[k.....5]

#programowanie #visualbasic
Co to jest i co to robi?

[mccloud]

@krzysztof-es-545: Hm, informuje serwer, że ktoś odpalił ich ten skrypt.

[k.....5]

@mccloud: no właśnie. I zastanawiam się jaki może być w tym cel?

[mccloud]

@krzysztof-es-545: Licznik uruchomień? :) Przy okazji docelowy serwer pozna twoje IP.

[k.....5]

@mccloud: eh. Dostałem maila z tym załącznikiem i jak ostatni idiota go odpaliłem. Później zetknąłem w źródło i się zdziwiłem - jaki byłby cel w rozsyłaniu takiego skryptu?

Co istotne - mail wysłany że skrzynki @mds-systems.nazwa.pl
Z treścią wskazująca na to, że wysłany z Ergo Hestia.

@ZaufanaTrzeciaStrona

[Razi91]

@krzysztof-es-545: jeśli to skrypt w dokumencie, to prawdopodobnie używają tego jako potwierdzenie odczytania

[k.....5]

@Razi91: nah. W mailu tylko plik ZIP z tym plikiem vb.

[Razi91]

@krzysztof-es-545: czekaj czekaj, zip ze skryptem VB, a ty go uruchomiłeś?

[k.....5]

@Razi91: nie pytaj jak to się stało. Na automacie wyklikalem i dopiero po odpaleniu dotarło do mnie co to za plik.

[Razi91]

@krzysztof-es-545: nigdy nie odbieraj poczty przed pierwszą kawą

[k.....5]

@Razi91: właśnie odpaliłem przywracanie systemu :)

[z.....j]

po prostu wali getem co 12 sekund pod http://192.3.12.133/a/(data)
gdzie data to aktualny czas na twojej maszynie.

[e.....1]

@krzysztof-es-545: najciekawsza jest chyba jednak linijka 11 - odpala funkcję która wewnątrz próbuje odpalić coś przez "Execute", a to coś, to zwrotka z zapytania GET. Nie jestem pewien co do tego polecenia "Execute" i nie mogę znaleźć, czy to odpala jakiś proces/polecenie, ale potencjalnie wygląda groźnie.

[Razi91]

@enceladus71: czyli prymitywna metoda zdalnego wykonywania kodu.

[k.....5]

@niebezpiecznik-pl może jeszcze wy?

[k.....5]

@Razi91: no tak, ale jakiego kodu? :)

[Razi91]

@krzysztof-es-545: takiego, jaki przyjdzie. Zrobię sobie gettera na VPSie może, zobaczymy co tam przychodzi :)

[ZaufanaTrzeciaStrona]

@krzysztof-es-545: Poczytaj na naszej stronie, atak z Ergo Hestia. Instaluje bankowego konia trojańskiego.