Вредоносный сайт?

Discussion in 'Болталка' started by Bonkеrs, 13 Apr 2016.

  1. Bonkеrs

    Bonkеrs Member

    Joined:
    5 Feb 2014
    Messages:
    36
    Likes Received:
    17
    Reputations:
    3
    Нужна помощь эксперта!

    Есть мнение, что сайт является вредоносным.

    Я добавил второй дефис в имя домена, чтобы отсеять людей, которые не прочитают описание топика и перейдут по ссылке. Если вы считаете себя экспертом, второй дефис нужно убрать.

    bBY7DWs4EJ.4club--top.ru

    Смутило то, что сайт-прокладка не выполняет никакой полезной нагрузки и открывает в i-frame некоторую страницу, которая подгружается динамически. После прохождения теста (кнопки которого одинаковые), нас перенаправляет на сайт знакомств какой-то партнерки. Возможно, используется связка эксплойтов, поэтому тестировать на своей машине не советую.
     
  2. t0ma5

    t0ma5 Reservists Of Antichat

    Joined:
    10 Feb 2012
    Messages:
    830
    Likes Received:
    814
    Reputations:
    90
    так и есть, грузится какой то мутный ифрейм

    Code:
    $ curl --proxy socks5://127.0.0.1:9150 'http://bBY7DWs4EJ.4club-top.ru' -H 'User-agent: Mozilla/5.0 Gecko/20100101 Firefox/45.0' -H 'Content-Type: application/x-www-form-urlencoded; charset=UTF-8' -I
    HTTP/1.1 302 Found
    Date: Wed, 13 Apr 2016 13:56:26 GMT
    Server: Apache/2.2.17 (Win32) PHP/5.3.6
    X-Powered-By: PHP/5.3.6
    Set-Cookie: FABLESESSION=nsg9sdk8jn7t14oujorutk2gi6; path=/
    Expires: Mon, 26 Jul 1997 05:00:00 GMT
    Cache-Control: no-cache, must-revalidate
    Last-Modified: Wed, 13 Apr 2016 13:56:26GMT
    Pragma: no-cache
    Location: http://bBY7DWs4EJ.4club-mens.ru
    Content-Type: text/html; charset=Windows-1251
    
    $ curl --proxy socks5://127.0.0.1:9150 'http://bBY7DWs4EJ.4club-mens.ru' -H 'User-agent: Mozilla/5.0 Gecko/20100101 Firefox/45.0' -H 'Content-Type: application/x-www-form-urlencoded; charset=UTF-8' -I
    HTTP/1.1 200 OK
    Date: Wed, 13 Apr 2016 13:56:42 GMT
    Server: Apache/2.2.17 (Win32) PHP/5.3.6
    X-Powered-By: PHP/5.3.6
    Set-Cookie: FABLESESSION=rea4ja49cdhuo2onh829gmm343; path=/
    Expires: Thu, 19 Nov 1981 08:52:00 GMT
    Cache-Control: private, max-age=10800, pre-check=10800
    Last-Modified: Sat, 09 Apr 2016 20:58:48 GMT
    Content-Type: text/html
    
    $ curl --proxy socks5://127.0.0.1:9150 'http://bBY7DWs4EJ.4club-mens.ru' -H 'User-agent: Mozilla/5.0 Gecko/20100101 Firefox/45.0' -H 'Content-Type: application/x-www-form-urlencoded; charset=UTF-8'
    
    <html>
      <head>
        <meta http-equiv="Content-Type" content="text/html; charset=utf-8">
      </head>
      <body style="margin: 0px; padding: 0px; height: 100%; width: 100%;"><iframe src="http://f.refilmstt.ru/c/3d5da70bc280ccc5?" height=100% width=100% frameborder=0></iframe>
      </body>
    </html>
    
    по каким сигнатурам браузеры чекают вредоносность хз, но видимо под что то этот код попадает
    вопрос то в чём был?
     
    _________________________
  3. Bonkеrs

    Bonkеrs Member

    Joined:
    5 Feb 2014
    Messages:
    36
    Likes Received:
    17
    Reputations:
    3
    Спасибо за ответ.

    То что на сайте используется неясный i-frame - это ясно. Хотелось бы на 100% удостовериться, что код вредоносный.

    Сайт уже длительное время пиарится на просторах ВК, что-то маловато желающих заработать себе плюс в карму и спасти душонки неразумных зверьков. :(
     
  4. t0ma5

    t0ma5 Reservists Of Antichat

    Joined:
    10 Feb 2012
    Messages:
    830
    Likes Received:
    814
    Reputations:
    90
    в том то и проблема что "вредоносный сайт" определение очень расплывчатое, из зависит напрямую от браузеров и тех кто занимается этим, литьё трафика может вполне ставить печать вредоносный, или сайт находится в цепочке редиректов на сайт который заражает
     
    _________________________