Znalezione mutex/ocfipreoqyfb/mutex

MKucinski · 28 Września 2017

Trafiłem na to na wykopie: https://www.google.pl/search?q="mutex%2Focfipreoqyfb%2Fmutex" ciekawe o co chodzi. Coś dopisuje na różnych popularnych stronach ciąg znaków mutex/ocfipreoqyfb/mutex, sprawdźcie wasze strony, może jakiś wirus?

No i ciekawe kiedy wstawią swoje linki czy inne skrypty do kopania kryptowalut

cinmar · 28 Września 2017

ciekawa akcja. Ktoś coś testuje, z tego co można było by powiązać to instalacja wtyczki do FB i ciąg FB że ktoś testuje włam przez tego typu rozwiązanie ale wpis jest też na portalach gdzie FB nie ma. Dopisek do aukcji allegro czy portalach o prace zmiażdżył temat Akcja leci na PL wiec ciekawe dlaczego tylko pl witryny.

MKucinski · 28 Września 2017

Zaufanatrzeciastrona na FB podejrzewa, że skrypt jest generowany wewnętrznie po stronie serwera i to nie jest żaden atak, tylko jakaś awaria skryptu statystyk/reklam/itp.

na allegro też to jest: https://www.google.pl/search?q=ocfipreoqyfb+site%3Aallegro.pl

Tomek Ł. · 29 Września 2017

Według mnie, co też tam na NB zamieściłem , winny jest jakiś kod malwareu odkrytego już w styczniu/lutym 2017 i że w skrócie - przestańcie używać firefoxa nienadążającego za dobrymi praktykami. Sam pamiętam, jako admin, jak kilka lat temu nie dało się zaktualizować nawet firefoxa zainstalowanego w trybie użytkownika bez uruchomienia go z uprawnieniami administratora - zakazałem używania FF. Co i wam radzę - K-lite codec pack to tylko inny trop ale też warto odinstalować bo po co to komu w dobie mplayer.hq .

Przeszukując słów kluczowych jak i tego kodu generującego napis (ciekawe że klucz ma zawsze stałą wartość, przejrzałem kod generujący klucz i w sumie zawsze generowany jest ta sama wartość klucza dla zadanej aplikacji )

Trafiłem na kod z 7 stycznia 2017 jak i na zgłoszenie malweru który w sobie zawierał ten kod z 20 lutego 2017 (pliczek o być może nic nie znaczącej nazwie: bs-ff-PL.exe)

https://pastebin.com/Y9TPNA3a

https://www.hybrid-analysis.com/sample/8fe3d46a39fefd979fc792000d3109b2033b43dfa45e93af3ac5163883bf4899?environmentId=100 - złośliwe oprogr. zawierało kod generujący ocfi*cośtam