Possivel virus no forum

[finishx 0]

Galera da uma olhada nesse POST e me ajudem a analisar se estou realmente certo... quem viu!! Por favor o quanto antes, pra não dar tempo de tirarem o bichinho.. kkk

 

Bom aos analista de segurança... vocês devem ser realmente bons!!

Mas pelo que vi sua segurança, não está assim tão boa!

Só para constar são 00:57 do dia 22 de Março de 2010.

 

Olhe seu código index! Ele possue um autoinfect rodando!

O Auto infect é em Java e deve ter muita gente infectada agora. Um site como o Imasters deve ter milhares de acessos, isso é uma coisa chata e também constrangedora. Corrijam!

 

Aos que não entendem o que eu estou dizendo... leiam um pouco sobre autoinfect.

Uma prévia: Autoinfect é um código inserido na pagina, as vezes em java, javascript e etc, que tem a função de baixar um programa malicioso sem você notar, geralmente quando você clica nesse botãozinho da SUN dizendo RUN.

 

Se por algum acaso eu estiver errado, desconsiderem... mas tenho 99% de certeza que estou certo. Se alguém acessou a imasters nesses últimos dias e viu essa telinha da SUN, da uma olhada em seu antivirus, veja se ele está funcionando, porque geralmente eles tem a função de killar (matar) os Antivirus, da uma msconfig e veja se não tem algum programa a mais rodando, verifique o local de instalação, a data instalado, esse tipo de coisa.

 

Aos Analistas: Sem critica! Só sou um usuário da imasters e não to afim de perder meus dados.

Aos provavelmente Bankers: Foi mal, mas me enche o saco o fato de ficar clicando em Cancel toda hora e desativando o Java!

 

Informações

 

java.exe 28,83 MB S-1-5-21-1960408961-1336601894-725345543-1003 ( Normal é Java )

Porém o que ta rodando ?

 

from: http://209.212.150.142

from: http://www.imageurlhost.com/

 

imagino que isso foi injeção... botaram um autoinfect no index... em todas as paginas ta aparecendo!!!

[André do Vale 76]

Tem um aplicativo Java oculto no código do fórum, tentando se passar pelo plugin de Flash:

 

 

Recentemente, mesma tática foi usada no fórum Caixapretta.com.br... cuidado para não instalarem isso daí.

[João Prado 64]

O caso já foi reportado a administração do fórum (Equipe Portal iMasters)

 

 

Agradecemos sua preocupação http://forum.imasters.com.br/public/style_emoticons/default/thumbsup.gif

 

 

Atensiosamente

João Pedro

Moderador

[brunocampos_ 3]

Entrei aqui nesta área pra falar a mesma coisa, pelo jeito já notaram...

Já faz mais de 1 semana que isto está aí.

[Elektra 102]

Não colega, apenas 2 dias.

 

Basta observar o relato dos usuários do fórum, todos estamos atentos.

 

Abraços

[Chrnos 30]

Alguém sabe do que se trata realmente este "plugin" ?? Vi que ele apareceu no pc lá de casa e meu antivirus ficou bloqueando arquivos temporários direto ontem, antes de eu repassar um antispyware na máquina... seria bom deixar uma explicação do que se tratava esse falso plugin e, para os casos que ele haja infectado algum pc, como resolver o problema... só dizer que "o caso foi reportado" é pouco num caso destes....

 

Mas esta é só minha opinião.

 

[]'s

[brunocampos_ 3]

Elektra, tudo bem, não faz 1 semana mas definitivamente não são dois dias.

Olhei os logs aqui e dia 18 eu já estava bloqueando este java.

 

Agora neste momento parece que está resolvido ou então ele não está rodando.

[Bruno Augusto 417]

Não sei qual é o seu navegador, parece ser o Chrome, mas aqui no Firefox não apareceu nada disso.

 

Mas esse IP é do site http://www.imageurlhost.com/, não aparenta ser suspeito.

[hargon 64]

Aqui apareceu no FF e Chrome. Esse mesmo problema ocorreu no G1, há +- 13 dias.

 

Conforme foi falado, o problema já foi reportado aos responsáveis.

 

Caso apareça novamente, cancelem a instalação.

[André do Vale 76]

Realmente sumiu agora a instalação do suposto "aplicativo".

 

Porém, eu me recordei do caso recente com o blog "Caixa Pretta". Meu irmão foi infectado neste blog, e quando acessava o banco Itaú (pelo Chrome), o vírus fechava este navegador e abria o IEca com uma página falsa do banco.

 

Também teve o caso de um visitante deste mesmo blog que teve uma quantia considerável transferida de sua conta. Tudo culpa desse "Flash", rs.

 

Então, é sempre bom estar de olho. ;)

[Chrnos 30]

Realmente sumiu agora a instalação do suposto "aplicativo".

 

Porém, eu me recordei do caso recente com o blog "Caixa Pretta". Meu irmão foi infectado neste blog, e quando acessava o banco Itaú (pelo Chrome), o vírus fechava este navegador e abria o IEca com uma página falsa do banco.

 

Também teve o caso de um visitante deste mesmo blog que teve uma quantia considerável transferida de sua conta. Tudo culpa desse "Flash", rs.

 

Então, é sempre bom estar de olho. ;)

 

Exatamente por situações assim que podem surgir para usuários que instalaram este "Flash" que perguntei se haviam identificado do que se tratava este "plugin" e, por consequência, os passos que os usuários do fórum teriam que executar para verificar se nas máquinas deles não havia ficado este "brinde indesejado" por acessarem o fórum.... afinal, por aqui no tópico simplesmente um "não instalem" eu acho insuficiente... se a equipe do Imasters identificou do que se trata o falso plugin, então acho que até por consideração aos seus membros deveria postar algo sobre o assunto, para se eximir da responsabilidade e para auxiliar os membros que porventura instalaram acreditando se tratar de algo novo no site como se livrar do mesmo.

 

Mas enfim... sou apenas um usuário, não tenho "poder" ou "autoridade" neste caso para muita coisa... mas fica aqui registrado o que, ao meu ver, seria uma boa prática para situações como esta.

 

[]'s

[Elektra 102]

Chrnos, também sugeri essa providência.

 

Acompanho há vários dias as postagens.

 

Fica os links caso tenha interesse em conferir.

 

Tópico --> w.storm

 

http://forum.imasters.com.br/index.php?/topic/387914-alerta-suspeito/page__pid__1509253__st__0entry1509253

 

Uso Kaspersky Internet Security 2009 e não aceitei a instalação.

 

Como mencionei, estou consciente das atualizações dos softwares que uso.

 

Seria muito interessante um popup com alerta (ou algo no gênero), por parte do Imasters/UOL, sobre o aviso enganoso ao acessar a página.

 

Abraços

 

 

Tópico --> jothaz

 

http://forum.imasters.com.br/index.php?/topic/387906-virus-ao-acessar-forum-do-imasters/

 

 

Comentário --> finish (off topic, sobre o problema na página do fórum)

 

http://forum.imasters.com.br/index.php?/topic/369545-novo-analista-de-seguranca/

 

 

Com a página do Imasters tava tudo legal, era só ao acessar o fórum a "pane".

 

Considero falha a atitude de não emitir nenhum aviso aos usuários.

 

 

Abraços

[Chrnos 30]

Valeu Elektra, vou dar uma lida nos links com calma a noite... obrigado. No mais, concordo com você...

 

[]'s

[Evandro Oliveira 331]

Exatamente por situações assim que podem surgir para usuários que instalaram este "Flash" que perguntei se haviam identificado do que se tratava este "plugin" e, por consequência, os passos que os usuários do fórum teriam que executar para verificar se nas máquinas deles não havia ficado este "brinde indesejado" por acessarem o fórum

 

mini-tutorial em 3 passos para quem já cometeu a 'cagada' de aceitar o plugin -> Windows vista/7

http://img532.imageshack.us/img532/7050/38035816.png

http://img267.imageshack.us/img267/3754/83903282.png

http://img90.imageshack.us/img90/412/45311397.png

[Mário Monteiro 179]

Ótima dica Evandro Oliveira mas pelo menos eu nunca mais viu o maldito

[Elektra 102]

Ótima dica Evandro Oliveira mas pelo menos eu nunca mais viu o maldito

 

Também não vi nenhuma informação ou alerta por parte do Imasters sobre o assunto.

[EDSSX 0]

Boa tarde

 

Leiam :

 

 

 

http://forum.imasters.com.br/index.php?/topic/387907-janela-suspeita/

 

 

 

Abraços

[GabrielFerrari 41]

Percebi o problema novamente hoje.

Havia parado porém retornou

[Silas Martins 0]

Olá iMasters, Bom andei vendo que tem auto-infect na área do IM, se fazendo passar por um applet. Pelo que se pode notar o problema deve ser "muito" grave para o suporte do imasters até hoje não ter dado conta de reparar este pepino. Algum tempo atrás eu falei sobre alguns arquivos que estavam com permissão de escrita na época disseram que o ipb 3.0 era inabalável......será que é mesmo? :o

[brunocampos_ 3]

Applet java de novo....