Facebook suna mai frumos: face si book. Un termen cu rezonante culte. Nu prea vad legatura, pentru ca eu tot pe hi5 am intalnit cei mai multi filosofi. Tot pe hi5 sunt si tarani.

Si aici s-a produs ruptura.

Taranii, satui de filosofi, s-au mutat pe facebook unde se joaca in voie de-a agricultorii. Stiti jocul ala farmville cu sloganul “Farmville – scoate taranul din tine”.

Apropo, stie cineva cum imi ud tarlaua cu vinete la farmville?

Daca s-ar ridica Platon, Democrit, Diogene (sau alti filosofi) din mormintele lor, ar ramane socati sa vada cata filosofie e pe hi5. Eu nu mai sunt chiar atat de socat, m-am obisnuit.

Mai jost aveti o lista cu citate celebre, citate pe care vi le puteti pune si voi la status pe mess, in functie de starea voastra de spirit!

1. Eu nu cred..sunt incredibil
2. Pula e un lux nasoalelor!
3. De azi inkolo daca ma atingi..eu vomit.
4. Sunt multe ca ea dar nu toate stralucesc!
5. E genul de femei care te vrea… dar nu are nevoie de tine
6. …Isi da refresh la caracter!…
7. Scuzati hi5-ul lasa comentarii fara voia mea !
8. Decat sa planga mama mai bn plange mata!

Astea-s doar cateva citate celebre si nu am idee in ce curent filosofic sa le incadrez.

Am impresia ca 2 are legatura cu 4, iar 4 legatura directa cu 8.

Nu va ingrijorati, nu este virus!

Pentru a sterge acest virus (in cazul in care v-a fost infectat profilul) intrati la sectiunea About me sau Interest, iar acolo veti gasi un cod mai ciudat cu embed:  stergeti-l si salvati modificarile facute.

Scanat Online pe Kaspersky.com:
hi5update.exe – infected by Trojan.Win32.Buzus.cxad

Cred ca e vorba de virusul ala inteligent de pe mess (ala care reuseste sa poarte discutii cu cei din lista infectata, iar apoi le da linkul infectat, astfel incat ai crede ca vorbesti chiar cu persoana respectiva).

Iata de ce este in stare acest virus:
* Isi creeaza procese care sa fie executate la pornirea calculatorului, de unde pot rezulta actiuni ce pot fi facute in mod automat, fara acordul vostru.
* Isi creeaza fisiere in folder-ul in care este instalat Windows-ul. Fisierele malware obisnuiesc sa isi tina copii de rezerva acolo pentru a nu fi descoperite de utilizatorii calculatorului, dat fiind faptul ca acolo nu umbla nimeni.
* Creaza si modifica fisiere din calculator care nu sunt temporare.
* Creaza procese in timpul executiei sale care va suprasolicita procesorul.
* Citeste si modifica intrarile din registri. Se poate sa fie un keylogger care inregistreaza fiecare tasta pe care o apasati si fiecare aplicatie pe care o porniti pe calculator.

!Update

Nytro a studiat putin mai amanuntit acest virus:

Test hi5update.exe
Se copiaza in: Windows/system32/winlog.exe
StartUp: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Trimite date catre: 188.27.212.206 ( Romania , Bucuresti, RDS ) – XAMPP
Posibil ca datele sa fie salvate in: http://188.27.212.206/log.txt

Datele sunt trimise cryptat ( cred ).
Scan simplu ( nmap ):
PORT STATE SERVICE
25/tcp filtered smtp
80/tcp open http
135/tcp filtered msrpc
139/tcp filtered netbios-ssn
443/tcp open https
445/tcp filtered microsoft-ds

Inca nu stiu exact ce vrea sa faca, cred ca este stealer, a “cautat” prin Temporary Internet Files si alte foldere gen Cookies de la Internet Explorer. Probabil doar IE pentru ca nu am si Mozilla sau altceva.

Revin cu mai multe detalii dupa ce studiez logurile. Pentru a scapa de el stergeti-l din system32 si scoteti-l de la startup.

Intre timp, siteul pe care era gazduit initial virusul, a fost suspendat in urma unui mail trimis de sonyxbz companiei respective de hosting, insa virusul (o noua versiune modificata genetic) si-a gasit un nou hosting:

Nytro a analizat si ce-a de-a doua varianta a virusului:

Are 217kb, celalalt avea 60. Sa vad diferente…
Pentru inceput:
E cryptat cu Polifemo Ebrio Crypter. Encryptia cred ca e RC4. Crypterul e scris tot in Visual Basic 6.
Noul IP e: 79.117.73.154 ( Romania, Constanta, RDS ) – 3728.zapto.org
Si mai e unul de SUA: nf4-no-ip.com ( 69.65.5.122 ) – Dar nu imi dau seama ce legatura are.
Se copiaza in : Windows/system32/boot.exe
Ca sa scapati de el stergeti boot.exe din C:\Windows\system32
Se pune la startup la: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \Font