שיתוף | נפלתי לוירוס של תוכנת כופר, תקראו ותלמדו להיזהר

[ארי.מ.]

@מישהו12 סליחה שאני לוקח את הדיון המקצועי למקום של הפחות מלומדים... האם אתם באמת חושבים שיש בעיה עם האנטי ווירוס הפרוץ של ESET מהפורום? כדאי לי להסיר אותו?

[מתכנת חובב]

@ארי.מ. לא חקרתי אותו לעומק ואני לא חושב שיש מישהו שכן עשה את זה ופרסם (לפחות לא כאן) אבל זה לגמרי סיכון אבטחתי ומומלץ להסיר

[iosi poli]

פוסט זה נמחק!

[מתכנת חובב]

@iosi-poli כתב בשיתוף | נפלתי לוירוס של תוכנת כופר, תקראו ותלמדו להיזהר:

(אפילו קובץ BAT יכול להיות כ"כ מעורפל עד כדי כך שלא תבין כלל מה הוא עושה.. ראה: https://www.youtube.com/watch?v=sznUqJHlzUo)

מה הקשר לעמידות שלו בפני הסרה?
ובכל אופן סקריפט batch כמה שיערפלו אותו לא לוקח יותר מכמה שניות להבין איך ערפלו אותו - בפרט בסרטון ששיתפת לעומת קוד בינארי שניתוח שלו יכול לקחת ימים שלמים

[iosi poli]

@מתכנת-חובב כן אבל הבאט מוריד בינארי
(קובץ הבאט באמת לא קשור, אבל אתה מסכים איתי שאפשר להחביא וירוס בדרכים מאוד מתוחכמות שיהיה קשה להסיר, נכון?)

@מתכנת-חובב כתב בשיתוף | נפלתי לוירוס של תוכנת כופר, תקראו ותלמדו להיזהר:

ובכל אופן סקריפט batch כמה שיערפלו אותו לא לוקח יותר מכמה שניות להבין איך ערפלו אותו

נכון, אבל למשתמש הפשוט זה לא ממש נכון...

[מתכנת חובב]

@iosi-poli כתב בשיתוף | נפלתי לוירוס של תוכנת כופר, תקראו ותלמדו להיזהר:

@מתכנת-חובב כן אבל הבאט מוריד בינארי

מה אתה בא לומר?
כל מה שאמרתי זה שאין פה הקשחה בעצם הערפול של ה bat - מכאן ואילך זה כמו כל נוזקה
אולי אנטי וירוס מאוד פשוט שלא עמיד במתקפות LOL יפול בזה אבל אז הוא גם יפול בלבדוק סקריפט מפורש...

@iosi-poli כתב בשיתוף | נפלתי לוירוס של תוכנת כופר, תקראו ותלמדו להיזהר:

(קובץ הבאט באמת לא קשור, אבל אתה מסכים איתי שאפשר להחביא וירוס בדרכים מאוד מתוחכמות שיהיה קשה להסיר, נכון?)

נכון אבל לא קשור לדוגמה שהבאת וקצת ערבבת בין ערפול הקוד להקשחת העמידות של הוירוס

@iosi-poli כתב בשיתוף | נפלתי לוירוס של תוכנת כופר, תקראו ותלמדו להיזהר:

נכון, אבל למשתמש הפשוט זה לא ממש נכון...

המשתמש הפשוט לא יודע לקרוא פקודת PS גם אם יכתבו לו אותה במפורש

[מישהו12]

@מתכנת-חובב כתב בשיתוף | נפלתי לוירוס של תוכנת כופר, תקראו ותלמדו להיזהר:

המשתמש הפשוט לא יודע לקרוא פקודת PS גם אם יכתבו לו אותה במפורש

• המשתמש הפשוט ישלח לGPT שיסביר לו

[מתכנת חובב]

@מישהו12 הוא גם יודע לפרסר סקריפט מעורפל בצורה מפתיעה

[מישהו12]

@מתכנת-חובב בדיוק...

[iosi poli]

Spoiler

תזכירו לי, מה הייתה המטרה של השרשור הזה?

[יונימדיה]

@iosi-poli מטרת השרשור הזה: אני מנסה לסכם

1. מה הוירוס עושה במחשב הנגוע.
2. איך ניתן לצאת מהווירוס הזה.
3. דרכי הימנעות - איך להיזהר מאתרים מסוכנים, ממודעות ופרסומות שעלולים להזיק למחשב + דוגמאות שקראו לי ולאחרים.
   אני מנסה לאסוף את כל המידע החשוב שכתוב כאן. ולנעוץ אותו בפוסט הראשון למעלה.
   כך זה יהיה הכי מועיל למי שנתקף כבר בווירוס הנ״ל, או למי שרוצה להיזהר.

Spoiler

אומנם אני לא מבין בוירוסים, אלא רק מלקט מכל השרשור. אני לא רוצה שיצא טעויות. אשמח אם מישהו שמבין יכין לי או יעזור לסיכום קצר. תודה

[עידו300]

@cfopuser @מישהו12 אם תרצו

[מישהו12]

@עידו300 תודה, אני פרסמתי שם בעבר כבר מאמר על אנדרואיד

[עידו300]

@מישהו12 אני יודע כתבתי לך את זה כאן

כתב בשיתוף | נפלתי לוירוס של תוכנת כופר, תקראו ותלמדו להיזהר:

אד הומינם זו דרך נהדרת לענות כשאין לך תשובה.

חס ושלום, לא התכוונתי לפגוע באף אחד וגם לא לדבר על אף אחד (לך אף יש לי הערכה מיוחדת בעצם זה שאתה כותב בdigitalwhisper).

וזה גם כתבתי שם
https://www.digitalwhisper.co.il/0x100/#:~:text=אחד מהם הוא כותב כאן)

[מישהו12]

@עידו300 החמאת לי לא הינדסתי את הוירוס הזה לאחור.

[עידו300]

@מישהו12 אני יודע @cfopuser עשה את עיקר העבודה, ראיתי שעקבת אחרי הוירוס לאיפה הוא מגיע וכו', אבל אני לא אתחיל עכשיו לפרט שם מה כל אחד עשה, כתבתי בכללי וזהו.

[cfopuser]

@עידו300 טכנית morris worm אחד הוירוסים הראשונים התפשט בדיוק ככה דרך קוי טלפון,
אבל זה לא שונה מאיך שזה קורה היום פשוט פעם השתמש ובטלפון כאינטרנט אין כאן שום תועלת יחודית.

[עם ישראל חיי]

היה לי כזאת הודעה של משטרת ישראל, אחרי שנכנסתי לאתר שהאנטי וירוס חסם במשך שלוש פעמים....

[עידו300]

וואי, אתם לא מבינים מה קרה לי עכשיו בעקבות השרשור הזה...

בגלל הסקרנות הורדתי חלק מהקוד (זה שמפענח את עצמו) בתור קובץ טקסט, הוא לא אמור לרוץ ככה, ככה אני חושב לפחות.

פיענחתי אותו פעמיים - שלוש, פחדתי להגיע לקוד הסופי אז עצרתי ומחקתי את קבצי הטקסט.

הבוקר קופץ לי אנטי וירוס נמצאו קבצים זדוניים...

הלב שלי נפל... מיד חשדתי שנפלתי איכשהו בפח הזה, ובצורה כלשהיא הקוד הצליח לרוץ, הרי הקבצים לא נקראו בשמות המוזרים האלו, ואפשר לראות בבירור בתמונה שהקוד הזדוני שהדביק לי את המחשב הוא אותו הקוד שפיענחתי!

מיד בדקתי באנטי וירוס eset שבדק לי את המחשב במשך כמה שעות ומצא 7(!) וירוסים, במהלך הבדיקה עוד לא ראיתי מה הקבצים שנמצאו אבל עם כל קובץ שנמצא הבנתי שהבור שאליו נכנסתי עמוק יותר ויותר...

התחלתי כבר להריץ תרחישים בראש, הולכים להצפין לי את המחשב? שילך כפרה, ישתמשו בו לכרות קריפטו? נו, לא ביג דיל. בוט לDOS? נחיה עם זה, גנבו סיסמאות? זה אסון... אני מחובר לשרתים, יש פרטי הזדהות (אפשר לגנוב SSH?!) סיסמאות שלי ושל אחרים וכו' אין מצב שזה קורה... שימות המחשב (ח"ו, כמובן), רק לא זה.

בקיצור אחרי שעות אני מקבל את הדו"ח של האנטי וירוס

השורה הראשונה זה אותו קובץ אומלל שמחקתי.

אחריו אלו קבצים שאני כתבתי (טוב, לא ממש אני, יותר gpt) אבל אני יודע מה הם עושים, למה זוהו כפישינג? אולי הוירוס הארור הצליח להזריק את עצמו גם לשם? יש לי עוד מערכות על המחשב (כאלו שעבדתי עליהן קשה), אחת שאוטוטו עוברת ידיים בשעה טובה, אולי הזריקו גם לתוכה? איזה בלאגן...

אבל איך אבדוק אם זה זיהוי שגוי? הרי הקובץ הוסגר ואיך דרך להחזיר אותו (להוציא מהסגרה? מאן דכר שמיה).

למזל, ב"ה, עשיתי גם גיבוי למערכת הספציפית הזו ובתוכה הקובץ שהוסגר, שלפתי אותו ועשיתי עליו סריקה (שלא יקח עוד שעות) ובשעה טובה האנטי וירוס מצא אותו כפישיניג! מה שאומר ש99% שהכל זיהוי שגוי (הרי יש שם קובץ מחוק שאכן זדוני, אילו היה יכול לרוץ... עריכה - כנראה זה לא הקובץ הזדוני, אלא עותק 7 של הקובץ התמים שהיה בסל המחזור) ועוד 3 עותקים של הקובץ שהופלל על לא עוול בכפו, ועוד 3 עותקים שלו שלא יודע איפה נמצאים), ירדה לי אבן מהלב זה ביטוי לא נכון, כל ההימליה ירדו מהלב שלי...

אלו הקבצים שזוהו כפישיניג, שמות מוזרים גם הם.

Spoiler

C:$Recycle.Bin\S-1-5-21-2405112106-3222505864-1721365442-1001$ROFPVGW.php PHP/Phishing.Agent.BR trojan cleaned by deleting

C:\Users\User\AppData\Roaming\Code\User\History-4adc73aa\78oy.php PHP/Phishing.Agent.BR trojan cleaned by deleting

C:\Users\User\AppData\Roaming\Code\User\History-4b1bbd5\yRJT.php PHP/Phishing.Agent.BR trojan cleaned by deleting

C:\Users\User\AppData\Roaming\Code\User\History\3b90a7b5\wlxr.php PHP/Phishing.Agent.BR trojan cleaned by deleting

זה הקוד שזוהה כפישינג
||

// מעדכן את אישור ההגעה במסד הנתונים ומחיזר תשובה לעמוד אישור ההגעה אם העדכון הצליח או לא
<?php
// טעינת פרטי מסד הנתונים מתוך config.php
require_once 'config.php';

$conn = new mysqli($servername, $username, $password, $dbname);

if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

// קבלת נתונים מהטופס
$phone = $_POST['phone'] ?? '';
$guests = $_POST['guests'] ?? '';

if (!empty($phone) && is_numeric($guests)) {
    $stmt = $conn->prepare("UPDATE guests SET guests = ? WHERE phone = ?");
    $stmt->bind_param("is", $guests, $phone);

    if ($stmt->execute()) {
        $message = "המידע עודכן בהצלחה!";
        $type = "success";
    } else {
        $message = "שגיאה בעדכון המידע.";
        $type = "error";
    }
    $stmt->close();
} else {
    $message = "לא סופקו נתונים תקינים.";
    $type = "error";
}

$conn->close();

// הפניה חזרה ל-invite.php עם הודעה
header("Location: invite.php?phone=$phone&type=$type&message=" . urlencode($message));
exit;
?>

||

ב"ה תודה אבא שבשמיים שזה כלום (לפחות אמרתי תהלים בגלל זה).

[מתכנת חובב]

@עידו300 לא עברתי על הכל אבל שים לב שקבצים בסל המחזור מקבלים שמות רנדומליים כאלו
כמו כן האנטי וירוס מנתח לפי תוכן ולא לפי סיומות כך שלא כל כך משנה הסיומת ששינית אבל אם כן אז באמת הקובץ לא רץ