De nos jour pour gagner de l'argent sur le net "rapidement" en ne respectant pas les lois, on peut créer un botnet et le louer à des entreprises, "backdoorer" des pc pour récupérer compte paypal etc. Après le malware il faut bien sûr le diffuser très largement.
Et c'est ainsi que vous pouvez voir sur mon blog (actuellement) une annonce google adsense qui propose de télécharger aircrack-ng, alors ni une ni deux je récupère l'URL et je vais voir.
Le site est pas dégueulasse mais le français est pas tip top (genre comme chez moi mais en vachement pire :))
Démonstration, des mots bizarres ou HS (le WAP c'est pour les téléphones pas le wifi):
"Avec AirCrack-ng on pourra décoder la clé qui protège le réseau Wi-Fi, soit WEP/WAP/WAP2-PSK, pour utiliser donc n’importe quelle connexion disponible dans l’air.
Le fonctionnement d’AirCrack-ng est très simple, il consiste en lancer des attaques, contre notre propre réseau, pour découvrir la clé WEP, en combinant des attaques statistiques avec des attaques de force brute. A travers des attaques statistiques s’accumulent une série de points pour chaque clé WEP, via d’une probabilité mathématique, c’est-à dire que quand aille plus « points » sera majeure la possibilité d’arriver au mot de passe correct. La force brute d’AirCrack-ng déterminera celle qui peut être la correcte. Dernièrement, AirCrack-ng possède un dictionnaire qui met en relation les résultats des paquets obtenus et s’ils coïncident, on a trouvé la clé."
Ce qui est sympa aussi c'est sous le bouton de download d'aircrack:
"Télécharger 100% livre virus"
moi j'aurais foutu, "Télécharger, 100% livré avec virus" :)
Bon le exe, je commence par un envoi chez virustotal, voici le permalink de l'analyse:
analyse virustotal
Résultat: 5/41 (12.2%) (pas mal)
| Antiy-AVL | 2.0.3.7 | 2009.11.24 | Backdoor/Win32.Small.gen |
| ClamAV | 0.94.1 | 2009.11.24 | Trojan.Agent-118730 |
| Jiangmin | 11.0.800 | 2009.11.24 | Backdoor/Small.bmm |
| McAfee+Artemis | 5812 | 2009.11.24 | Artemis!9E7BFE169ADD |
| Norman | 6.03.02 | 2009.11.24 | Suspicious_Gen.GGB.dropper |
Ensuite on va faire mieux, envoi chez anubis, voici le résultat:
resultat texte
La on a plus trop de doute sur le fichier exécutable, on a bien un malware,
ce qui est intéressant (je rappelle que le logiciel aircrack-ng ne comunique pas avec un serveur en principe... Bein celui la si, il cherche à récupérer un fichier xml de "configuration" (qui n'est plus présent sur le serveur d'ailleurs)
Monitored Registry Keys:
[=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=]
Key: [ HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5 ],
Watch subtree: [ 0 ], Notify Filter: [ Key Change ], 3 times
Key: [ HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9 ],
Watch subtree: [ 0 ], Notify Filter: [ Key Change ], 3 times
DNS Queries:Le traffic enregistré par anubis est dispo via un fichier pcap, si vous voulez voir: pcap
[=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=]
Name: [ aircrack-fr.com ], Query Type: [ DNS_TYPE_A ],
Query Result: [ 78.129.142.235 ], Successful: [ 1 ], Protocol: [ ]
[=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=]
HTTP Conversations:
[=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=]
From ANUBIS:1038 to 78.129.142.235:80 - [ aircrack-fr.com ]
Request: [ GET /fr/config_7046.xml ], Response: [ 302 "Found" ]
[=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=]
Unknown TCP Traffic:
[=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=]
From ANUBIS:1039 to 78.129.142.235:80
State: [ Normal establishment and termination ],
Outbound Bytes: [ 106 ], Inbound Bytes: [ 0 ]
Data sent:
Niveau whois du serveur ca donne rien:
Registrant:
Domains by Proxy, Inc.
DomainsByProxy.com
15111 N. Hayden Rd., Ste 160, PMB 353
Scottsdale, Arizona 85260
United States
par contre en reverse DNS c'est pas mal...
Un coup de robtex sur ca tronche: robtex
Sur le même serveur on a:
www.xvid-codec.org
www.winrar.vg
www.sopcast-tv.info
www.emule-emule.net
www.messenger-2009.info
www.virtualdj-full.net
www.free-3gpconverter.com
J'ai pas cherché plus d'infos, mais je pense que c'est suffisant
:)
Donc le fin mot de l'histoire, téléchargez TOUJOURS sur le site de l'auteur de l'outil si possible, et pas sur des sites de merdes comme celui la, si vous voulez pas vous retrouver backdooré jusqu'à la moelle. Les pubs sont a un exellent moyen de diffuser un malware, les annonces adsense sont générés par adwords, et ouvrir un compte c'est très rapide.
Tant qu'à faire le lien du site officiel: aircrack-ng
Lire la suite...
Un problème? Venez en parler sur le forum, tout a une solution :D
