Хабрахабр / Комментарии к посту «Аккуратно: очень хитрый скам» в блоге «Google»

09.12.2009 11:25:23 aleb

aleb — Wed, 09 Dec 2009 11:25:23 GMT

и ноги из одного места оторвать и туда же запихать!

09.12.2009 11:10:55 me76

me76 — Wed, 09 Dec 2009 11:10:55 GMT

а как «все ссылки показывают на гугл»? т.е. в строке состояния (statusbar) показывается фальшивая ссылка? если ваш браузер позволяет запрещать скриптам менять её (строку состояния), обязательно рассмотрите эту возможность

31.10.2009 01:02:37 babysas

babysas — Sat, 31 Oct 2009 01:02:37 GMT

Ваше мыло заказали. На взлом. Рекомендую подумать кому это могло понадобится. Ибо раз заказали — заплатили денежку — будут пытаться еще. Способов масса.

30.10.2009 08:28:51 LeeMiller

LeeMiller — Fri, 30 Oct 2009 08:28:51 GMT

С лисой вы правы =) от таких шуток она меня и спасает идентичным способом.

30.10.2009 08:17:39 kuyantus

kuyantus — Fri, 30 Oct 2009 08:17:39 GMT

в Опере ещё бы спас «Жезл паролей». даже если не обратить внимания на адрес, то отсутствие активной кнопки «Войти» на тулбаре сразу бы показал, что сайт не гугловский :) кстати, Опера меня недавно спасла от потери пароля в соцсети вконтакте: переписывался с другом, потом, минут через 30 от него же приходит письмо, мол, ты знаешь её, она говорит, что знает. глаз не заметил лишней буквы в адресе, клик по ссылке, но Опера не дала зайти мне на сайт, предупредила о том, что это мошеннический сайт. в общем, будьте внимательны.

30.10.2009 05:36:36 StarWoofy

StarWoofy — Fri, 30 Oct 2009 05:36:36 GMT

а перед этим ещё и морду набить!

30.10.2009 01:49:35 blackst0ne

blackst0ne — Fri, 30 Oct 2009 01:49:35 GMT

Меня бы насторожила сразу же глупейшая пунктуационная ошибка в тексте.

30.10.2009 00:19:16 habraname

habraname — Fri, 30 Oct 2009 00:19:16 GMT

отличное дополнение, спасибо

29.10.2009 23:26:07 egorinsk

egorinsk — Thu, 29 Oct 2009 23:26:07 GMT

1) У кого nmap под рукой просканируйте этот ИП (193.*).там наверняка проксик на порту типа 3333
2) У кого есть nmap :) просканьте kasumi.ru, сайт хостится на hc.ru, видимо взломан, так как 21 октября там был корпоративный сайт

29.10.2009 23:03:40 mcm69

mcm69 — Thu, 29 Oct 2009 23:03:40 GMT

Параноить стоит в сторону владельца kasumi.ru тогда уже, потому как именно там сидел сборщик паролей.

29.10.2009 21:30:20 TLTVIP

TLTVIP — Thu, 29 Oct 2009 21:30:20 GMT

Юзайте MUA и будет вам счастье.

29.10.2009 20:51:48 slatvick

slatvick — Thu, 29 Oct 2009 20:51:48 GMT

Вычислить и к стенке.

29.10.2009 19:46:59 DzN

DzN — Thu, 29 Oct 2009 19:46:59 GMT

На такое еще кто то ведется?? Этот способ стар, как мир! )

29.10.2009 19:38:50 binom248

binom248 — Thu, 29 Oct 2009 19:38:50 GMT

Чё-то вы не туда со своим дедуктивным анализом полезли.
Обратите внимание на строку в письме:
X-PHP-script: for-x.ru/email/mail.php for 193.108.38.230, 193.108.38.230

Теперь откроем for-x.ru/email/ — это анонимайзер для почты. И очевидно, что IP в конце — адрес того, кто воспользовался сервисом. Можете проверить для интереса, отправив анонимное письмо. Там будет ваш IP.

Оказывается, хлопец с Украины (см. WHOIS):

inetnum: 193.108.38.0 — 193.108.39.255
netname: DEC-NET
descr: Private Enterprise «DEC»,
descr: Universitetskay st, 70,
descr: 83012, Donetsk,Ukraine
country: UA

Теперь что на хосте — может машина-зомби? Смотрим:
193.108.38.230/
404 Not Found
The requested URL / was not found on this server.
Apache/2.2.12 (Ubuntu) Server at 193.108.38.230 Port 80

Значит, письма рассылаются оттуда через анонимайзер for-x. Но всё равно не факт, что виноват админ украинского сервера. Возможно, на этом сервере есть зараженный код, из которого идут запросы. Тогда автор теряется.

29.10.2009 16:53:48 habraname

habraname — Thu, 29 Oct 2009 16:53:48 GMT

нет :)
честно

29.10.2009 16:52:12 kastaneda

kastaneda — Thu, 29 Oct 2009 16:52:12 GMT

откуда знаете, что потеряло? ;-)

29.10.2009 16:48:36 ernt

ernt — Thu, 29 Oct 2009 16:48:36 GMT

«Раскрыть комментарий» на хабре тоже стоит изменить, чтобы под него нельзя было замаскировать злую ссылку. Совсем ведь не сложно, можно просто пунктирное подчёркивание сделать.

P.S.: Ваша картинка не грузится :(

29.10.2009 16:25:33 anyxem

anyxem — Thu, 29 Oct 2009 16:25:33 GMT

ни разу не натурально

29.10.2009 16:10:36 trolik

trolik — Thu, 29 Oct 2009 16:10:36 GMT

привет идиотам ) пока 10 насчитал

29.10.2009 16:03:42 Lux_In_Tenebris

Lux_In_Tenebris — Thu, 29 Oct 2009 16:03:42 GMT

если бы действительно дёрнули, зачем рассылать что-то клиентам? достаточно вскрыть хэши паролей (если там вообще хэши) и стырить тысячи доменов…

29.10.2009 16:02:33 Lux_In_Tenebris

Lux_In_Tenebris — Thu, 29 Oct 2009 16:02:33 GMT

и что дальше?.. :-D

29.10.2009 16:01:25 Lux_In_Tenebris

Lux_In_Tenebris — Thu, 29 Oct 2009 16:01:25 GMT

кто действительно хочет — остаётся в тени
прочие же лемминги только и делают, что оставляют следы

29.10.2009 16:00:54 lol2Fast4U

lol2Fast4U — Thu, 29 Oct 2009 16:00:54 GMT

Забанили сайтик. Forbidden говорит. Ура!

29.10.2009 15:15:15 cre8or

cre8or — Thu, 29 Oct 2009 15:15:15 GMT

Форма kasumi.ru/mail.php заблокирована.

29.10.2009 15:07:56 yellow_duck

yellow_duck — Thu, 29 Oct 2009 15:07:56 GMT

cypa ты?

29.10.2009 14:11:50 TiGR

TiGR — Thu, 29 Oct 2009 14:11:50 GMT

Ну недоработали они… Судя по html, адрес формы не подставляется на оригинальный, чтобы можно было воспользоваться автозаполнением.

А если я вижу форму входа на сайт, для которого пароль точно сохранён, а поля не заполнены или не подсвечены, то становится ясно, что это какая-то подстава.

29.10.2009 14:10:51 habraname

habraname — Thu, 29 Oct 2009 14:10:51 GMT

анонимность в сети — это миф =;)

29.10.2009 14:02:51 XEK

XEK — Thu, 29 Oct 2009 14:02:51 GMT

ФСБ потеряло в вас такого ценного кадра…
Зачет, я в шоке.

29.10.2009 13:58:27 habraname

habraname — Thu, 29 Oct 2009 13:58:27 GMT

Россия, г. Иркутск, ул. Старо-Кузьмихинская, 53А
Тел. 8-9834-111-001

E-mail: info@i-n-f-o.ru

Доменные имена сайта:
www.i-n-f-o.ru/
www.tut-i-tam.ru/
www.ria-news.ru/
www.b-o-s.ru/

Пестерев Владислав Анатольевич
les.lesprom.com/community/32224/
ru.wikipedia.org/wiki/%D0%9E%D0%B1%D1%81%D1%83%D0%B6%D0%B4%D0%B5%D0%BD%D0%B8%D0%B5_%D1%83%D1%87%D0%B0%D1%81%D1%82%D0%BD%D0%B8%D0%BA%D0%B0:Stroyinfo

каратист?
74.125.77.132/search?q=cache:rGMFFm94uoQJ:www.ikomatsushima.ru/russian/Yakutov2005_rezults.doc+%D0%9F%D0%B5%D1%81%D1%82%D0%B5%D1%80%D0%B5%D0%B2+%D0%92%D0%BB%D0%B0%D0%B4%D0%B8%D1%81%D0%BB%D0%B0%D0%B2&cd=11&hl=ru&ct=clnk&gl=ru
www.kyokushin.ru/tours_dv2003d.html

если да, то он примерно 89-90гг рождения

хорошо зашифровались, гугл почти не знает улиц иркутска, яндекс не знает его вообще
слабо верится, что могли встретиться два человека с разными фамилиями, но одинаковыми именами-отчествами

ещё немного можно посмотреть на 1stat.ru/?show=whois по мылу
помимо известных, обнаружились
3 Делегирован hackeram.ru Private person best-hoster.ru +7 924 6055199 REGRU-REG-RIPN 10-02-2009 10-02-2010
5 Делегирован moyclan.ru Private person agava.ru +7 924 6055199 REGRU-REG-RIPN 25-05-2009 25-05-2010
6 Делегирован ria-news.ru Private person agava.ru +7 924 6055199 REGRU-REG-RIPN 12-03-2009 12-03-2010
все, что лежат на агаве, ведут в один каталог, но мойклан почему-то глючит

хакерамру даёт ещё кусочек инфы WMID:583677292847 ICQ:592-420-356
people.icq.com/people/about_me.php?uin=592420356 Павел Орлов, Male 26 years old, Иркутск
passport.webmoney.ru/asp/certview.asp?wmid=583677292847 снова павел оролов
гуглится он плохо
вконтактег даёт 5 павлов орловых из иркутска

причём, сертификат зареган 26 Апреля 2009 года в местном центре passport.webmoney.ru/asp/certview.asp?wmid=559818853628

опапа!(Ц) Прикрепленные к аттестату WM идентификаторы:
WMID#559818853628 BL: Бизнес уровень 2050 [BL] используется в интересах компании ИП БОЯРКИН РОМАН ВИКТОРОВИЧ
WMID#798065881608 BL: Бизнес уровень 0 [BL] WMIRK.ru delivery Robot

Бояркин Роман Викторович, Россия, Иркутск, ул. Академическая, д. 28/6
+7 902 5117269 аська 255131

схема проезда на Академическую wmirk.ru/img/schema.jpg
WMIRK.ru — кладезь контактов, аськи, почты, адреса
wmirk.ru/index.php?p=contacts
+7 (3952) 420 548, +7 (3952) 757269
400440749 (Анна), 568434821 (Алена), 255131 (Роман)

ну итд
вот так павлуша подставил аж две иркутские конторы ;) для стройинфо он, скорее всего, лепил сайт на дле
в другой получал вм-сертификат, который использует для недобропорядочной деятельности, предполагаю

мне почему-то кажется, что если кто-нить из иркутских увидит эти данные, павлу, ну, надо приготовиться к разъяснительной беседе

29.10.2009 13:40:33 nehxby

nehxby — Thu, 29 Oct 2009 13:40:33 GMT

недавно читал о подобном способе взлома пароля относительно мыла.ру.

Однажды я чуть не попался на липовый Вконтакте, ссылку по аське прислали. Спасло не в последнюю очередь то, что все основные пароли помнит мой лис, и руками я их не вбиваю. Если лис не показал пароль — это повод напрячь мозги и внимание.

29.10.2009 13:28:03 TheShock

TheShock — Thu, 29 Oct 2009 13:28:03 GMT

«вашего сайта» имелось ввиду gmail :)

29.10.2009 13:27:36 TheShock

TheShock — Thu, 29 Oct 2009 13:27:36 GMT

а в украинском варианте вообще жесть проскакивает: «Файрбаг может замедлить работу вашего сайта, если его правильно настроить. Настроить файбаг!»

29.10.2009 13:04:50 JerleShannara

JerleShannara — Thu, 29 Oct 2009 13:04:50 GMT

Красотища какая…

29.10.2009 12:59:54 morozko

morozko — Thu, 29 Oct 2009 12:59:54 GMT

Может автор имел в виду не спам, а того, кто его рассылает?))

29.10.2009 12:39:48 greyhard

greyhard — Thu, 29 Oct 2009 12:39:48 GMT

моему начальнику пришло такое вчера, ладно он догадался у меня спросить ) прежде чем что то вводить

29.10.2009 12:32:37 spxnezzar

spxnezzar — Thu, 29 Oct 2009 12:32:37 GMT

Я даже не пытался смотреть с высоты… просто я давно уже привык к своему окружению. У меня даже мать, женщина преклонного возраста, понимает что такое данные авторизации и лишний раз подумает прежде чем что-то вводить.
я думаю количество «попавшихся» на эту удочку людей прямо пропорционально количеству тех кто без раздумий отправит смс с кодом ХХХ на номер УУУ. т.е. остается только сожалеть о низком уровне подготовке пользователей руцентра, ибо речь идет именно о них.

29.10.2009 12:24:36 XEK

XEK — Thu, 29 Oct 2009 12:24:36 GMT

имхо, лучший комментарий

29.10.2009 12:24:23 XEK

XEK — Thu, 29 Oct 2009 12:24:23 GMT

дада (попкорн)

29.10.2009 12:23:09 habraname

habraname — Thu, 29 Oct 2009 12:23:09 GMT

наотличненько for-x.ru/
какой глупый спамер for-x.ru/email/

domain: FOR-X.RU
type: CORPORATE
nserver: ns57.dns-rus.net.
nserver: ns58.dns-rus.net.
state: REGISTERED, DELEGATED, UNVERIFIED
person: Private person
phone: +7 924 6055199
e-mail: info@i-n-f-o.ru
registrar: REGRU-REG-RIPN
created: 2009.03.12
paid-till: 2010.03.12
source: TC-RIPN

https://www.nic.ru/whois/?query=i-n-f-o.ru
https://www.nic.ru/whois/?query=tut-i-tam.ru

www.google.ru/#hl=ru&source=hp&q=924+6055199&btnG=%D0%9F%D0%BE%D0%B8%D1%81%D0%BA+%D0%B2+Google&lr=&aq=f&oq=924+6055199&fp=be4313e544833b95

Телефон: 7 (924) 6055199. ФИО: Генералов Владислав Анатольевич
Россия, Иркутск
Старокузьмихинская, 53 [посмотреть на карте]. 8-924-6055199. www.stroyinfo.su

https://www.nic.ru/whois/?query=www.stroyinfo.su
domain: STROYINFO.SU
descr: Domain for Web Server
descr: Hosted by AGAVA Software
nserver: ns1.agava.net.ru.
nserver: ns2.agava.net.ru.
state: REGISTERED, DELEGATED
person: Pesterev Vladislav Anatolevich
phone: +7 3952 423749
fax-no: +7 3952 423749
e-mail: stroi.info@mail.ru
registrar: GPT-REG-FID
created: 2008.08.22
paid-till: 2010.08.22

продолжать? =;)

29.10.2009 12:17:06 nahrihra

nahrihra — Thu, 29 Oct 2009 12:17:06 GMT

Да что вы хотите, полстраны верит в астрологию.