Троян mx.content-type.cn

[weend]

На многих сайтах, в том числе и на моих, а так же на яндексе, гугле и т.п. был внедрен следующий код:

script language="javascript" SRC="http://mx.content-type.cn:443/day.js"

Каспер воспринимает этот day.js как троянскую программу. И, вообще говоря, я с ним согласен, т.к. на своих сайтах я его не вставлял. На Яндексе, гугле и т.п. крупных сайтах его уже удалили.
Рекомендации для остальный пользователей:
Для XP: найти в папке windows файл hosts и прописать туда

127.0.0.1    mx.content-type.cn

P.S. интересно услышат мнение остальных IT-шников Может я зря?..

[Vader]

Учитывая, что зона китайская - стоит задуматься.

[Human-oid]

недавно у меня и ещё 2 человек как минимум нод говорил, что заблокирован и удалён данный вирус (писался в папку с оперой).
происходило это при открытии оперы с закладкой данного форума. или при сёрфинге по форуму.

[weend]

данного форума. или при сёрфинге по форуму.

Более того, вот я сейчас пока пишу, заглянул в исходник этой странички, а там первой строчкой этот троян прописан... А ведь несколько минут назад его не было... С моего сайта он периодически исчезает, хотя сейчас есть. На яндексе нет(был, сам видел ). А теперь и на сайте касперского))) Жесть.

Послано: 02 Июля 2008, 12:53:19Собсно моя предыстория:
недавно обратил внимание, что при обращении к некоторым(почти ко всем) сайтам в строке состояния FF и IE6 мелькает какой-то "mx.content...". Проверил системные папки и ФФ каспером - нашел и удалил. После этого вроде все нормально, а через какое-то время опять на mx.content... начал лезть, ска... Зашел на свой сайт через браузер, смотрю html-код, а эта сволочь там первой строкой. Зашел через ftp-клиент (TotalCommander) и заменил копией из архива, проверился каспером опять(ничего не нашел), сменил все пароли.
Т.к. эта шняга с залезанием черт знает куда меня достала - решил переставить винду начисто. Сказано - сделано, ессно, со всеми, возможными сейчас, предосторожностями (типа на время установки кабель отключил, в первую очередь каспера поставил, обновил его сегодняшними базами...). И тут каспер начинает ругаться при заходе на Яндекс, гугль, сайт каспера, на мой сайт и т.д. Решил, что надежнее будет не доверять касперу, а отсекать этот сайт через hosts. Пока возился, его с Яндекса и др. крупных сайтов удалили. Удалили, кстати, и с моего сайта (видать, хостер постарался). Сейчас вот опять...

Я вот думаю, а не может ли какой-нить проксик самаралановский добавлять этот код перед отправкой странички нам? Я уже просто и незнаю, что думать... Или я его как-то умудрился во время перестановки подхватить...

[Vader]

У меня нет ничего в исходном коде.

Более того, вот я сейчас пока пишу, заглянул в исходник этой странички, а там первой строчкой этот троян прописан...

[weend]

Ага, понятно. я опять троянчик этот схватил... блять. Знакомого из дом.ру тоже попросил проверить - сайт каспера чист...

[out063]

я два дня с этой заразой борюсь . ужась вообще . мало того что постоянно ошибка вылазиет от обнаружении опасного кода - так он еще и не которые мои сайты отображать нормально не хочет (сам код чистый ) - в опере касяки после этой херни .  Похоже все таки он как то выполнился у меня на машине . ЗА последние два дня появилось -  фоновый процес explore.exe , который пытался закачать с сети файлы 1.gif 2.gif и тд тп . (тоже с китайских айпи и сайтов ) - nod32 кричал что в gifах вредноносный код . Этот через жопу я удалил ( его dll-ки сидели в папке WINDOWS\AppPatch. Не помню название - но их там несколько и если нормальные файлы подписанны (windows dll и тд тп )  - у этих пусто ) . И второе - аутпост постоянно отправляет и принимает пакеты по netbios  - я пробовал отрубать этот протокол вручную а затем и софтом - бесполезно пакеты всеравно идут . Самое странное что никакай антивирь нормально не реагирует .  Что это?  атака китайских братьев ?

ps : гдето на испанском сайте нашел запись про этот mx...  так там пишут срочно ставить sp3 у кого нету . хотя может бред
Послано: 02 Июля 2008, 13:32:57и еще...

поскольку не яндекс не гугли ни касперский не обьявил об вирусе - мое мнение :

вирус запустили в локалку , а он в свою очередь внедряется в браузер и просто в загружаемой страничке у пользователя вписывает javascript . воть .  Тоесть на удаленных серваках его как такогового нету - он живет у пользователя .

[Human-oid]

если узнаете, как определить имеецо ли этот вирь на компе, - пишите
процесса explore.exe вроде нету

и действенные советы по поводу не поймать вирь вновь - тоже пишите

[weend]

как определить имеецо ли этот вирь на компе

Если в HTML-кодах сайтов типа kaspersky.ru, этот форум, nnm.ru и т.д. есть Первая строчка

script language="javascript" SRC="http://mx.content-type.cn:443/day.js"

значит вирь есть в системе... Вот только лучше пробежаться по этим сайтам несколько раз с перерывом минут эдак 5, т.к. он с какой-то периодичностью добавляет эту первую строку...
P.S. А лечение хз пока))) буду опять форматировать... (( ток придется сначала все дистры заново скачать с нета... эх...

[Human-oid]

терь при заходе на http://192.168.137.4/ НОД кричит про этот вирь

[DANTE]

а че этот вирь делает собстно?

[weend]

а че этот вирь делает собстно?

Как минимум, добавляет на произвольные страницы вышеприведенный код, что часто приводит к нарушению html-структуры страницы (читай, страницы выглядят коряво). Как максимум, если антивирь не словит этот day.js, то дальше скорее всего пойдет закачка троянов "по цепочке"... со всеми вытекающими...

[DenZ]

значит вирь есть в системе...

С помощью утилиты AVZ найдите в системе подозрительные файлы и отправьте их на анализ в антивирусные лаборатории, тогда их добавят в базы.

[out063]

С помощью утилиты AVZ найдите в системе подозрительные файлы и отправьте их на анализ в антивирусные лаборатории, тогда их добавят в базы.

да нету в системе этих подозрительных файлов ...  Я верь реестр перелопатил и ничего. В итоге лишнего намудрил - винда перестала грузится , пришлось переустанавливать  :rofl:. Зато терь все чистенько и хорошо
Послано: 03 Июля 2008, 09:58:14да кстати , я заметил что когда антивирь начанал ругатся , что мол словите сейчас какашку ... был запущен второй процес rundll32.exe и когда его убивал все прекращалось , тока вот беда  - как я не пытался узнать какая dll внедряется в процесс - так и не узнал
Послано: 03 Июля 2008, 10:01:00рано я радовался ... после захода на локальный форум опять появилось сие чудо

[Asket]

Значит вся сеть может радоваться появлению этого чуда?