Attention spam MP

[Lyon-St-Clair]

Recu la version Wiki :

Hello. Email spam from your computer was detected! It is quite possible that it is a part of botnet (http://en.wikipedia.org/wiki/Botnet).

Highly recommend you to scan your computer for malicious and potentially unwanted software. If you do not follow this, I will have to make a complaint to your Internet Service Provider with attached log file (your IP address, etc.).

If you want to find a report about your computer's security and solve every problem with it, please click here: http://totalpcscan.com/detected/Lyon-St-Clair

This is an online service that you can use for free spyware removal. Use it to scan your computer to help protect, clean, and keep your computer running at its best. Use the free scan to check for and remove viruses, spyware, and other potentially malicious software and to find vulnerabilities or shortcomings in your Internet security.

Sincerely, Terry Phillips.

Chuis nul en Anglais, Avast et Microsoft security center sont efficaces donc hop, comptacteur a ordures ...

[sebounetdu63]

Soyez rassurés. RAS également.

Même vaccin efficace donc.

RAS non plus

[flyguy69]

Faut arrêter avec la parano...

Je connais mon métier.

Le navigateur ne peut pas "interpréter" du code malicieux. Il n'interprète que du code javascript.

Le code javascript en lui même n'a pratiquement aucun pouvoir en dehors du navigateur (excepté sous IE/Windows où javascript peut manipuler les activex du système). Donc, ce n'est pas javascript qui pourra "scanner le PC" ou "pire télécharger mes documents". Il n'en a aucun moyen.

Quant aux cookies, tous les sites (même celui ci) en déposent sur ta machine, il n'y a donc rien de grave.

Un cooky n'est jamais qu'une chaine de caractère. IE les stocke sous forme de fichier, mais Safari/Chrome ou Firefox les stockent dans un enreg de database (SQLLite pour Safari). Donc, rien de malicieux là dedans.

Et pour les fichiers cryptés qui récupèrent tous les mots de passe, j'en pleure de rire encore.

Le danger de ce spam n'est que le fichier "setup.exe" qu'il télécharge. Cet exe est un instaleur qui va vraisemblablement installer un code malicieux dans le système. Puisque c'est un exe, ça ne concerne donc que Windows.

Et encore depuis IE 7, les mécanismes qui empêchent l'exécution automatique des exe depuis le navigateur sont actifs par défaut.

La faille n'est dans pas dans le système lui même, mais se trouve entre la chaise et le clavier.

Ce spam joue sur la peur de l'internaute en lui faisant croire que sa machine est infestée, et en lui proposant un remède (sous forme d'un petit programme à télécharger puis exécuter) qui deviendra pire que le prétendu mal détecté.

Moi je prévenais pour être sympa et prévenir des dangers d'internet (qu'on sous estime souvent par ailleurs )

Si ton "professionnalisme" peut te permettre de prétendre a tout le monde que ces dangers n'existent pas et que c'est de la parano, je te laisse responsable de ce que tu racontes.

Je vais pas débattre maintenant de tout les risques que tu peux encourir juste a lisant une page web(même pour un utilisateur mac ou linux)

Je pourrais te citer des tas d'exemples mais pour pas perdre mon temps a instruire un "professionnel" comme toi.

juste ce vieux:ver javacript

Et aussi Un cheval de troie javascript

Tu peux aussi vite prendre des cours sur les dangers du vol des cookies

C'est du vieux mais puisque t'as un mac : Un nouveau ver s'attaque aux machines hébergeant des sites web en php.

Selon http://www.k-otik.com, le ver utilise des failles de programmation basées sur les fonctions "include()" et "require()" utilisées de manière non sécurisée.

Pour trouver ses victimes, le ver utilise les moteurs de recherches (nouveau moyen de propagation à la mode).

Il profite ensuite des failles pour installer des robots IRC transformant les machines en zombies.

Attention donc, ce ver ne dépend pas d'une faille pour s'installer, mais d'une mauvaise programmation. Le fait qu'il utilise php, le rend indépendant de la plate-forme et du système d'exploitation. Source de l'article

Et c'est presque rien à comparé de l'arsenal que peut utiliser certains vrai professionnels du piratage.

Tu vois que c'est pas juste de la parano.

Modifié 3 avril 2010 par Roukmoute

[levdav]

Recu la version Wiki :

Chuis nul en Anglais, Avast et Microsoft security center sont efficaces donc hop, comptacteur a ordures ...

euh, pareil, terry machin à eu l amabilité de penser a moi.

à part ne pas repondre fut faire quoi ?

[Chartrain]

Moi je prévenais pour être sympa et prévenir des dangers d'internet (qu'on sous estime souvent par ailleurs )

Si ton "professionnalisme" peut te permettre de prétendre a tout le monde que ces dangers n'existent pas et que c'est de la parano, je te laisse responsable de ce que tu racontes

[...]

Et c'est presque rien à comparé de l'arsenal que peut utiliser certains vrai professionnels du piratage.

Tu vois que c'est pas juste de la parano.

Tous les exemples que tu cites sont effectivement des cas réels.

Sauf que tu parles de ver ou de cheval de Troie.

Un ver est un bout de code qui a la capacité de se transmettre d'une machine à l'autre... Mais là est sa limite, il ne peut pas vraiment faire autre chose si ce n'est que de demandez l'assistance à l'utilisateur (par de faux messages) pour en faire plus.

Le cheval de Troie est un programme qui se déguise en un autre pour profiter de la crédulité de l'utilisateur. Genre je suis un gentil programme anti-virus, laisse moi m'installer dans ton système puis m'exécuter...

Je le répète, javascript est innofensif sauf dans 2 cas :

- la réplication de code javascript à cause des interfaces de saisie riches.

Je m'explique : sur cheminots.net, l'utilisateur peut utiliser 2 modes pour répondre à un message : le mode simple (uniquement du texte) et le mode riche (celui où on peut saisir le texte, le sélectionner et y appliquer des styles - gras italique, etc. - ). A noter qu'il est possible de choisir entre les 2 modes par le bouton en haut à droite du cadre de saisie.

En mode simple, on ne peut mettre en forme le texte que par les balises BBCodes.

Pour l'anecdote, c'est l'utilisation du mode riche qui dénature les messages de Lev Davidovitch quand il fait du copier/coller des textes entre des sites et cheminots.net.

Le problème du mode riche est que ce qui est saisi est du html : on peut donc y mettre tout ce q'une page web peut faire, y compris le code javascript qui y serait inclus. Si le serveur ne filtre rien (comme Yahoo dans l'exemple donné), alors il stockera le javascript puis pourra le ré-envoyer à un autre utilisateur.

Reste que Javascript n'est dangereux que si il peut sortir du navigateur... Chose rendu possible par Microsoft en autorisant l'utilisation des activex au sein de son IE (d'ailleurs sous Crosoft on ne parle pas de javascript, mais jscript afin de bien marquer cette fondamentale différence).

Et encore, l'exécution d'activex dans javascript au sein de IE demande maintenant l'autorisation explicite de l'utilisateur depuis XP patch 2, Vista ou Seven.

- Enfin un dernier mot sur include(), require() ou plus généralement PHP (puisque les 2 premières instructions sont PHP). Ce sont des technos serveur et non clientes. Ca n'a rien à voir avec le sujet dont on parle.

Ta machine comme la mienne ne savent pas ce qu'est PHP (et donc ne savent pas l'interpréter -sauf si tu as installé PHP, ce qui m'étonnerai, au vu du "professionnalisme" que tu m'affubles- ).

Un mot sur le problème de include() et require() : dans les vieilles versions de PHP, un serveur pouvait renvoyer ses pages web en incluant (le include() ) du html venant d'autres sites web, dont des sites peu scrupuleux. Ces sites bien sûr pouvaient donc envoyer code html avec du javascript, et une fois de plus, profiter de la crédulité de l'utilisateur, etc...

Le include()/require() est maintenant blindé et PHP ne permet plus par défaut d'inclure du html provenant d'autres domaines (ou même maintenant étant pointé par une URL au lieu d'un chemin fichier traditionnel).

De plus, pour exploiter le include(), le pirate devait se connecter via FTP au site hébergeant le serveur. Or si le mot de passe protégeant le site était du style toto, password, ou tout prénom connu du calendrier, alors le pirate avait presque les mains libres.

Mon second message ne concernait que ta réponse à mon message initial.

Ta réponse n'avait rien de "sympa" envers moi.

Je n'y parle pas de "professionalisme", juste que je connais mon métier, tout comme les cheminots se moquent des gens (qui pourraient être moi) quant on confond voiture et wagon (mais je ne connais pas le métier de cheminot).

Dernière chose, Google n'est pas toujours ton notre ami, alors il faut éviter de taper dans gogole "virus javascript" et de me balancer les pages...

J'arrête de polluer ce post.

Désolé.

Modifié 2 avril 2010 par Chartrain

[flyguy69]

@chartrain

Ta réponse n'avait rien de "sympa" envers moi.

Tu tournes à la dérision et tu crédibilises des conseils intelligents et tu t'étonnes qu'on te prouve par A+B que la teneurs de tes railleries ne valent pas un clou?

"-sauf si tu as installé PHP, ce qui m'étonnerai"

Tu juges sans me connaitre et c'est encore une erreur(encore un signe manifeste de vanité). (en plus faut pas être une génie pour installer et configurer un serveur web + php)

alors il faut éviter de taper dans gogole "virus javascript" et de me balancer les pages

Tu me propose quoi à la place, de donner un exemple de piratage personnel ?

Pour le reste de ton plaidoyer, je m'abstiens de répondre ( No comment ) .

En conclusion: Fais profiter le forum de ton talent pour arrêter les spam.

Car moi je suis a pas à ton niveau mais au moins je cherche gentiment des solutions .

Modifié 2 avril 2010 par flyguy69

[Invité orthez]

Bonsoir, j'ai moi aussi reçu ce message privé de TerryPhillipz. J'ai cliqué sur le lien afin de pouvoir lire ce message (tout en anglais) et le lien à l'intérieur de ce message m'a avertie qu'il s'agissait d'un "message malicieux". Je l'ai supprimé, mais je me demande si mon ordi n'a pas pu en souffrir… Je précise que j'ai un Mac et pour l'instant je n'ai pas de problèmes…

Je précise que je ne fais pas partie du personnel des chemins de fer et j'ai demandé à plusieurs reprises à être supprimée de la liste des utilisateurs (je ne m'étais inscrite que pour connaître les jours de visite du réseau de modélisme sous la Gare de l'Est…).

Si quelqu'un ici pouvait me désinscrire j'en serais ravie. JUSTE UNE CHOSE JE NE ME SOUVIENS PLUS DU TOUT DE MON MOT DE PASSE; Merci par avance

Et j'espère que cette malveillance n'aura pas de conséquences fâcheuses pour vous tous.

Modifié 2 avril 2010 par orthez

[bobdobbs]

Le include()/require() est maintenant blindé et PHP ne permet plus par défaut d'inclure du html provenant d'autres domaines (ou même maintenant étant pointé par une URL au lieu d'un chemin fichier traditionnel).

Si seulement les gens étaient conscients des risques que ce genre d'automatismes entraîne. J'ai eu l'occasion d'entendre un développeur me dire, tout content de lui, qu'il avait mis allow_url_include à On, ce qui lui facilitait bigrement la tâche pour réutiliser du code entre ses sites (!)...

De plus, pour exploiter le include(), le pirate devait se connecter via FTP au site hébergeant le serveur. Or si le mot de passe protégeant le site était du style toto, password, ou tout prénom connu du calendrier, alors le pirate avait presque les mains libres.

Là encore, triste à dire, mais j'ai encore eu récemment à nettoyer une machine Linux dont l'admin avait déserté depuis longtemps et où le client avait un serveur SSH béant, des utilisateurs mail avec /bin/bash comme shell (merci la conf' par défaut de Webmin) et des mots de passe de la forme "login123". Bien évidemment, tout le monde y avait pris ses aises : pas moins de trois rigolos différents y avaient collé leurs bouncers IRC. Ça fout la trouille©.

Et flyguy69 a, hélas, raison sur un point : il ne faut pas être un génie pour configurer un Apache avec [acronym="">PHP. D'où, probablement, l'incroyable nombre de serveurs installés de manière bancale, et laissés marchoter une fois le projet payé par le client. On n'a pas fini d'en baver (d'un autre côté, ça nous donne du boulot, c'est déjà pas mal ;-)

J'arrête de polluer ce post.

Oui, désolé, j'arrête aussi car ça commence à peu à partir en . Mais bon, pas pu m'empêcher de râler sur l'état actuel de l'industrie (où, pendant ce temps, tout le monde vend des solutions de sécurité et autres IDS à la noix en faisant miroiter aux gens que ça va magiquement les protéger)...

Un petit post scriptum quand même, pour tenter de coller un tant soit peu au sujet : des gens s'étonnent que nos grands amis les spammeurs aient passé les CAPTCHA. En réalité, il y a belle lurette que les spammeurs ont compris l'utilité des logiciels d'OCR pour atteindre leurs buts néfastes. Se reposer entièrement sur un

Modifié 2 avril 2010 par bobdobbs

[katamiaw]

Merci de signaler ici tout spam par MP reçu aprés le 02/04 à 13h15, heure d'application du Patch de sécurité... espérons que ce soit le bon remède !

[Invité orthez]

Bonjour Monsieur l'Administrateur.

Je vous fais un copié/collé de mon message de nette nuit :

Bonsoir, j'ai moi aussi reçu ce message privé de TerryPhillipz. J'ai cliqué sur le lien afin de pouvoir lire ce message (tout en anglais) et le lien à l'intérieur de ce message m'a avertie qu'il s'agissait d'un "message malicieux". Je l'ai supprimé, mais je me demande si mon ordi n'a pas pu en souffrir… Je précise que j'ai un Mac et pour l'instant je n'ai pas de problèmes…

Je précise que je ne fais pas partie du personnel des chemins de fer et j'ai demandé à plusieurs reprises à être supprimée de la liste des utilisateurs (je ne m'étais inscrite que pour connaître les jours de visite du réseau de modélisme sous la Gare de l'Est…).

Si quelqu'un ici pouvait me désinscrire j'en serais ravie. JUSTE UNE CHOSE JE NE ME SOUVIENS PLUS DU TOUT DE MON MOT DE PASSE; Merci par avance

J'espère que vous pourrez accéder à ma demande……… Par avance, merci et bonne journée.

Merci de signaler ici tout spam par MP reçu aprés le 02/04 à 13h15, heure d'application du Patch de sécurité... espérons que ce soit le bon remède !

[Roukmoute]

Bonjour Monsieur l'Administrateur.

Je vous fais un copié/collé de mon message de nette nuit :

Bonsoir, j'ai moi aussi reçu ce message privé de TerryPhillipz. J'ai cliqué sur le lien afin de pouvoir lire ce message (tout en anglais) et le lien à l'intérieur de ce message m'a avertie qu'il s'agissait d'un "message malicieux". Je l'ai supprimé, mais je me demande si mon ordi n'a pas pu en souffrir… Je précise que j'ai un Mac et pour l'instant je n'ai pas de problèmes…

Je précise que je ne fais pas partie du personnel des chemins de fer et j'ai demandé à plusieurs reprises à être supprimée de la liste des utilisateurs (je ne m'étais inscrite que pour connaître les jours de visite du réseau de modélisme sous la Gare de l'Est…).

Si quelqu'un ici pouvait me désinscrire j'en serais ravie. JUSTE UNE CHOSE JE NE ME SOUVIENS PLUS DU TOUT DE MON MOT DE PASSE; Merci par avance

J'espère que vous pourrez accéder à ma demande……… Par avance, merci et bonne journée.

Aparté : un MP à l'admin serait plus efficace.

[Invité orthez]

Bonjour Monsieur l'Administrateur.

Je vous fais un copié/collé de mon message de nette nuit :

Bonsoir, j'ai moi aussi reçu ce message privé de TerryPhillipz. J'ai cliqué sur le lien afin de pouvoir lire ce message (tout en anglais) et le lien à l'intérieur de ce message m'a avertie qu'il s'agissait d'un "message malicieux". Je l'ai supprimé, mais je me demande si mon ordi n'a pas pu en souffrir… Je précise que j'ai un Mac et pour l'instant je n'ai pas de problèmes…

Je précise que je ne fais pas partie du personnel des chemins de fer et j'ai demandé à plusieurs reprises à être supprimée de la liste des utilisateurs (je ne m'étais inscrite que pour connaître les jours de visite du réseau de modélisme sous la Gare de l'Est…).

Si quelqu'un ici pouvait me désinscrire j'en serais ravie. JUSTE UNE CHOSE JE NE ME SOUVIENS PLUS DU TOUT DE MON MOT DE PASSE; Merci par avance

J'espère que vous pourrez accéder à ma demande……… Par avance, merci et bonne journée.

Sans doute, roukmoute, mais je ne sais pas comment il faut faire………

[kerguel]

Sans doute, roukmoute, mais je ne sais pas comment il faut faire………

Suis pas Roukmoute mais peux t'aider :

Voir le lien

http://www.cheminots.net/forum/index.php?act=members

A la place de "Tous les membres" choisir Administrateur

Cliquer sur admin

Cliquer sur Envoyer message

Et là tu vides ton sac :Smiley_35:

[joss]

reçu deux messages de ce Terry Philipz hier et deux ce soir lors de connections multiples entre ce site et (wikipédia) me le signalant comme un spam,Il m'avait deja fait le coup une fois et j'avait tout suprimé. Par contre s'il n'est pas de chez vous d'ou vient t'il car je lui ai renvoyer son message pratiquement de suite et aparement liaison impossible car messagerie pleine mais il commence à m'énerver!. Nota le refus de mon renvoi du message venait d'un serveur de suisse car vu sur autres article qu'il était d'amérique.

Modifié 4 avril 2010 par joss