THE BAT zainfekowany mail!
tom@aszek
Dostałem jakiegoś dziwnego smiecia z zał.i nie mogę go usunąć, bo jak najadę
na maila to komp prawie staje, CPU 100%. Używam tego programu od 4 lat i
pierwszy raz się z czymś podobnym spotkałem. Macie jakieś pomysły???
nadawca: MARTHA LAN
temat: try hoodia today and feel better
--
pozdrowienia
Tomek
tom@aszek
wychodzące.
Tomek
Konrad Szkudlarczyk
> Dostałem jakiegoś dziwnego smiecia z zał.i nie mogę go usunąć, bo jak najadę
> na maila to komp prawie staje, CPU 100%. Używam tego programu od 4 lat i
> pierwszy raz się z czymś podobnym spotkałem. Macie jakieś pomysły???
Identyczny problem był wczoraj poruszony na thebat-l...
Cezary Zylbersztajn poradził "stanąć na wiadomości i nacisnąć DEL bez
podglądu np przełączyć się na widoki bez podglądu Ctrl+Shift+E".
Osobiście interesuje mnie powód. Czy przed skasowaniem mógłbyś
wyeksportować wiadomość i przesłać ją do mnie?
--
Pozdrawiam
Konrad Szkudlarczyk [konradszkudlarczyk(at)poczta(dot)fm]
tom@aszek
Użytkownik "Konrad Szkudlarczyk"
<ROT13_xbaenqfmx...@poczta.fm.INVALID> napisał w wiadomości
>
> Identyczny problem był wczoraj poruszony na thebat-l...
>
> Cezary Zylbersztajn poradził "stanąć na wiadomości i nacisnąć DEL bez
> podglądu np przełączyć się na widoki bez podglądu Ctrl+Shift+E".
Dzięki, nie znałem tego. Teraz faktycznie mogę to dziadostwo usunąć.
>
> Osobiście interesuje mnie powód. Czy przed skasowaniem mógłbyś
> wyeksportować wiadomość i przesłać ją do mnie?
W jakim formacie?
Zapisałem ją na dysku i NortonAntivirus nic nie widzi.
F-PROT też.
--
Tomek
Paweł Kierski
Jeśli można, to .eml lub .msg (na jedno wychodzi) - też bym chętnie
obejrzał.
--
Paweł Kierski
pkie...@mks.com.pl
dodaj "[nomorespam]" w temacie jeśli piszesz z domeny innej niż .pl,
albo koniecznie chcesz obejść moje filtry 8-)
Paweł Kierski
Coś jest skaszanione z obrazkiem w załączniku (błędy w kodowaniu
base64). TB okazuje się być mocno czuły na "dziwne" sytuacje. Co to
dokładnie jest, to pewnie powiedzieliby autorzy. base64 ma pewne
formalne ograniczenia (np. liczba znaków w linii podzielna przez 4),
ale można bez problemu napisać kod, który nie polega na tych
własnościach, ale stara się zdekodować napet "pocięte" dane. Inna
sprawa, co z tego wyjdzie, ale to już nie problem dekodera, który
zawieszać się nie powinien.
Paweł Kierski
> tom@aszek w wiadomości <dlk70r$q9m$1...@news.dialog.net.pl> pisze:
> > witam serdecznie!
> >
> > Dostałem jakiegoś dziwnego smiecia z zał.i nie mogę go usunąć, bo jak najadę
> > na maila to komp prawie staje, CPU 100%. Używam tego programu od 4 lat i
> > pierwszy raz się z czymś podobnym spotkałem. Macie jakieś pomysły???
> >
> > nadawca: MARTHA LAN
> > temat: try hoodia today and feel better
>
> Coś jest skaszanione z obrazkiem w załączniku (błędy w kodowaniu
> base64). TB okazuje się być mocno czuły na "dziwne" sytuacje. Co to
> dokładnie jest, to pewnie powiedzieliby autorzy. base64 ma pewne
> formalne ograniczenia (np. liczba znaków w linii podzielna przez 4),
> ale można bez problemu napisać kod, który nie polega na tych
> własnościach, ale stara się zdekodować napet "pocięte" dane. Inna
> sprawa, co z tego wyjdzie, ale to już nie problem dekodera, który
> zawieszać się nie powinien.
>
Odszczekuję o dekoderze base64 8-) Równie dobrze może to być problem
z wyświetlaniem animowanego gifa. Tak, czy inaczej - warto przesłać
autorom.
Konrad Szkudlarczyk
>> Osobiście interesuje mnie powód. Czy przed skasowaniem mógłbyś
>> wyeksportować wiadomość i przesłać ją do mnie?
>
> W jakim formacie?
>
> Zapisałem ją na dysku i NortonAntivirus nic nie widzi.
> F-PROT też.
Format obojętny, dowolny spośród udostępnionych przez TB!
Nie sądzę, aby wiadomość była wirusem, raczej w TB! jest jakiś błąd w
wyświetlaniu wiadomości utworzonych na pewnych specyficznych - i zapewne
niezgodnych z zaleceniami rfc - zasadach.
Konrad Szkudlarczyk
> raczej w TB! jest jakiś błąd w
> wyświetlaniu wiadomości utworzonych na pewnych specyficznych - i zapewne
> niezgodnych z zaleceniami rfc - zasadach.
Uch, niesprawiedliwie oczerniam spamera. Wiadomość była poprawna, problemem
jest obrazek. Jeśli zmienić go na inny - także animowany gif - to działa
dobrze. Samego obrazka nie można użyć np. podczas tworzenia wiadomości html
w TB! - także zawiesza program.
tom@aszek
Dzięki za rozpoznanie. Dobrze, że to nic groĽnego.
--
Tomek
Piotr Dałek
<1651549957.2...@mks.com.pl>:
>> > Osobiście interesuje mnie powód. Czy przed skasowaniem mógłbyś
>> > wyeksportować wiadomość i przesłać ją do mnie?
>>
>> W jakim formacie?
>>
>> Zapisałem ją na dysku i NortonAntivirus nic nie widzi.
>> F-PROT też.
> Jeśli można, to .eml lub .msg (na jedno wychodzi) - też bym chętnie
> obejrzał.
Ja także bym ją chętnie obejrzał (formaty jak wyżej)... Ciekawe, co w tym
GIFie siedzi...
Pozdrawiam,
--
.oooO /~) (~\ Oooo. "Programowanie to | Piotr "Hellrayzer" Dałek
( ) / ( ) \ ( ) *najprzyjemniejsza* | Mail: enigmatical.interia@pl
\ ( ( ) ( ) ) / rzecz, jaką można | WWW: http://www.hcm.prv.pl/
\_)'oooO Oooo'(_/ robić w ubraniu" |
Andrzej P. Wozniak
<news:HCM7D50B1815...@bmw.the.butterfly> pisze:
> Przychodzi Paweł Kierski, i przez 80.72.34.22, pisze w
> <1651549957.2...@mks.com.pl>:
>
>> Jeśli można, to .eml lub .msg (na jedno wychodzi) - też bym chętnie
>> obejrzał.
> Ja także bym ją chętnie obejrzał (formaty jak wyżej)... Ciekawe, co w tym
> GIFie siedzi...
Nic ciekawego. Jeśli dobrze zrozumiałem wypowiedzi w tym wątku, mamy do
czynienia z bublami produkcji spamerskiego kombajnu. W tym przypadku po
prostu jest uszkodzony kod Base64 tego gifa:
- między pierwszą a drugą linią kodu brak znaków nowej linii 0x0d0a.
- między przedostatnią a ostatnią linią kodu jest tylko znak 0x0d.
Inne cechy charakterystyczne takiego spamu:
* Nagłówki:
/----
FCC: mailbox://tziqfkq...@hotmail.com/Sent
X-Identity-Key: id1
\----
Zamiast hotmail może być yahoo, key chyba zawsze jest id1.
* Część text/html zawiera tylko jedną linijkę, baaaardzo długą, np. taką:
/----
<html><head><meta http-equiv="Content-Type" content="text/html;
charset=iso-8859-1"></head><body bgcolor="#FFFFF5" text="#53F295"><p><IMG
SRC="cid:part1.06040503.08050601@xuilklitejnmz@hotmail.com" border="0"
ALT=""></p><p><font color="#FFFFF6">in 1855 FTP in 1800 in
1880</font></p><p><font color="#FFFFF7">Portalmix
Alltheweb</font></p></body></html>
\----
Zwracam uwagę na _prawie_ identyczny kolor tła i czcionki.
--
Andrzej P. Woźniak us...@pochta.onet.pl (zamień miejscami z<->h w adresie)
Saiko Kila
Piotr Dałek, która zaskrzeczała:
> Ja także bym ją chętnie obejrzał (formaty jak wyżej)... Ciekawe, co w tym
> GIFie siedzi...
Ja dostaję takiego śmiecia z 5-7 na tydzień, łapię się na tym często i
muszę ubijać głupiego nietoperza. "Oprah said it worked Miriam", chcę
zobaczyć kto myli mnie z Miriam i leżęęęęęęęę... Poślę Ci jednego,
będziesz miał do porównań (będzie SPAM w temacie a dokumenty zapisane w
archiwum rar lub zip). Nie zauważyłem błędów o których mowa w poście
obok, UUdeview także dobrze odkodowuje, ale nie wszystkie programy
pocztowe umieją odtworzyć taką wiadomość.
BTW gif jest animowany, przynajmniej w tych moich.
--
Saiko Kila
Unregistered Windows User #7.29581131e8
Paweł Kierski
[...]
> BTW gif jest animowany, przynajmniej w tych moich.
>
Wyciągnij tego gifa i prześlij sobie - pewnie efekt będzie ten sam.
Saiko Kila
>> BTW gif jest animowany, przynajmniej w tych moich.
> Wyciągnij tego gifa i prześlij sobie - pewnie efekt będzie ten sam.
Tak jest w istocie. Nietoperz umiera w momencie przełączenia na podgląd
dołączonego obrazka. Fajne to, dobre do denerwowania niektórych
znajomych.
Piotr Dałek
<1t4n1bcp...@saikokila.pl>:
> Z Otchłani wyskoczył wredny demon, wcielił się w istotę znaną jako
> Paweł Kierski, która zaskrzeczała:
>>> BTW gif jest animowany, przynajmniej w tych moich.
>> Wyciągnij tego gifa i prześlij sobie - pewnie efekt będzie ten sam.
> Tak jest w istocie. Nietoperz umiera w momencie przełączenia na podgląd
> dołączonego obrazka. Fajne to, dobre do denerwowania niektórych
> znajomych.
No to w końcu to wina GIFa czy jego błędnego zakodowania? :> Zdecydujcie
się, proszę! :>
Piotr Dałek
> Z Otchłani wyskoczył wredny demon, wcielił się w istotę znaną jako
> Piotr Dałek, która zaskrzeczała:
>> Ja także bym ją chętnie obejrzał (formaty jak wyżej)... Ciekawe, co w tym
>> GIFie siedzi...
> Ja dostaję takiego śmiecia z 5-7 na tydzień, łapię się na tym często i
> muszę ubijać głupiego nietoperza. "Oprah said it worked Miriam", chcę
> zobaczyć kto myli mnie z Miriam i leżęęęęęęęę... Poślę Ci jednego,
> będziesz miał do porównań (będzie SPAM w temacie a dokumenty zapisane w
> archiwum rar lub zip). Nie zauważyłem błędów o których mowa w poście
> obok, UUdeview także dobrze odkodowuje,
Jakby UUDeView nie dekodował, toto nie byłoby Base64. UUDeView działa wolno,
ale potrafi to, czego nic innego [jeszcze :>] nie potrafi. Poradzi sobie np.
z czymś takim:
--WPB01
Content-Type: image/gif; name="strzalka.gif"
Content-Transfer-Encoding: base64
Content-ID: <strzalka.gif>
R0
lG
OD
lh
DAA
PAI
ABA
KkAU
AAAA
CH5BA
EAAAEA
LAAAAAAM
AA8AAAIcjAO
nCrnc3mlx0usQv
mZj7YUb6HWhxKGVKk1SAQA7
--WPB01
> BTW gif jest animowany, przynajmniej w tych moich.
Słuszny dopisek, zważywszy na to, że HCM nie animuje animowanych GIFów ;>
Piotr Dałek
<dm5hvo$9vl$1...@olszynka.pl>:
> Osoba podpisana jako Piotr Dałek <b...@the.butterfly.org.invalid> w
> artykule
> <news:HCM7D50B1815...@bmw.the.butterfly> pisze:
>> Przychodzi Paweł Kierski, i przez 80.72.34.22, pisze w
>> <1651549957.2...@mks.com.pl>:
>>
>>> Jeśli można, to .eml lub .msg (na jedno wychodzi) - też bym chętnie
>>> obejrzał.
>> Ja także bym ją chętnie obejrzał (formaty jak wyżej)... Ciekawe, co w tym
>> GIFie siedzi...
> Nic ciekawego. Jeśli dobrze zrozumiałem wypowiedzi w tym wątku, mamy do
> czynienia z bublami produkcji spamerskiego kombajnu. W tym przypadku po
> prostu jest uszkodzony kod Base64 tego gifa:
> - między pierwszą a drugą linią kodu brak znaków nowej linii 0x0d0a.
> - między przedostatnią a ostatnią linią kodu jest tylko znak 0x0d.
Tylko tyle? Łeee, myślałem już, że to coś poważniejszego, np. jakiś GIF
bezpośrednio wywalający dekoder, czy coś... Skoro to uszkodzony GIF powstały
w wyniku nieudolnej próby dekodowania zmaltretowanego Base64, to nie ma
problemu.
Swoją drogą, to niezłe do testów jest SpamArchive. Nie wiem czy ja jestem
taki szczęśliwy czy to ichnia norma, ale tam wszystkie wirusy i niektóre
załączniki są udostępniane ale w binarnej formie (tj. deklaracja jest
Content-Transfer-Encoding: base64, a content faktycznie jest binarny, tj.
jak po rozkodowaniu Base64). Trochę przypadkowych błędów znalazło się
podczas próby importu takiego pasztetu ;) Były BSODy, były, a jak...
"Zamknij wszystkie programy i uruchom ponownie komputer" też, a raz złom się
sam zresetował (ażeby coś takiego się stało, to musi być total hardcore
burdel).
> * Część text/html zawiera tylko jedną linijkę, baaaardzo długą, np. taką:
> [..]
Na to się uodporniłem trochę czasu temu (program przerywał transfer,
wyglądało to jakby serwer się zamyślił).
Saiko Kila
Piotr Dałek, która zaskrzeczała:
> ale potrafi to, czego nic innego [jeszcze :>] nie potrafi. Poradzi sobie np.
> z czymś takim:
> --WPB01
>> BTW gif jest animowany, przynajmniej w tych moich.
> Słuszny dopisek, zważywszy na to, że HCM nie animuje animowanych GIFów ;>
No to wyświetli pierwszą klatkę i będzie OK. Ale jak ja zaimportowałem
(EML, do "pre-alphy") to nie wyświetla w ogóle odnośnika html i obrazków
z boku, tylko nagłówek widzę. ;-P Ale sam obrazek wysłany w innej
wiadomości wyświetlany jest OK, pierwsza klatka.
Saiko Kila
>>>> BTW gif jest animowany, przynajmniej w tych moich.
>>> Wyciągnij tego gifa i prześlij sobie - pewnie efekt będzie ten sam.
>> Tak jest w istocie. Nietoperz umiera w momencie przełączenia na podgląd
>> dołączonego obrazka. Fajne to, dobre do denerwowania niektórych
>> znajomych.
> No to w końcu to wina GIFa czy jego błędnego zakodowania? :> Zdecydujcie
> się, proszę! :>
A ja nie wiem, może jest źle kodowany przez TB! a potem go wywala z tego
powodu, że nie umie przeczytać źle zakodowanego? Albo TB! źle odczytuje
dobrze zakodowanego? ;) Ale IMHO to błąd w obsłudze obrazka
(wyświetlanie?).
Andrzej P. Wozniak
> Przychodzi Andrzej P. Wozniak, i przez olszynka.pl, pisze w
> <dm5hvo$9vl$1...@olszynka.pl>:
>> Osoba podpisana jako Piotr Dałek <b...@the.butterfly.org.invalid> w
>> artykule
>> <news:HCM7D50B1815...@bmw.the.butterfly> pisze:
>
>>> Ja także bym ją chętnie obejrzał (formaty jak wyżej)... Ciekawe,
>>> co w tym GIFie siedzi...
>> Nic ciekawego. Jeśli dobrze zrozumiałem wypowiedzi w tym wątku, mamy do
>> czynienia z bublami produkcji spamerskiego kombajnu. W tym przypadku po
>> prostu jest uszkodzony kod Base64 tego gifa:
>> - między pierwszą a drugą linią kodu brak znaków nowej linii 0x0d0a.
>> - między przedostatnią a ostatnią linią kodu jest tylko znak 0x0d.
>
> Tylko tyle? Łeee, myślałem już, że to coś poważniejszego, np. jakiś GIF
> bezpośrednio wywalający dekoder, czy coś... Skoro to uszkodzony GIF
> powstały w wyniku nieudolnej próby dekodowania zmaltretowanego Base64,
> to nie ma problemu.
Mimo wszelkich wysiłków nie znalazłem w swoim archiwum maila z animowanym
gifem, który odpowiadałby opisowi, więc chętnie obejrzę takiego _maila_
z gifem (oczywiście przesłanego w całości jako załącznik).
Być może uszkodzenie _animowanego_ gifa trafiało akurat w miejsce, gdzie
w pliku są zapisane parametry animacji i program wywala np. próba
wyświetlania z szybkością nadświetlną ;-)
W innych mailach zobaczyłem podobnie uszkodzony kod jpegów. Kod html też był
charakterystyczny, ale odmienny od cytowanego, więc mamy więcej
niedorobionych kombajnów.
Swoją drogą algorytm dekodowania oparty na uudecode w najprostszej postaci
jest bardzo prymitywny i nie przewiduje weryfikacji poprawności kodu. Znamy
to aż za dobrze z błędu "begin", a kolejny przykład podałeś w tym wątku.
Konrad Szkudlarczyk
> Mimo wszelkich wysiłków nie znalazłem w swoim archiwum maila z animowanym
> gifem, który odpowiadałby opisowi, więc chętnie obejrzę takiego _maila_
> z gifem (oczywiście przesłanego w całości jako załącznik).
<http://republika.pl/konrad_sz/tb/files/spam.zip>. Wyiksowałem adresy
odbiorców, w archiwum jest też sam obrazek.
Tak czy owak, IMO nie jest winne kodowanie zastosowane przez spamera, bo
gdy dołączę obrazek do wiadomości (a więc zdekodowany, zapisany na dysku i
poprawnie wyświetlany przez np. IrfanView, tylko TB! koduje go ponownie),
to TB! i tak się wiesza.
Romuald Szcześniak
> <http://republika.pl/konrad_sz/tb/files/spam.zip>. Wyiksowałem adresy
> odbiorców, w archiwum jest też sam obrazek.
>
> Tak czy owak, IMO nie jest winne kodowanie zastosowane przez spamera, bo
> gdy dołączę obrazek do wiadomości (a więc zdekodowany, zapisany na dysku i
> poprawnie wyświetlany przez np. IrfanView, tylko TB! koduje go ponownie),
> to TB! i tak się wiesza.
heh, tego akurat obrazka (HOODIA) mam multum w spamie - ale mi się na nim
Sylpheed-claws nie zawiesza :)
--
When you have eliminated the impossible, whatever remains, however
improbable, must be the truth.
-- Sherlock Holmes, "The Sign of Four"
Piotr Dałek
>>> BTW gif jest animowany, przynajmniej w tych moich.
>> Słuszny dopisek, zważywszy na to, że HCM nie animuje animowanych GIFów ;>
> No to wyświetli pierwszą klatkę i będzie OK. Ale jak ja zaimportowałem
> (EML, do "pre-alphy")
Jakby ktoś pytał, o co nam chodzi: <news:HCM7D50B...@bmw.the.butterfly>
> to nie wyświetla w ogóle odnośnika html i obrazków
> z boku, tylko nagłówek widzę. ;-P
Sam panel nagłówka? Nieźle ;P
> Ale sam obrazek wysłany w innej wiadomości wyświetlany jest OK, pierwsza
> klatka.
No to się cieszę. :) Dzięki za sprawdzenie.
Piotr Dałek
>> No to w końcu to wina GIFa czy jego błędnego zakodowania? :> Zdecydujcie
>> się, proszę! :>
> A ja nie wiem, może jest źle kodowany przez TB! a potem go wywala z tego
> powodu, że nie umie przeczytać źle zakodowanego? Albo TB! źle odczytuje
> dobrze zakodowanego? ;)
Apropos - w pre-alphie nadanie hasła folderu spowoduje najpierw
ODszyfrowanie (odszyfrowanych!) wszystkich załączników, a potem dopiero
zaszyfrowanie. :)
> Ale IMHO to błąd w obsłudze obrazka
> (wyświetlanie?).
Całkiem możliwe. W takich programach przeważnie bierze się pierwszy z brzegu
moduł ładujący i/lub wyświetlający GIFy i na detale nie zwraca się uwagi.
Saiko Kila
Piotr Dałek, która zaskrzeczała:
>> powodu, że nie umie przeczytać źle zakodowanego? Albo TB! źle odczytuje
>> dobrze zakodowanego? ;)
> Apropos - w pre-alphie nadanie hasła folderu spowoduje najpierw
> ODszyfrowanie (odszyfrowanych!) wszystkich załączników, a potem dopiero
> zaszyfrowanie. :)
To źle czy dobrze? ;)
Piotr Dałek
> Z Otchłani wyskoczył wredny demon, wcielił się w istotę znaną jako
> Piotr Dałek, która zaskrzeczała:
>>> A ja nie wiem, może jest źle kodowany przez TB! a potem go wywala z tego
>>> powodu, że nie umie przeczytać źle zakodowanego? Albo TB! źle odczytuje
>>> dobrze zakodowanego? ;)
>> Apropos - w pre-alphie nadanie hasła folderu spowoduje najpierw
>> ODszyfrowanie (odszyfrowanych!) wszystkich załączników, a potem dopiero
>> zaszyfrowanie. :)
> To źle czy dobrze? ;)
No źle, a co ;) Potem jeszcze się okazało, że zmiana hasła foldera
zaszyfrowanego powodowała jego pełną rekompresję, co przy BZipie 2 musiało
dawać po CPU ostro... Ja tam testowałem ZLIBa i 206MB reszyfrował w czasie
ok. 11,5 minuty. Teraz spokojnie wyciąga 3,43MB/s (Base64) lub 2,5MB/s
(realna), i mieści się w minucie z hakiem (a efekty te same). Zresztą
niebawem będziesz mógł to sobie sam obejrzeć.
Saiko Kila
Piotr Dałek, która zaskrzeczała:
>>> ODszyfrowanie (odszyfrowanych!) wszystkich załączników, a potem dopiero
>>> zaszyfrowanie. :)
>> To źle czy dobrze? ;)
> No źle, a co ;) Potem jeszcze się okazało, że zmiana hasła foldera
> zaszyfrowanego powodowała jego pełną rekompresję, co przy BZipie 2 musiało
> dawać po CPU ostro... Ja tam testowałem ZLIBa i 206MB reszyfrował w czasie
> ok. 11,5 minuty. Teraz spokojnie wyciąga 3,43MB/s (Base64) lub 2,5MB/s
> (realna), i mieści się w minucie z hakiem (a efekty te same). Zresztą
> niebawem będziesz mógł to sobie sam obejrzeć.
A to zobaczymy. Czy po odszyfrowaniu będzie to samo co przed
zaszyfrowaniem etc. Nie skasuję jeszcze swoich backupów. ;)