая звонилка в интернет, которая создаёт подключение по имени z-connect

Работа звонилки - при попытке соединения через ваше подключение происходит набор номера вашего провайдера, но через несколько секунд оно разрывается, и тут же без вывода диалоговых окон происходит новый набор номера по каналам международной связи.

Ранее появление таких звонилок на компьютерах пользователей было связано с посещением сайтов сомнительного содержания. Но мне подряд попались два компьютера, в истории браузеров которых кроме my.mail.ru и rambler.ru вообще ничего не было.

Поэтому у меня вопрос - как звонилка попадает на компьютер жертвы? Есть подозрение, что она использует последние достижения в технологии вирусописательства, а именно - обнаруженные и успешно эксплуатируемые авторами вируса Kido уязвимости в операционной системе MS08-067, MS08-068, MS09-001. Это одна из версий. Другие - рассылка ссылок на зараженный файл через почту, аську или майл агент.

Ссылки по теме: лечение и ещё лечение

Тема довольно активно обсуждается на форумах, можно посмотреть на Яндексе

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

Насколько я знаю, это так называемый drive-by download (то есть грузится без ведома пользователя). Даже там, где стояли заплатки Microsoft против Kido/Conficker он работает, так что: не уверен, что эти два - связаны. По моим наблюдениям, когда установлен Firefox и NoScript, то тогда z-connect запускается только там, где разрешены скрипты, и это преимущественно социальные сети. У одной 'пациентки' он запускался на Висте (в обходе включённого UAC) и только на форуме cosmo (форум для женщин), где тоже скрипты были разрешены. Укрепляется через файл 'autorun'. Модифицируется достаточно быстро, кажется. Поэтому симптомы могут быть разные у разных пользователей. Тот, который я видел был месяц назад.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001

Автозвонилки (дайлеры) после некоторой поры затишья нахлынули с новой силой. Но в большинстве своём, за редким исключением, они более рассчитаны на обычных интернет-пользователей.

z-connect именно из таких. Опытными пользователями убирается без особого труда при помощи HiJackThis и avz.

Садится на хвост браузеру, причём не только IE, Opera и FF, но и всем прочим, использующим движок IE.

Любит прятаться за стартовой страницей второй строчкой, потому в таких случаях в истории и не отображется.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexxSun

Принесли зараженный компьютер, с которого было произведено несколько звонков в дальние страны. Поиски выявили наличие вредоносных файлов, с которых и произошла, по всей видимости, инсталляция вредоносного сервиса автодозвона в папке C:\Documents and Settings\(Имя профиля), при помощи KAV определяются как Trojan.Win32.Dialer.vec и Trojan.Win32.Dialer.ext

Вот только непонятки с установкой - ни на реальной машине, на которой они были обнаружены, ни на VMware установить и достоверно отследить появление звоникли в сетевых подключениях не удаётся. Как убедиться, что именно эти файлы создают соединение?

connect.jpg

post-3858-1242489231_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Как убедиться, что именно эти файлы создают соединение?

1) Включить журнализирование всех исходящих соединений в файрволе.

2) Установить сниффер.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexxSun

Дело в том, что они не устанавливаются. На виртуалке выкидывает сообщение об ошибке приложения, на реальной ОС - о том, что память не может быть read :huh:

connect_002.jpg

post-3858-1242493745_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Дело в том, что они не устанавливаются. На виртуалке выкидывает сообщение об ошибке приложения, на реальной ОС - о том, что память не может быть read :huh:

Может быть они повреждённые. Или условия для установки не те. Или не они создали соединение, а что-то другое, которое их загрузило. Всё равно сниффер вставьте. Ошибки Microsoft'a мало что значат. Бывают такие 'ошибки', и что бы вы ни не нажимали (отправлять, не отправлять), это всё значит 'ОК'...

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sceptic
Дело в том, что они не устанавливаются. На виртуалке выкидывает сообщение об ошибке приложения, на реальной ОС - о том, что память не может быть read :huh:

сходи сюда:

http://www.nirsoft.net/

и возьми SmartSniff.

там много чего полезного есть.

или в аттаче :)

SmartSniff.rar

SmartSniff.rar

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexxSun

Проверка на вирустотале:

http://www.virustotal.com/ru/analisis/7561...b74acb042a072c0

http://www.virustotal.com/ru/analisis/ee31...85726012d129231

Особой ясности пока нет. Может быть есть возможность выложить в закрытый раздел, чтобы смогли об этих файлах дать заключение специалисты портала?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Особой ясности пока нет. Может быть есть возможность выложить в закрытый раздел, чтобы смогли об этих файлах дать заключение специалисты портала?

Обратитесь к админам. Думаю, что разрешат. Следите всё равно за трафиком...

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TANUKI
Новая волна звонков в Сан-Томе и Принсиппи и Швейцарию среди моих знакомых интернетчиков , которые используют подключение к инету через dial-up,

Простите, вы ничего не перепутали? :) Просто Швейцария и dial-up вызывают у меня легкий ступор :blink::rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

Почему? Даже в США ещё 45 % пользователей Интернета сидят на dial-up...

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Elusion

p2u

Оффтоп

есть ссылка на статистику?

Почему? Даже в США ещё 45 % пользователей Интернета сидят на dial-up...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
есть ссылка на статистику?

Ошибся на 5% примерно: (так было в 2005) US: примерно 40.08% для активных пользователей; UK, например всего 25.5%. Вот сравнение со стороны веб-мастеров broadband/narrowband:

http://www.websiteoptimization.com/bw/0509/

broadband_hm_0508_482x315.gif

Там говорят, что ОЧЕНЬ медленно растёт broadband в США. Слишком дорого. Безлимитный трафик мало предлагают. Естественно можно найти другие статистики на других страницах, где как раз продаются услуги по broadband, или где опросили людей из богатых райнов и взяли эти данные как показатель для всей страны, но это на самом деле пропаганда: страна не хочет признаться в том, что там много бедных, и что это количество становится всё больше и больше. Естественно, статистики из-за этого тоже изменяются: я знаю по крайне мере 10 человек там, которым пришлось просто отказаться от своего broadband, и которые достали свой старый модем из шкафа (на карточках работают 'по старому')...

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexxSun
Простите, вы ничего не перепутали? :) Просто Швейцария и dial-up вызывают у меня легкий ступор :blink::rolleyes:

Можно вот здесь подробнее прочитать, пишут абсолютно нам посторонние пользователи.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

@ TANUKI:

http://www.reportbuyer.com/telecoms/countr...witzerland.html

Broadband penetration in Switzerland and France - 2005 - 2008

Year Switzerland France

2005___23%_____17%

2006___29%_____21%

2007___32%_____25%

2008___35%_____27%

(Source: BuddeComm)

Остальные, кажется, должны сидеть на dial-up...

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TANUKI

p2u и AlexxSun,

ну что могу сказать? Значит мы еще живем очень даже ого-го! Я уже и не припомню, когда в Киеве продавались карточка dial-up :)

А с чем связакно это? особенно в Швейцарии? Ладно там Америка - огромные территории, но покрыть Швейцарию разве сложно? Или все упирается в деньги? Опять же странно, моя знакомая из Мюнхена платила что-то окло 20 евро за полный безлимит на высокой скорости, когда я сидел на скорости 512 kb\s на лимитированном пакете :(

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
всё упирается в деньги

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexxSun

Мне в этой ситуации непонятно только одно - какая радость от состоявшихся звонков создателям звонилок? Раз создают, значит есть какая-то от этого выгода? Какая? Видимо провайдеры проплачивают какой-то процент от того, что собирают со своих абонентов за состоявшиеся международные соединения?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
откуда берётся z-connect ?
:)

Читайте здесь...

Утилита Z-Connect предназначена для упрощения и автоматизации процесса подключения клиентов к серверу Интранета...

...и здесь

SOYO Group заявила об организации нового подразделения компании, которое займется продвижением решений VoIP. Вновь образованная структура будет ответственна за дизайн, разработку, маркетинг и продажи линейки VoIP-телефонов Z-Connect, маршрутизаторов, шлюзов...

это называется "охренеть!"....

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ingener
Мне в этой ситуации непонятно только одно - какая радость от состоявшихся звонков создателям звонилок? Раз создают, значит есть какая-то от этого выгода? Какая? Видимо провайдеры проплачивают какой-то процент от того, что собирают со своих абонентов за состоявшиеся международные соединения?

Суть данной проблемы может лежать глубже, чем это кажется на первый взгляд. Конечно большинство зловредов пишется с целью получения прибыли - но возникает другой вопрос кому идет львиная доля этой прибыли? Что можно поиметь взломав рядового чайника - пароли к логинам и некоторую личную информацию, веб мани и т.п. большинство чайников не то что не пользуются, а даже и не слышали о таковых наверно (хотя звонилки пожалуй исключение - наносят прямой материальный ущерб) - но зачем хакеру или зловредо писателю из-за этого заморачиваться и тратить на это свое время, разве что для потехи и удовлетворения собственной гордыни, так как прямой выгоду я от этого не вижу. Цель написания большинства зловредов - напугать чайника, который после этого первым делом побежит куда - правильно покупать антивирус или другое средство защиты. Теперь ясно кто имеет от этого прибыль, и я не удивлюсь - если некоторые антивирусные вендоры сами частенько организуют эпидемии зловредов - дабы повысить продажы своих продуктов (но это очень большая тайна). Сейчас намеренно раскручивается миф, что интернет буквально кишит зловредами и без антивируса туда лучше не лезь - осознали кто раскручивает этот миф. ..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
я не удивлюсь - если некоторые антивирусные вендоры сами частенько организуют эпидемии зловредов

Такие вещи можно думать про себя, но высказывать их здесь на форуме по-моему не стоит - это очень серьёзное обвинение, которое вы не сможете укреплять доказательствами.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexxSun
Теперь ясно кто имеет от этого прибыль

Если следовать этой логике, то "пожарники - главные организаторы пожаров, врачи устраивают эпидемии болезней" и прочее, и тому подобное. На эту тему уже всё давным давно сказано, в интервью Е.К. этот вопрос задают раз по десять в различных вариантах.

С этой новой звонилкой не всё так просто, как было раньше. Не смотрят пользователи, получившие на свой компьютер такой "подарок" развлекательные ресурсы, и не нажимают на ОК в диалоговых окнах на английском. Пока вот самостоятельно инсталлировать подобный сервис на компьютер не очень-то получилось. Надо искать установщик, кому удалось найти - сообщите в теме.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Сейчас намеренно раскручивается миф, что интернет буквально кишит зловредами и без антивируса туда лучше не лезь

Почему тогда ко мне каждый день приносят заражённые ноутбуки? Все эти пользователи - агенты антивирусных компаний?

Теперь ясно кто имеет от этого прибыль, и я не удивлюсь - если некоторые антивирусные вендоры сами частенько организуют эпидемии зловредов

1. Если хотя бы один такой случай будет доказан - считайте, антивирусной компании больше нет. Слишком опасно. Не с точки зрения закона, а с точки зрения бизнеса.

2. Прецедентов, чтобы к эпидемиям вирусов были причастны сотрудники антивирусных компаний, я не припомню, поэтому такие заявления являются беспочвенными.

3. Вирусов каждый день приходит в вирусные лаборатории уже больше, чем эти лаборатории в состоянии качественно обработать (детект не в счёт, лечим систему). Приходится придумывать разные ухищрения, разные технологии автоматической обработки сэмплов. Но я думаю, что сотрудники вирусных лабораторий хотели бы вернуться в то время, когда каждый сэмпл можно было рассматривать под лупой в течение целого рабочего дня за чашечкой кофе и учесть все возможные нюансы, написать об этом сэмпле статью и душевно (собственноручно) оформить описание в вирусной библиотеке. Такие времена были. И к сегодняшней ситуации привели уж точно не действия антивирусных компаний.

но зачем хакеру или зловредо писателю из-за этого заморачиваться и тратить на это свое время, разве что для потехи и удовлетворения собственной гордыни, так как прямой выгоду я от этого не вижу.

1. Включаете компьютер. Заблокирован. Для разблокировки отправьте SMS.

2. Включаете компьютер. Ваши файлы зашифрованы. Для расшифровки отправтье SMS.

3. Зашёл на сайт по ссылке. Ваш компьютер заражён. Купите антивирус (конечно, не настоящий, но кто об этом пользователю скажет), для чего отправьте SMS.

4. Открыл IE, чтобы погуглить. Там порно-баннер. Для удаления отправьте SMS. А жена в соседней комнате, щас зайдёт :)

...

...

...

А, эта тема про звонилки? :) Со звонилками примерно то же самое, что с SMS-ками.

Да, возможно, вирусописатели, находятся в сговоре с биллинговыми компаниями, ибо здесь присутствует прямой денежный интерес. Но антивирусные компании сюда приписываются зря. Им невыгодно таким заниматься.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×