== ВНИМАНИЕ! Клиент MediaGet является вредоносным ПО! ==

Страницы :  1, 2, 3 ... 13, 14, 15  След.
Ответить
 

Техническая помощь

Техническая помощь

Стаж: 17 лет 2 месяца

Сообщений: 98

Техническая помощь · 24-Июл-12 17:24 (11 лет 8 месяцев назад, ред. 28-Авг-12 15:21)

Официальное разъяснение ситуации с занесением торрент-клиента MediaGet в базы Dr.Web
http://news.drweb.com/?i=2205&c=5&lng=ru
10 февраля 2012 года
Компания «Доктор Веб» разъясняет ситуацию с включением торрент-клиента MediaGet в список потенциально опасных приложений, которое произошло в сентябре 2011 года. На данный момент антивирусные продукты Dr.Web блокируют посещение сайта разработчиков программы и ряда других ресурсов, размещающих ссылки на ее скачивание, — все они добавлены в базы Dr.Web с резолюцией «Нерекомендуемый сайт».
После тщательного анализа схемы распространения торрент-клиента MediaGet специалисты компании «Доктор Веб» приняли решение занести его в базы Dr.Web под именем Program.MediaGet. Очевидно, что метод, используемый для повышения числа установок программы на пользовательских компьютерах, является недобросовестным.
Для распространения программы ее разработчиками была создана так называемая «партнерская программа», в рамках которой всем желающим предлагалось за определенное вознаграждение принять участие в «популяризации» торрент-клиента. Отметим, что несколько дней назад страница с описанием программы была оперативно удалена владельцами сайта MediaGet, однако сохранилась в кэше поисковой системы Google.
В рамках этой программы владельцы ряда интернет-ресурсов, распространяющих разнообразный медиа-контент, в числе прочего используют на своих площадках специальные ссылки вида:
Код:
http://mediaget.com/torrent.php?r=<адрес интернет-ресурса>&s=<имя>+<фильма>
Подобные ссылки, соответственно, размещаются на страницах с описаниями фильмов и крепятся к кнопкам с текстом «Скачать бесплатно <название фильма> с помощью MediaGet» (текст может варьироваться от ресурса к ресурсу). При нажатии на кнопку на компьютер пользователя загружается установочный файл торрент-клиента, при этом имя файла полностью совпадает с названием фильма. По этой причине пользователь с большой долей вероятности запустит данный файл, в результате чего произойдет установка торрент-клиента. В процессе инсталляции пользователю предлагается дополнительно установить тулбар одного популярного интернет-портала: тут важно подчеркнуть, что тулбар устанавливается даже в том случае, когда пользователь отказался от него.
После автоматического запуска программа осуществляет поиск файла для скачивания, однако совершенно не факт, что данный фильм есть в раздаче — в этом случае поиск не приводит к каким-либо результатам, и пользователь не получает того, что искал. При этом цель распространителей MediaGet достигнута: торрент-клиент уже установлен на его компьютере.
Такая схема распространения программного обеспечения признается компанией «Доктор Веб» как потенциально опасная, так как вводят пользователей в заблуждение и предусматривают установку ПО на компьютер без их принципиального согласия. В случае если разработчики MediaGet перейдут к прозрачным и добросовестным методам продвижения, решение о включении торрент-клиента в базы Dr.Web может быть пересмотрено.
Адреса размещающих подобные ссылки ресурсов оперативно заносятся в базы Dr.Web в качестве не рекомендуемых для посещения. Компания «Доктор Веб» призывает своих пользователей проявлять бдительность во время посещения интернет-сайтов и соблюдать соответствующие меры предосторожности.

Проверка, проведённая одним из наших модераторов, показала:
Aldorr писал(а):
По результатам первых 15 минут - сумасшедший SYN-флуд. Открывается больше 200 сокетов раз в 10 секунд по разным направлениям
Aldorr писал(а):
Программа однозначно вредоносная. Закрепляется в системе пользователя намертво, изменяя файловую систему и реестр для того, чтобы препятствовать своему изменению и удалению.
Способна скачивать "корректировку" при старте, проводить SYN-атаки на целевой хост - имя "цели" может менятся в процессе работы программы.
Aldorr писал(а):
За сутки тестирования вердикт не изменился - программа суть паразит и гнать ее надо
Aldorr писал(а):
Эта гнусность открывает не один порт, а один "высокий" порт (гонять данные) и целый диапазон внизу - с 1100 по 1150
Возможность удаленного управления можно считать доказанной. Плюс подготовила пачку системной статистики (в основном инишники) к отправке

Я думаю, комментарии не требуются.


Убедительная просьба — не редактировать!
Л. М. Гога
[Профиль]  [ЛС] 

G West

Стаж: 11 лет 8 месяцев

Сообщений: 13


G West · 27-Июл-12 11:43 (спустя 2 дня 18 часов, ред. 27-Июл-12 18:57)

Поделюсь своим опытом ещё раз:
Из-за него новый и совершенно ненужный роутер купил. Дело в том, что после установки MediaGet-а начались перебои в работе роутера, вплоть до отрубания инета. Подключаешь напрямую, без роутера, проблем нет, с роутером доступ в инет периодически отрубается. Я подумал, что проблема в роутере.
В общем, новый, более мощный и дорогой, купил себе. Подключаю, настраиваю, а проблемы те же, соединение нестабильно. Выясняю в чём дело. Тут проблемы со стабильностью работы системы начинаются. Антивирусом Dr. Web cureit-ом систему проверяю, он этого вредоноса MediaGet-а находит, и я сношу его антивирусом, а других вредоносов не было. Доступ в инет теперь стабильный, затем проверяю старый роутер и тот уже работает отлично.
Aldorr писал(а):
Цитата:
По результатам первых 15 минут - сумасшедший SYN-флуд. Открывается больше 200 сокетов раз в 10 секунд по разным направлениям
Ну благодаря этому SYN-флуду и прочему исходящему потоку DDos'а роутеры и загибались. Видимо тупо таблицы маршрутизации забивает.
Вообще конечно MediaGet это (сетевой) бот - ботнет создаёт.
Всем советую отнестись к моему вышеописанному отрицательному опыту серьёзно. А то опять, придется кому-то из-за вирусного MediaGet'а, себе новые роутеры покупать.
Учитесь на чужих ошибках.
[Профиль]  [ЛС] 

megaweber

Стаж: 16 лет

Сообщений: 26


megaweber · 27-Июл-12 12:47 (спустя 1 час 4 мин., ред. 27-Июл-12 18:24)

Цитата:
Проверка, проведённая одним из наших модераторов, показала:
Вы меня простите, но проверка показала, что модератор силен на графоманию, но при этом хочет, чтобы ему верили на слово. Или тут как говорится в русской поговорке: "У страха глаза велики"?
Давайте по пунктам:
1) "По результатам первых 15 минут - сумасшедший SYN-флуд. Открывается больше 200 сокетов раз в 10 секунд по разным направлениям."
Вот у меня открыт МедиаГет постоянно, день за днем, я конечно не слежу за ним сниффером 24 часа в сутки, но подобной активности не наблюдаю. Сокеты он открывает для скачивания файлов, нужно же как-то к пирам коннектиться.
2) "Программа однозначно вредоносная. Закрепляется в системе пользователя намертво, изменяя файловую систему и реестр для того, чтобы препятствовать своему изменению и удалению.
Способна скачивать "корректировку" при старте, проводить SYN-атаки на целевой хост - имя "цели" может менятся в процессе работы программы."
Что понимается под изменением файловой системы я не очень понял, это то, что он свои файлы записывает на винт, а как он работать должен иначе? Реестр тоже меняет, почти все программы меняют, ничего в этом вредоносного нет, если не доказать обратное. Вот что про изменение и удаление, тут у меня вопрос возникает. Я ничего менять не пытался, но удалить смог просто через анинсталлер или установку и удаление программ в windows. На маке версия еще проще удаляется.
Что касается "корректировки" для атак, давайте подробности, я с радостью изучу.
3) "Эта гнусность открывает не один порт, а один "высокий" порт (гонять данные) и целый диапазон внизу - с 1100 по 1150
Возможность удаленного управления можно считать доказанной. Плюс подготовила пачку системной статистики (в основном инишники) к отправке."
Так, ну давайте начнем с того, что все торрент-клиенты имеют открытый входящий порт, он задается в настройках или выставлен по умолчанию, что такое "высокий" порт, я не понял. У меня вот стоит в uTorrent 48844 - это высокий или не дотягивает? Вот про диапазон с 1100 по 1150 - прошу показать в сниффере, так как не очень понял. Возможность удаленного управления можно считать доказанной, кто и кем управляет - я так и не понял? Ну и коли уж до инишников дело дошло - давайте их в студию, поковыряем тут вместе и разберемся, что за злые демоны там сидят.
В общем мне совершенно не нравятся подобные громкие заявления во вредоносности, которые выдвинул один модератор, а другие подхватили, не проверив.
Давайте так, если вы мне дадите сюда выкладку по доказательству вредоносности, то я переведу $1000 долларов на указанный счет, признаю себя неправым и извинюсь перед обвинителями.

Давайте разбирать софт, сравнивая его поведение с utorrent, так как он является эталоном для многих. Видите непонятную активность, проверьте, нет ли ее в других клиентах.
Кстати, разработчики софта вроде не особо закрытые люди и связывались уже даже с модераторами рутрекера. Почему бы не попросить их прокомментировать возникшие вопросы?
P.S. Заметьте, Dr.Web изучив софт не смог даже близко найти похожего поведения софта.
[Профиль]  [ЛС] 

faretn

Стаж: 15 лет 3 месяца

Сообщений: 1

faretn · 27-Июл-12 12:55 (спустя 8 мин.)

Че за бред кролика-роджера? В каком месте это вредоносная программа? Фэйк-вброс от конкурентов что-ли? Идите лучше делайте качественный продукт как MediaGet
[Профиль]  [ЛС] 

Полуночник

VIP (Заслуженный)

Стаж: 17 лет 2 месяца

Сообщений: 7293

Полуночник · 27-Июл-12 14:20 (спустя 1 час 24 мин.)

faretn
    faretn писал(а):
    Че за бред кролика-роджера?
    Сей бред с выкладками, что лично мной подтверждается. У вас какие наработки по данному вопросу? Или вы очередной доброжелатель, у которого доводы на уровне эмоций?
[Профиль]  [ЛС] 

megaweber

Стаж: 16 лет

Сообщений: 26


megaweber · 27-Июл-12 17:33 (спустя 3 часа, ред. 27-Июл-12 17:33)

Полуночник писал(а):
faretn
    faretn писал(а):
    Че за бред кролика-роджера?
    Сей бред с выкладками, что лично мной подтверждается. У вас какие наработки по данному вопросу? Или вы очередной доброжелатель, у которого доводы на уровне эмоций?
Давайте подтверждения и реквизиты для перевода, иначе это все опять-таки просто слова. Говорить каждый может, давайте будем людьми дела, Вы мне выкладки, я Вам $1000.
[Профиль]  [ЛС] 

Полуночник

VIP (Заслуженный)

Стаж: 17 лет 2 месяца

Сообщений: 7293

Полуночник · 27-Июл-12 17:46 (спустя 13 мин.)

megaweber
    megaweber писал(а):
    Давайте подтверждения и реквизиты для перевода, иначе это все опять-таки просто слова
    Мне уже надоело свой материал выкладывать. Тут умники тему несколько раз порвали на части, и старые посты уже не найду. Мне теперь опять по новой на это несколько часов убивать? И зачем? Я уже не ТП, не античитер, и вообще не модератор. Да и деньги ваши мне не нужны. Так что вам надо - пользуйтесь, а я знаю то что знаю, и эта прога у меня стоять не будет. Если кому будет не лень, то продублируют мой пост из привата ТП. Правда там не все, но достаточно.
[Профиль]  [ЛС] 

megaweber

Стаж: 16 лет

Сообщений: 26


megaweber · 27-Июл-12 18:12 (спустя 25 мин.)

Полуночник писал(а):
megaweber
    megaweber писал(а):
    Давайте подтверждения и реквизиты для перевода, иначе это все опять-таки просто слова
    Мне уже надоело свой материал выкладывать. Тут умники тему несколько раз порвали на части, и старые посты уже не найду. Мне теперь опять по новой на это несколько часов убивать? И зачем? Я уже не ТП, не античитер, и вообще не модератор. Да и деньги ваши мне не нужны. Так что вам надо - пользуйтесь, а я знаю то что знаю, и эта прога у меня стоять не будет. Если кому будет не лень, то продублируют мой пост из привата ТП. Правда там не все, но достаточно.
Вы поймите, что я борюсь исключительно за справедливость, а то у нас часто, один сказал, остальные поверили. Я просто сомневаюсь, что софт с таким функционалом, как DDOS может так мирно жить, давно бы кто-нибудь за ним пришел, как минимум жертвы этих атак
[Профиль]  [ЛС] 

Papant

Admin

Стаж: 16 лет 6 месяцев

Сообщений: 54278

Papant · 27-Июл-12 18:31 (спустя 19 мин., ред. 27-Июл-12 18:34)

megaweber
А вот что интересно - можно ли медиагет сделать портабельным?
Как я понимаю - сразу бы отпали некоторые претензии (хотя и не все). Потому как портабельная программа по определению ничего никуда в систме прописывать не должна.
[Профиль]  [ЛС] 

Полуночник

VIP (Заслуженный)

Стаж: 17 лет 2 месяца

Сообщений: 7293

Полуночник · 27-Июл-12 18:35 (спустя 4 мин.)

megaweber
Насчет ddos не проверял, врать не буду, но стучит куда не попадя, и хз чего там/кому/зачем отсылает. У нормального клиента должен идти запрос на трекер, к пирам, и на серваки DHT. Может ещё устроит свой ретрекер (хотя это уже лишнее). Болше стучать ему без надобности, а он стучит, и не одному адресу. И проверял лишь по HTTP.
[Профиль]  [ЛС] 

Dron3x2a

Стаж: 13 лет 9 месяцев

Сообщений: 28

Dron3x2a · 27-Июл-12 18:39 (спустя 3 мин., ред. 27-Июл-12 19:08)

На тебе... Ну вообще таким манером общаются на форумах и подфорумах распространители-доказатели невирусности этого MediaGet. Им оплачивают комментарии через программу-реферал. И ботоводство, присутствует конечно.
Здесь один выступающий уже появлялся:
https://rutracker.org/forum/viewtopic.php?t=3360115&start=210
Манера - софистика и ничего больше.
Или люди действительно здесь в программе-реферале участвуют, или же пароли от аккаунтов при помощи того же сетевого бота MediaGet'а украдены.
[Профиль]  [ЛС] 

doc_ravik

Техническая помощь (неактивен)

Стаж: 13 лет 7 месяцев

Сообщений: 12488

doc_ravik · 27-Июл-12 18:43 (спустя 3 мин., ред. 27-Июл-12 18:43)

Dron3x2a писал(а):
или же пароли от аккаунтов при помощи того же сетевого бота MediaGet'а украдены.
Скорее пасскеи :). В этом он тоже был замечен.
[Профиль]  [ЛС] 

Ivaemon

Стаж: 14 лет 11 месяцев

Сообщений: 518

Ivaemon · 27-Июл-12 18:44 (спустя 36 сек.)

Спасибо!
[Профиль]  [ЛС] 

G West

Стаж: 11 лет 8 месяцев

Сообщений: 13


G West · 27-Июл-12 18:51 (спустя 7 мин., ред. 27-Июл-12 18:54)

Полуночник писал(а):
Насчет ddos не проверял, врать не буду, но стучит куда не попадя, и хз чего там/кому/зачем отсылает. У нормального клиента должен идти запрос на трекер, к пирам, и на серваки DHT. Может ещё устроит свой ретрекер (хотя это уже лишнее). Болше стучать ему без надобности, а он стучит, и не одному адресу. И проверял лишь по HTTP.

SYN-флуд и есть ОСНОВНАЯ разновидность DDos атаки. Так что... MediaGet был пойман с поличным, прямо модератором рутрекера, прямо на месте преступления.
[Профиль]  [ЛС] 

megaweber

Стаж: 16 лет

Сообщений: 26


megaweber · 28-Июл-12 08:32 (спустя 13 часов, ред. 28-Июл-12 08:32)

doc_ravik писал(а):
Dron3x2a писал(а):
или же пароли от аккаунтов при помощи того же сетевого бота MediaGet'а украдены.
Скорее пасскеи :). В этом он тоже был замечен.
Почитайте историю, было описано, что это проблема библиотеки, которую использует софт для организации работы torrent-протокола, разработчики с проблемой согласились и устранили ее, причем достаточно быстро.
G West писал(а):
Полуночник писал(а):
Насчет ddos не проверял, врать не буду, но стучит куда не попадя, и хз чего там/кому/зачем отсылает. У нормального клиента должен идти запрос на трекер, к пирам, и на серваки DHT. Может ещё устроит свой ретрекер (хотя это уже лишнее). Болше стучать ему без надобности, а он стучит, и не одному адресу. И проверял лишь по HTTP.

SYN-флуд и есть ОСНОВНАЯ разновидность DDos атаки. Так что... MediaGet был пойман с поличным, прямо модератором рутрекера, прямо на месте преступления.
Давайте еще раз и по пунктам, какие отстуки и куда?
Трекер, пиры и DHT это сферический торрент-клиент в вакууме, utorrent как минимум стучистся за обновлениями на свой сервак, мы же не начинаем тут кричать, что он обновляет свои задания для ДДОСа. Помимо этого в MediaGet есть встроенный каталог с фильмами и встроенный поиск по трекерам, я не знаю как там построено взаимодействие, но откуда-то вся эта информация должна попадать на клиента.
Рapant писал(а):
megaweber
А вот что интересно - можно ли медиагет сделать портабельным?
Как я понимаю - сразу бы отпали некоторые претензии (хотя и не все). Потому как портабельная программа по определению ничего никуда в систме прописывать не должна.
Не знаю, вбив запрос в Яндекс получил кучу софтовых сайтов, так как я не особо доверяю подобным творениям, то качать и проверять не стал, виртуалка есть в офисе только.
Dron3x2a писал(а):
На тебе... Ну вообще таким манером общаются на форумах и подфорумах распространители-доказатели невирусности этого MediaGet. Им оплачивают комментарии через программу-реферал. И ботоводство, присутствует конечно.
Здесь один выступающий уже появлялся:
https://rutracker.org/forum/viewtopic.php?t=3360115&start=210
Манера - софистика и ничего больше.
Или люди действительно здесь в программе-реферале участвуют, или же пароли от аккаунтов при помощи того же сетевого бота MediaGet'а украдены.
Как меня обвиняете в софистике, так и я могу обвинить Вас в демагогии, но я же этого не делаю, так как жду хоть каких-то фактов, да и закон о клевете недавно вернулся
[Профиль]  [ЛС] 

Ivaemon

Стаж: 14 лет 11 месяцев

Сообщений: 518

Ivaemon · 28-Июл-12 11:57 (спустя 3 часа, ред. 28-Июл-12 11:57)

Рapant писал(а):
megaweber
А вот что интересно - можно ли медиагет сделать портабельным?
Как я понимаю - сразу бы отпали некоторые претензии (хотя и не все). Потому как портабельная программа по определению ничего никуда в систме прописывать не должна.
Портабельная прога прописывает в системе все то же самое, что инсталлируемая, но только на время работы. При сворачивании все выгружает, записи в реестре, естественно, остаются, если создает директории в системных разделах, они тоже не удаляются. Так что разницы в данном случае не будет.
Я вот никак не пойму трепетную и нежную любофф к этой поделке со стороны некоторой части юзеров. Есть куча нормальных торрент-клиентов, вам что, их мало?
[Профиль]  [ЛС] 

Dron3x2a

Стаж: 13 лет 9 месяцев

Сообщений: 28

Dron3x2a · 28-Июл-12 17:50 (спустя 5 часов)

Ivaemon писал(а):
Я вот никак не пойму трепетную и нежную любофф к этой поделке со стороны некоторой части юзеров.
Всё становится на свои места, если учесть программу-реферал, оплачивающий хвалебный текст, в том числе и доказывания того, что MediaGet это не вирус.
Раньше распространители говорили, что MediaGet проверен антивирусами и чист, а теперь когда они его постоянно палят, даже несмотря на его перманентные обновления и заявления о сотрудничестве с производителями антивирусов, начали говорить что виной всему какой-то неведомый "принцип" или "особенность" работы всех видов антивирусов и онлайн сканеров, хотя что-то не видно, чтобы антивирусы реагировали на другие торрент клиенты. Ну просто Страшный Великий Заговор каких-то неведомых конкурентов.
Ivaemon писал(а):
Есть куча нормальных торрент-клиентов, вам что, их мало?
Взять хоть далеко не полный список торрент-клиентов в Википедии:
http://ru.wikipedia.org/wiki/%D0%A1%D1%80%D0%B0%D0%B2%D0%BD%D0%B5%D0%BD%D0%B8%D0%...0%B0%D0%BC%D0%BC
Полно самых разных бесплатных торрент клиентов на любой вкус с самыми разными функциями, поиском. Смысла доказывать невирусность явно левого клиента, при наличии бесплатных и чистых альтернатив, просто нет. Но вот если учесть программу-реферал и распространителей...
Да кстати, про MediаGet в Википедии. Там статью про него постоянно удаляли и запретили создавать новою, и сейчас в таблице он единственный отмечен как Malware. Видимо чьё-то убеждение дало сбой.
[Профиль]  [ЛС] 

Ivaemon

Стаж: 14 лет 11 месяцев

Сообщений: 518

Ivaemon · 28-Июл-12 18:12 (спустя 21 мин.)

Dron3x2a писал(а):
Всё становится на свои места, если учесть программу-реферал
Понятно. Я и забыл об этом.
[Профиль]  [ЛС] 

G West

Стаж: 11 лет 8 месяцев

Сообщений: 13


G West · 28-Июл-12 18:35 (спустя 23 мин., ред. 28-Июл-12 18:40)

Dron3x2a писал(а):
Полно самых разных бесплатных торрент клиентов на любой вкус с самыми разными функциями, поиском. Смысла доказывать невирусность явно левого клиента, при наличии бесплатных и чистых альтернатив, просто нет. Но вот если учесть программу-реферал и распространителей...
В ЖЖ, один комментатор, на счёт своего дополнительного заработка проговаривался - медиагет в комментах при форумах продвигает. Комментировал он там пост о ЖЖшных политических троллях и блоггерах пропагандонах на зарплате, про потупчикгейт короче.
Dron3x2a писал(а):
Да кстати, про MediаGet в Википедии. Там статью про него постоянно удаляли и запретили создавать новою, и сейчас в таблице он единственный отмечен как Malware. Видимо чьё-то убеждение дало сбой.
Ах, первый и единственный российский торрент-клиент, и тот на проверку оказался вирусняком.
[Профиль]  [ЛС] 

Полуночник

VIP (Заслуженный)

Стаж: 17 лет 2 месяца

Сообщений: 7293

Полуночник · 29-Июл-12 03:22 (спустя 8 часов)

Имел часок, потому на вскидку, и без анализа.

Инсталируется почему то в скрытой папке двумя каталогами
c:\Users\юзер\AppData\Local\Media Get LLC\
c:\Users\юзер\AppData\Local\MediaGet2\
После запуска пустой программы стучит по UDP постоянно меняя количество конектов, и ип назначения
скрытый текст
и по HTTP
скрытый текст
Код:
   1   False    + 0,000              ******       GET             0         text/xml                  http://192.168.1.254/upnp/IGD.xml
   2   False    + 0,031              ******       POST            0         (None)                    http://192.168.1.254:80/upnp/control/igd/wanipcip_wan
   3   False    + 0,062              ******       POST            0         (None)                    http://192.168.1.254:80/upnp/control/igd/wanipcip_wan
   4   False    + 1,061              0,063 s      GET     200     426       text/plain                http://cat.media-get.ru/unstopword.txt
   5   False    + 1,201              0,329 s      GET     200     6,23 K    text/html                 http://mg.mgshare.com/?mediaget=2.01.1595&lang=ru&client_id=87232380&check=cb8cfe27e4c710ef72246b90b09077a7
   6   False    + 1,482              5,149 s      GET     200     241       text/plain                http://mg64.net/connection-test.php?port=65446
   7   False    + 1,529              0,172 s      GET     200     9,35 K    application/x-javascript  http://mg.mgshare.com/js/jquery.cycle.all.min.js
   8   False    + 1,685              0,157 s      GET     200     3,09 K    text/css                  http://mg.mgshare.com/css/main.css
   9   False    + 1,685              0,172 s      GET     200     493       text/css                  http://mg.mgshare.com/css/ie6.css
   10  False    + 1,685              0,172 s      GET     200     338       text/css                  http://mg.mgshare.com/css/contentdesc.css
   11  False    + 1,685              0,188 s      GET     200     330       text/css                  http://mg.mgshare.com/css/contentfunction.css
   12  False    + 1,685              0,656 s      GET     200     34,00 K   application/x-javascript  http://mg.mgshare.com/js/jquery-1.5.1.min.js
   13  False    + 1,700              0,189 s      GET     200     1,27 K    application/x-javascript  http://mg.mgshare.com/js/jcarousellite_1.0.1.min.js
   14  False    + 1,856              0,157 s      GET     200     1,09 K    application/x-javascript  http://mg.mgshare.com/js/common.js?11
   15  False    + 1,856              0,157 s      GET     200     808       application/x-javascript  http://mg.mgshare.com/js/ajax.js
   16  False    + 2,402              0,157 s      GET     200     1,16 K    application/x-javascript  http://mg.mgshare.com/js/buttons.js?1
   17  False    + 2,402              0,220 s      GET     200     490       image/gif                 http://mg.mgshare.com/images/header_bg.gif
   18  False    + 2,402              0,220 s      GET     200     269       image/gif                 http://mg.mgshare.com/images/header_nav_current_bg.gif
   19  False    + 2,402              0,220 s      GET     200     262       image/gif                 http://mg.mgshare.com/images/header_nav_sep.gif
   20  False    + 2,402              0,345 s      GET     200     7,03 K    image/jpeg                http://mg.mgshare.com/images/main_top_bg.jpg
   21  False    + 2,402              0,220 s      GET     200     2,61 K    image/png                 http://mg.mgshare.com/images/search-small.png
   22  False    + 2,496              0,204 s      GET     200     20,49 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/22072012/edf4e81888c640b63e93f4948ca0e0d6a77d14ab/poster---square---128.jpg
   23  False    + 2,496              0,204 s      GET     200     15,95 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/22072012/3466d442e9d0ac3273a0a730253c6130e976be11/poster---square---128.jpg
   24  False    + 2,496              0,235 s      GET     200     16,36 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/25072012/f382b2923c67fed3bc1425b33b02a791b06c1b35/poster---square---128.jpg
   25  False    + 2,496              0,235 s      GET     200     15,44 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/26072012/7cdb561e627a5e5acd0673ee407adf76dfd382f8/poster---square---128.jpg
   26  False    + 2,496              0,422 s      GET     200     19,63 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/11072012/ada4f97ab247bb8fc047e520b586ccf71115944c/poster---square---128.jpg
   27  False    + 2,496              0,251 s      GET     200     20,81 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/09072012/55cf09a2be69e52c59e5f7296ec213df5a82e715/poster---square---128.jpg
   28  False    + 2,636              0,173 s      GET     200     2,75 K    image/png                 http://mg.mgshare.com/images/search-small-pressed.png
   29  False    + 2,636              0,189 s      GET     200     3,12 K    image/png                 http://mg.mgshare.com/images/d-s-small.png
   30  False    + 2,652              0,173 s      GET     200     3,23 K    image/png                 http://mg.mgshare.com/images/d-s-small-download-pressed.png
   31  False    + 2,652              0,188 s      GET     200     3,26 K    image/png                 http://mg.mgshare.com/images/d-s-small-search-pressed.png
   32  False    + 2,652              0,204 s      GET     200     257       image/gif                 http://mg.mgshare.com/images/main_top_header_bg.gif
   33  False    + 2,714              0,079 s      GET     200     18,84 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/17072012/817a1dc21b8b7db95572dd9a81fd4cfe579e131c/poster---square---128.jpg
   34  False    + 2,714              0,157 s      GET     200     21,31 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/13072012/d06f6ad5ecbf76681b19939be69438a93d2144e9/poster---square---128.jpg
   35  False    + 2,714              0,267 s      GET     200     36,16 K   text/javascript           http://www.google-analytics.com/ga.js
   36  False    + 2,730              0,095 s      GET     200     17,29 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/04072012/8d7a52ec3b574d8937f5fd0fe2d783fb8e00f53a/poster---square---128.jpg
   37  False    + 2,746              0,172 s      GET     200     21,47 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/08072012/4b763ff840c58d7dc5f0a4f2e84c340f1d995ee8/poster---square---128.jpg
   38  False    + 2,761              0,110 s      GET     200     16,63 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/10072012/4081d46943be0ef2a04116a3d881d1f48bd09b03/poster---square---128.jpg
   39  False    + 2,761              0,173 s      GET     200     2,24 K    image/gif                 http://mg.mgshare.com/images/cycle_arrows_sprite.gif
   40  False    + 2,792              0,173 s      GET     200     24,16 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/images/torrents/%D0%9C%D0%B0%D0%BF%D0%BF%D0%B5%D1%82%D1%8B/poster---square---128.jpg
   41  False    + 2,824              0,157 s      GET     200     262       image/gif                 http://mg.mgshare.com/images/arrow_double_blue_right.gif
   42  False    + 2,855              0,079 s      GET     200     20,66 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/03072012/d6c4f46ff3b58fd037d7d4c43bcfecc0e44fb385/poster---square---128.jpg
   43  False    + 2,870              0,095 s      GET     200     20,27 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/17062012/cc4ea8dd9e0cef50dca402eaf2db400229329c56/poster---square---128.jpg
   44  False    + 2,886              0,485 s      GET     200     18,95 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/30062012/e562eae4674b2955a08479cd35372f938fb7d4c7/poster---square---128.jpg
   45  False    + 2,917              0,313 s      GET     200     23,44 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/05072012/f6c414566fca7bb523f3abfd8cfc1be16d041257/poster---square---128.jpg
   46  False    + 2,917              0,110 s      GET     200     17,69 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/03072012/222902fdcca63a553092e891b767829ae890d27a/poster---square---128.jpg
   47  False    + 2,948              0,079 s      GET     200     20,67 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/22062012/f25e30bfc67cae2a37395d09d8d8c487632453b2/poster---square---128.jpg
   48  False    + 2,980              0,609 s      GET     200     20,77 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/01072012/c5c1f550b93f1b99eb1710e8b1909dce63e12877/poster---square---128.jpg
   49  False    + 2,980              0,094 s      GET     200     21,79 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/29062012/91520c8802542435ff7aaac473fcf68cb100c994/poster---square---128.jpg
   50  False    + 3,026              0,079 s      GET     200     376       image/gif                 http://www.google-analytics.com/__utm.gif?utmwv=5.3.4&utms=1&utmn=1007538407&utmhn=mg.mgshare.com&utmcs=UTF-8&utmsr=1680x1050&utmvp=624x480&utmsc=32-bit&utmul=ru-ru&utmje=0&utmfl=-&utmdt=MediaGet%20catalogue&utmhid=972277912&utmr=-&utmp=%2F%3Fmediaget%3D2.01.1595%26lang%3Dru%26client_id%3D87232380%26check%3Dcb8cfe27e4c710ef72246b90b09077a7&utmac=UA-23988018-1&utmcc=__utma%3D10629928.2022258410.1343507359.1343507359.1343507359.1%3B%2B__utmz%3D10629928.1343507359.1.1.utmcsr%3D(direct)%7Cutmccn%3D(direct)%7Cutmcmd%3D(none)%3B&utmu=q~
   51  False    + 3,042              0,079 s      GET     200     12,68 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/28062012/20bc428573b2de13b6987e32593eb286dc670e83/poster---square---128.jpg
   52  False    + 3,042              0,469 s      GET     200     20,17 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/28062012/356a86563099f6d59008869703cf85e1018dcd5c/poster---square---128.jpg
   53  False    + 3,073              0,157 s      GET     200     20,23 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/17062012/71b2d9e7d5755f88fefdf4d32016049a2dc4247d/poster---square---128.jpg
   54  False    + 3,136              0,094 s      GET     200     17,98 K   image/jpeg                http://img.mgshare.com/filecache/userfiles/files/mediaget/ru/22062012/e163dd4a372524a9fd28871b98dddde11e576e1c/poster---square---128.jpg
   55  False    + 6,646              ******       POST            0         (None)                    http://192.168.1.254:80/upnp/control/igd/wanipcip_wan
   56  False    + 7,067              0,484 s      GET     200     510       text/plain                http://mg64.net/connection-test.php?port=65446
   57  False    + 11,107             0,173 s      GET     200     2,48 K    image/png                 http://mg.mgshare.com/images/button-play-small.png
   58  False    + 11,170             0,157 s      GET     200     1,98 K    image/png                 http://mg.mgshare.com/images/button-play-small-download-pressed.png
   59  False    + 60,419             0,344 s      GET     200     1,60 K    application/octet-stream  http://cat.media-get.ru/update.ini
   60  False    + 60,825             0,063 s      GET     200     1,62 K    application/octet-stream  http://cat.media-get.ru/search_server_mininova.org
   61  False    + 60,856             0,344 s      GET     200     1,88 K    application/octet-stream  http://cat.media-get.ru/search_server_kat.ph
   62  False    + 60,872             0,344 s      GET     200     2,14 K    application/octet-stream  http://cat.media-get.ru/search_server_monova.org
   63  False    + 352,796            0,157 s      GET     200     977       text/html                 http://ads.mediaget.com/?client_id=87232380&vpn=0&country=gg&version=2.01.1595&os_version=Windows%206.1.7601
   64  False    + 353,155            0,516 s      GET     200     2,41 K    application/x-javascript  http://mediaget.com/js/ajax.js

После запуска задания дописывает свой ретрекер http://mgtracker.org:2710/announce.
Лишних конектов, связанных с самой раздачей, не замечено.
15 минут после выключения MediaGet
Процесса уже давно нет, но она куда то постоянно стучит. Конекты то вообще исчезают, то появляются по новой. ИП адреса постоянно меняются. Причем это на клиенте, где ещё небыло поставленно ни одного задания (т.е. по определению пустого).
Через пол часа моя программа уже перестает опозновать процесс, однако он как стучал в сеть, так и стучит

Удалил программу (uninstal), но процесс продолжает стучать. Revouninstaller не помог.
McAfee выдал такое
Sophos и каспер ничего не нашли. Пришлось восстанавливать предварительно сделанный образ системы.
[Профиль]  [ЛС] 

megaweber

Стаж: 16 лет

Сообщений: 26


megaweber · 29-Июл-12 08:55 (спустя 5 часов, ред. 29-Июл-12 10:07)

Вот, уже лучше, а теперь давайте разберемся, что это за куча UDP-коннектов, я таких не видел, может у меня их что-то не пропускает. Действительно непонятные коннеккты, я, с Вашего позволения, воспользуюсь этими картинками и напишу письмо разработчикам, пусть объяснят.
HTTP-коннекты эти ничего особенного в себе не несут на первый взгляд, это какая-то служебная информация, проверка порта и картинки фильмов из каталога.
Полуночник, отключены личные сообщения, как можно связаться? Я еще не уверен, что эти коннекты это что-то зловредное, но это явно то поведение, которого я не видел и выглядит оно подозрительно, поэтому я готов свою часть договора выполнить.
P.S. Я изучаю сейчас адреса, которые Вы показали в логе, это все адреса частные, то есть коннекты идут напрямую к машинам пользователей, не к крупным серверам, которые обычно атакуют. Также среди портов встречается несколько раз 6881 - это дефолтный порт bittorrent. Исходящий порт, который указан у Вас - 61602, посмотрите пожалуйста, это ли порт, который стоит в настройках в MediaGet, как порт для входящих соединений? Если это все так, то скорее всего это соединения по torrent-протоколу. Может обмен данными, для получения встроенного каталога идет не напрямую с сервера, а через p2p, чтобы уменьшить нагрузку.
[Профиль]  [ЛС] 

G West

Стаж: 11 лет 8 месяцев

Сообщений: 13


G West · 29-Июл-12 09:13 (спустя 17 мин., ред. 29-Июл-12 10:04)

Полуночник писал(а):
После запуска пустой программы стучит по UDP постоянно меняя количество конектов, и ип назначения
скрытый текст
Это классический исходящий UDP-флуд. Этот тип DDos'а атакует не компьютер-цель, а каналы связи. Большим количеством UDP-пакетов разного размера просто забивают канал связи, без атаки сервера.
Полуночник писал(а):
15 минут после выключения MediaGet
Процесса уже давно нет, но она куда то постоянно стучит. Конекты то вообще исчезают, то появляются по новой. ИП адреса постоянно меняются. Причем это на клиенте, где ещё небыло поставленно ни одного задания (т.е. по определению пустого).
А вот теперь уже пошёл исходящий поток SYN-флуда.
DDos атаки из UDP-флуда и SYN-флуда часто чередуются, хотя могут идти параллельно.
Вот именно этот исходящий поток из SYN-флуда и UDP-флуда и приводил к неработоспособности двух совершенно разных роутеров. Видимо тупо таблицы маршрутизации забивал. Как только я избавился от MediaGet с помощью антивируса, и поставил другой торрент-клиент так оба мои роутера стали работать как часы.
[Профиль]  [ЛС] 

Dron3x2a

Стаж: 13 лет 9 месяцев

Сообщений: 28

Dron3x2a · 29-Июл-12 09:25 (спустя 11 мин., ред. 29-Июл-12 09:30)

megaweber писал(а):
Полуночник, отключены личные сообщения, как можно связаться? Я еще не уверен, что эти коннекты это что-то зловредное, но это явно то поведение, которого я не видел и выглядит оно подозрительно, поэтому я готов свою часть договора выполнить.
Так это что... распространитель в контакт войти пытается?
Мне просто на одном форуме от участника с ником MediaGet Support, письмо пришло со скрытой угрозой, и предложением сотрудничества с намёком заработок. Жаль письмецо сразу удалил.
[Профиль]  [ЛС] 

megaweber

Стаж: 16 лет

Сообщений: 26


megaweber · 29-Июл-12 10:11 (спустя 45 мин., ред. 29-Июл-12 10:11)

G West писал(а):
Полуночник писал(а):
После запуска пустой программы стучит по UDP постоянно меняя количество конектов, и ип назначения
скрытый текст
Это классический исходящий UDP-флуд. Этот тип DDos'а атакует не компьютер-цель, а каналы связи. Большим количеством UDP-пакетов разного размера просто забивают канал связи, без атаки сервера.
Полуночник писал(а):
15 минут после выключения MediaGet
Процесса уже давно нет, но она куда то постоянно стучит. Конекты то вообще исчезают, то появляются по новой. ИП адреса постоянно меняются. Причем это на клиенте, где ещё небыло поставленно ни одного задания (т.е. по определению пустого).
А вот теперь уже пошёл исходящий поток SYN-флуда.
DDos атаки из UDP-флуда и SYN-флуда часто чередуются, хотя могут идти параллельно.
Вот именно этот исходящий поток из SYN-флуда и UDP-флуда и приводил к неработоспособности двух совершенно разных роутеров. Видимо тупо таблицы маршрутизации забивал. Как только я избавился от MediaGet с помощью антивируса, и поставил другой торрент-клиент так оба мои роутера стали работать как часы.
Откройте utorrent, добавьте торрент-файл на закачку и получить абсолютно такую же "атаку", только у вас будет входящий порт другой, ну и адреса другие конечно.
[Профиль]  [ЛС] 

Dron3x2a

Стаж: 13 лет 9 месяцев

Сообщений: 28

Dron3x2a · 29-Июл-12 10:15 (спустя 4 мин.)

megaweber писал(а):
P.S. Я изучаю сейчас адреса, которые Вы показали в логе, это все адреса частные.
Каждую минуту по десять раз IPишники на которые направлен флуд меняются. Скриншот и тысячную долю информации не даст.
А вот вам и ответ:
G West писал(а):
Это классический исходящий UDP-флуд. Этот тип DDos'а атакует не компьютер-цель, а каналы связи. Большим количеством UDP-пакетов разного размера просто забивают канал связи, без атаки сервера.
[Профиль]  [ЛС] 

megaweber

Стаж: 16 лет

Сообщений: 26


megaweber · 29-Июл-12 10:29 (спустя 13 мин.)

Dron3x2a писал(а):
megaweber писал(а):
P.S. Я изучаю сейчас адреса, которые Вы показали в логе, это все адреса частные.
Каждую минуту по десять раз IPишники на которые направлен флуд меняются. Скриншот и тысячную долю информации не даст.
А вот вам и ответ:
G West писал(а):
Это классический исходящий UDP-флуд. Этот тип DDos'а атакует не компьютер-цель, а каналы связи. Большим количеством UDP-пакетов разного размера просто забивают канал связи, без атаки сервера.
Вы типичный тролль, только толсто очень. Я описал свое предположение выше. Нельзя жить и думать, что все в этом мире хотят вас обмануть, давайте лучше четко и по пунктам разбираться. Я хочу в этом вопросе разобраться больше Вас, так как мне это интересно, а Вы просто пришли тут меня задирать Я задал вопрос разработчикам и сам продолжаю изучать, если Вам нечего написать по делу, то лучше не засоряйте топик глупыми нападками.
[Профиль]  [ЛС] 

G West

Стаж: 11 лет 8 месяцев

Сообщений: 13


G West · 29-Июл-12 11:01 (спустя 32 мин.)

megaweber писал(а):
Нельзя жить и думать, что все в этом мире хотят вас обмануть,

Извините, но реферальщикам-распространителям веры нет.
Кто тут говорил, что типа пользователей MediaGet дофига миллионов пользователей, по сётчику на их сайте? Счётчик - типичный обман от MediaGet-a и это уже давно здесь обсуждалось: https://rutracker.org/forum/viewtopic.php?t=3360115&start=120
SiDER12345 писал(а):
А вам не надоело что разработчики держат своих потребителей за дибилов? - мне лично - очень.
К примеру MediaGet: - видели счётчик на главной странице,так вот...
скрытый текст
Код:
<div class="head_counter">
Нас уже:<br><div class="head_counter_bg"
><img id="counter_0" src="/images/counter/0.png" style="position: absolute; left: 5px; top: 4px;"
/><img id="counter_1" src="/images/counter/0.png" style="position: absolute; left: 26px; top: 4px;"
/><img id="counter_2" src="/images/counter/0.png" style="position: absolute; left: 49px; top: 4px;"
/><img id="counter_3" src="/images/counter/0.png" style="position: absolute; left: 70px; top: 4px;"
/><img id="counter_4" src="/images/counter/0.png" style="position: absolute; left: 91px; top: 4px;"
/><img id="counter_5" src="/images/counter/0.png" style="position: absolute; left: 114px; top: 4px;"
/><img id="counter_6" src="/images/counter/0.png" style="position: absolute; left: 135px; top: 4px;"
/><img id="counter_7" src="/images/counter/0.png" style="position: absolute; left: 156px; top: 4px;"
/></div>
</div>
<script>
function pad(number, length) {
var str = '' + number;
while (str.length < length) {
str = '0' + str;
}
return str;
}
function setCounter(num) {
num = pad(num, 8);
for(i = 0; i < 8; i++) { - увеличение значиения
$('#counter_' + i).attr("src", "/images/counter/" + num.charAt(i) + ".png"); - смена уже на самом сайте
}
}
var installs = 56131021; - значение на момент захода вроде
setCounter(installs);
setInterval("installs += 1; setCounter(installs);", parseInt(parseFloat(0.6404) * 1000)); - период смены
</script>
</div>
Типа их уже вот столькото.. а на самом деле счётчик просто крутится,да это и очевидно.
И это доказанный обман.
Что-то реферальщики-распространители совсем скучные пошли.
[Профиль]  [ЛС] 

Dron3x2a

Стаж: 13 лет 9 месяцев

Сообщений: 28

Dron3x2a · 29-Июл-12 11:09 (спустя 7 мин.)

G West писал(а):
Что-то реферальщики-распространители совсем скучные пошли.
Скучные или не скучные, но деньги свои имеют.
[Профиль]  [ЛС] 

Papant

Admin

Стаж: 16 лет 6 месяцев

Сообщений: 54278

Papant · 29-Июл-12 12:28 (спустя 1 час 19 мин.)

G West писал(а):
счётчик на главной странице
Если открыть несколько копий главной страницы - цифры везде будут разные
[Профиль]  [ЛС] 

G West

Стаж: 11 лет 8 месяцев

Сообщений: 13


G West · 29-Июл-12 12:54 (спустя 26 мин., ред. 29-Июл-12 13:02)

Рapant писал(а):
Если открыть несколько копий главной страницы - цифры везде будут разные
Совсем замечательно , ну ладно я просто доказательство от SiDER12345 привёл.

А сейчас, пожалуй, расскажу любопытную вещь про этих распространителей и рекламщиков MediaGet.
Я, с месяц назад, на некоторых подфорумных обсуждениях, пару раз оставлял комментарии касательно моего опыта с MediaGet-ом и моими роутерами, то есть то же самое, что я писал здесь в своём первом комментарии. И то, что избавился от MediaGet-а при помощи антивируса.
Вроде бы всем пофиг, но каждый раз через определённое время, стали появляться, комментаторы которые настойчиво утверждали, что MediaGet это типа "невирус", и бояться типа нечего, затем начинали спорить. Последний раз комментарии появлялись спустя полтора часа после моего, видимо происходит обработка ключевых слов через поисковик, после того как те индексируются поисковиком и в дело вступают распространители-реферальщики, так они на эти посты и выходят.
А потом я в ЖЖ, на комментатора наткнулся, где он о своём дополнительного заработке оговаривался - медиагет он в комментах при форумах продвигает. И я стал кое что понимать.
И вот, наконец, здесь, эта тема была создана 24 июля в12 14:24, поставлена в заглавие страницы, и комментарии здесь вообще отсутствовали. Но стоило мне 27 июля, здесь своим опытом в очередной раз поделиться, так сюда уже через час, распространитель кинулся доказывать, что MediaGet это "невирус".
Уважаемые форумчане рутрекера, простите меня, ведь получается, что распространителей в очередной раз, и здесь активизировал я.:blush:
[Профиль]  [ЛС] 
 
Ответить
Loading...
Error