Что это за подземный стук?

Vladimir Fyodorov

unread,

Oct 13, 2020, 10:21:19 AM10/13/20

to

Разнообразно приветствую тебя, All!

Сегодня весь день на ноду идут такие соединения:

===
- 13 Oct 13:54:45 [6308] incoming from 127.0.0.1 (57998)
+ 13 Oct 13:54:45 [7444] incoming session with 127.0.0.1
- 13 Oct 13:54:45 [6308] incoming from 127.0.0.1 (57999)
+ 13 Oct 13:54:45 [3652] incoming session with 127.0.0.1
? 13 Oct 13:54:46 [7444] recv: connection closed by foreign host
+ 13 Oct 13:54:46 [7444] done (?, failed, S/R: 0/0 (0/0 bytes))
13 Oct 13:54:46 [7444] session closed, quitting...
===

Естественно, сам себе я не звонил. Как такое может быть? Кто-то подменяет IP и
меня DDOS'ит?

Всяческих благ. Искренне Ваш, Vladimir Fyodorov, эсквайр.
... Врач-негропатолог

Alexey Vissarionov

unread,

Oct 13, 2020, 10:41:18 AM10/13/20

to

Доброго времени суток, Vladimir!
13 Oct 2020 17:10:50, ты -> All:

VF> Сегодня весь день на ноду идут такие соединения:
VF> - 13 Oct 13:54:45 [6308] incoming from 127.0.0.1 (57998)
VF> + 13 Oct 13:54:45 [7444] incoming session with 127.0.0.1
VF> - 13 Oct 13:54:45 [6308] incoming from 127.0.0.1 (57999)
VF> + 13 Oct 13:54:45 [3652] incoming session with 127.0.0.1
VF> ? 13 Oct 13:54:46 [7444] recv: connection closed by foreign host
VF> + 13 Oct 13:54:46 [7444] done (?, failed, S/R: 0/0 (0/0 bytes))
VF> 13 Oct 13:54:46 [7444] session closed, quitting...

Гыыыыыыыы....

VF> Естественно, сам себе я не звонил. Как такое может быть?
VF> Кто-то подменяет IP и меня DDOS'ит?

Да. Страдай.

--
Alexey V. Vissarionov aka Gremlin from Kremlin
gremlin ПРИ gremlin ТЧК ru; +vii-cmiii-ccxxix-lxxix-xlii

... Пока теоретики рисуют карты, практики меняют ландшафты

Dima Bargamov

unread,

Oct 13, 2020, 11:46:18 AM10/13/20

to

оПХвЕР!

Kaк-тo нa дняx (13 окт 20) Vladimir Fyodorov пишeт к All...

[ ... ]
VF> Сегодня весь день на ноду идут такие соединения:

VF> ===
VF> - 13 Oct 13:54:45 [6308] incoming from 127.0.0.1 (57998)

VF> Естественно, сам себе я не звонил. Как такое может быть? Кто-то
VF> подменяет IP и меня DDOS'ит?
Трояна ты словил и оно теперь твою локалку сканит на предмет открытости портов.

Vladimir Fyodorov

unread,

Oct 13, 2020, 1:06:19 PM10/13/20

to

Разнообразно приветствую тебя, Dima!

13 Октября 2020, Dima Bargamov писАл к Vladimir Fyodorov следующее:

VF>> Сегодня весь день на ноду идут такие соединения:

VF>> - 13 Oct 13:54:45 [6308] incoming from 127.0.0.1 (57998)

DB> Трояна ты словил и оно теперь твою локалку сканит на предмет
DB> открытости портов.

Спасибо, буду проверяться.

Всяческих благ. Искренне Ваш, Vladimir Fyodorov, эсквайр.

... Синбай на хабах pежете, а это бандитизм!

Vladimir Fyodorov

unread,

Oct 13, 2020, 2:06:19 PM10/13/20

to

Разнообразно приветствую тебя, Dima!

13 Октября 2020, Vladimir Fyodorov писАл к Dima Bargamov следующее:

VF>>> - 13 Oct 13:54:45 [6308] incoming from 127.0.0.1 (57998)
DB>> Трояна ты словил и оно теперь твою локалку сканит на предмет
DB>> открытости портов.

VF> Спасибо, буду проверяться.

SUPERAntiSpyware и AVZ ничего не нашли. Dr.Web CureIt! выдал только

===
C:\Windows\system32\drivers\etc\hosts - infected with DFH:HOSTS.corrupted
C:\Windows\system32\drivers\etc\hosts - infected
[...]
C:\Windows\system32\drivers\etc\hosts - probably infected with
HOSTS:SUSPICIOUS.URL
C:\Windows\system32\drivers\etc\hosts - infected - 0ms, 0 bytes
===

Да, там есть у меня сделанные вручную изменения, но они либо для избежания
рекламы, либо для хакнутых программ. Вот он целиком:

===
# Copyright (c) 1993-2009 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host

# localhost name resolution is handled within DNS itself.
# 127.0.0.1 localhost
# ::1 localhost

127.0.0.1 clients2.google.com
127.0.0.1 kb.photodex.com

#SKYPE
127.0.0.1 rad.msn.com
127.0.0.1 adriver.ru
127.0.0.1 api.skype.com
127.0.0.1 static.skypeassets.com
127.0.0.1 apps.skype.com

#VIBER
127.0.0.1 ads.viber.com

#ADOBE
127.0.0.1 lmlicenses.wip4.adobe.com
127.0.0.1 lm.licenses.adobe.com
127.0.0.1 na1r.services.adobe.com
127.0.0.1 hlrcv.stage.adobe.com
127.0.0.1 practivate.adobe.com
127.0.0.1 activate.adobe.com
127.0.0.1 hl2rcv.adobe.com
127.0.0.1 hbrcv.adobe.com
127.0.0.1 199.7.52.190
127.0.0.1 199.7.52.190:80
127.0.0.1 199.7.54.72
127.0.0.1 199.7.54.72:80
127.0.0.1 192.150.14.69
127.0.0.1 192.150.18.101
127.0.0.1 192.150.18.108
127.0.0.1 192.150.22.40
127.0.0.1 192.150.8.100
127.0.0.1 192.150.8.118
127.0.0.1 209.34.83.67
127.0.0.1 209.34.83.67:43
127.0.0.1 209.34.83.67:443
127.0.0.1 209.34.83.73
127.0.0.1 209.34.83.73:43
127.0.0.1 209.34.83.73:443
127.0.0.1 209-34-83-73.ood.opsource.net
127.0.0.1 3dns.adobe.com
127.0.0.1 3dns-1.adobe.com
127.0.0.1 3dns-2.adobe.com
127.0.0.1 3dns-3.adobe.com
127.0.0.1 3dns-4.adobe.com
127.0.0.1 activate-sea.adobe.com
127.0.0.1 activate-sjc0.adobe.com
127.0.0.1 activate.adobe.com
127.0.0.1 activate.wip.adobe.com
127.0.0.1 activate.wip1.adobe.com
127.0.0.1 activate.wip2.adobe.com
127.0.0.1 activate.wip3.adobe.com
127.0.0.1 activate.wip4.adobe.com
127.0.0.1 adobe.activate.com
127.0.0.1 adobe-dns.adobe.com
127.0.0.1 adobe-dns-1.adobe.com
127.0.0.1 adobe-dns-2.adobe.com
127.0.0.1 adobe-dns-2.adobe.com
127.0.0.1 adobe-dns-3.adobe.com
127.0.0.1 adobe-dns-3.adobe.com
127.0.0.1 adobe-dns-4.adobe.com
127.0.0.1 adobeereg.com
127.0.0.1 crl.verisign.net
127.0.0.1 CRL.VERISIGN.NET.*
127.0.0.1 ereg.adobe.com
127.0.0.1 ereg.wip.adobe.com
127.0.0.1 ereg.wip1.adobe.com
127.0.0.1 ereg.wip2.adobe.com
127.0.0.1 ereg.wip3.adobe.com
127.0.0.1 ereg.wip3.adobe.com
127.0.0.1 ereg.wip4.adobe.com
127.0.0.1 hbrcv.adobe.com
127.0.0.1 hl2rcv.adobe.com
127.0.0.1 hlrcv.stage.adobe.com
127.0.0.1 ims-na1-prprod.adobelogin.com
127.0.0.1 lm.licenses.adobe.com
127.0.0.1 lmlicenses.wip4.adobe.com
127.0.0.1 na1r.services.adobe.com
127.0.0.1 na2m-pr.licenses.adobe.com
127.0.0.1 na2m-stg2.licenses.adobe.com
127.0.0.1 na4r.services.adobe.com
127.0.0.1 OCSP.SPO1.VERISIGN.COM
127.0.0.1 ood.opsource.net
127.0.0.1 practivate.adobe
127.0.0.1 practivate.adobe.*
127.0.0.1 practivate.adobe.com
127.0.0.1 practivate.adobe.ipp
127.0.0.1 practivate.adobe.newoa
127.0.0.1 practivate.adobe.ntp
127.0.0.1 prod-rel-ffc-ccm.oobesaas.adobe.com
127.0.0.1 products.adobe.com
127.0.0.1 redirect.wip3.adobe.com
127.0.0.1 s-2.adobe.com
127.0.0.1 s-3.adobe.com
127.0.0.1 stats.adobe.com
127.0.0.1 tss-geotrust-crl.thawte.com
127.0.0.1 tt11.adobe.com
127.0.0.1 uds.licenses.adobe.com
127.0.0.1 wip.adobe.com
127.0.0.1 wip1.adobe.com
127.0.0.1 wip2.adobe.com
127.0.0.1 wip3.adobe.com
127.0.0.1 wip3.adobe.com
127.0.0.1 wip4.adobe.com
127.0.0.1 wwis-dubc1-vip60.adobe.com
127.0.0.1 wwis-dubc1-vip100.adobe.com #192.1100.8.100
127.0.0.1 wwis-dubc1-vip101.adobe.com #192.1100.8.101
127.0.0.1 wwis-dubc1-vip102.adobe.com #192.1100.8.102
127.0.0.1 wwis-dubc1-vip103.adobe.com #192.1100.8.103
127.0.0.1 wwis-dubc1-vip104.adobe.com #192.1100.8.104
127.0.0.1 wwis-dubc1-vip105.adobe.com #192.1100.8.105
127.0.0.1 wwis-dubc1-vip106.adobe.com #192.1100.8.106
127.0.0.1 wwis-dubc1-vip107.adobe.com #192.1100.8.107
127.0.0.1 wwis-dubc1-vip108.adobe.com #192.1100.8.108
127.0.0.1 wwis-dubc1-vip109.adobe.com #192.1100.8.109
127.0.0.1 wwis-dubc1-vip110.adobe.com #192.1110.8.110
127.0.0.1 wwis-dubc1-vip111.adobe.com #192.1110.8.111
127.0.0.1 wwis-dubc1-vip112.adobe.com #192.1110.8.112
127.0.0.1 wwis-dubc1-vip113.adobe.com #192.1110.8.113
127.0.0.1 wwis-dubc1-vip114.adobe.com #192.1110.8.114
127.0.0.1 wwis-dubc1-vip115.adobe.com #192.1110.8.115
127.0.0.1 wwis-dubc1-vip116.adobe.com #192.1110.8.116
127.0.0.1 wwis-dubc1-vip117.adobe.com #192.1110.8.117
127.0.0.1 wwis-dubc1-vip118.adobe.com #192.1110.8.118
127.0.0.1 wwis-dubc1-vip119.adobe.com #192.1110.8.119
127.0.0.1 wwis-dubc1-vip120.adobe.com #192.1120.8.120
127.0.0.1 wwis-dubc1-vip121.adobe.com #192.1120.8.121
127.0.0.1 wwis-dubc1-vip122.adobe.com #192.1120.8.122
127.0.0.1 wwis-dubc1-vip123.adobe.com #192.1120.8.123
127.0.0.1 wwis-dubc1-vip124.adobe.com #192.1120.8.124
127.0.0.1 wwis-dubc1-vip125.adobe.com #192.1120.8.125
127.0.0.1 wwis-dubc1-vip30.adobe.com #192.150.8.30
127.0.0.1 wwis-dubc1-vip31.adobe.com #192.150.8.31
127.0.0.1 wwis-dubc1-vip32.adobe.com #192.150.8.32
127.0.0.1 wwis-dubc1-vip33.adobe.com #192.150.8.33
127.0.0.1 wwis-dubc1-vip34.adobe.com #192.150.8.34
127.0.0.1 wwis-dubc1-vip35.adobe.com #192.150.8.35
127.0.0.1 wwis-dubc1-vip36.adobe.com #192.150.8.36
127.0.0.1 wwis-dubc1-vip37.adobe.com #192.150.8.37
127.0.0.1 wwis-dubc1-vip38.adobe.com #192.150.8.38
127.0.0.1 wwis-dubc1-vip39.adobe.com #192.150.8.39
127.0.0.1 wwis-dubc1-vip40.adobe.com #192.150.8.40
127.0.0.1 wwis-dubc1-vip41.adobe.com #192.150.8.41
127.0.0.1 wwis-dubc1-vip42.adobe.com #192.150.8.42
127.0.0.1 wwis-dubc1-vip43.adobe.com #192.150.8.43
127.0.0.1 wwis-dubc1-vip44.adobe.com #192.150.8.44
127.0.0.1 wwis-dubc1-vip45.adobe.com #192.150.8.45
127.0.0.1 wwis-dubc1-vip46.adobe.com #192.150.8.46
127.0.0.1 wwis-dubc1-vip47.adobe.com #192.150.8.47
127.0.0.1 wwis-dubc1-vip48.adobe.com #192.150.8.48
127.0.0.1 wwis-dubc1-vip49.adobe.com #192.150.8.49
127.0.0.1 wwis-dubc1-vip50.adobe.com #192.150.8.50
127.0.0.1 wwis-dubc1-vip51.adobe.com #192.150.8.51
127.0.0.1 wwis-dubc1-vip52.adobe.com #192.150.8.52
127.0.0.1 wwis-dubc1-vip53.adobe.com #192.150.8.53
127.0.0.1 wwis-dubc1-vip54.adobe.com #192.150.8.54
127.0.0.1 wwis-dubc1-vip55.adobe.com #192.150.8.55
127.0.0.1 wwis-dubc1-vip56.adobe.com #192.150.8.56
127.0.0.1 wwis-dubc1-vip57.adobe.com #192.150.8.57
127.0.0.1 wwis-dubc1-vip58.adobe.com #192.150.8.58
127.0.0.1 wwis-dubc1-vip59.adobe.com #192.150.8.59
127.0.0.1 wwis-dubc1-vip60.adobe.com #192.160.8.60
127.0.0.1 wwis-dubc1-vip60.adobe.de
127.0.0.1 wwis-dubc1-vip61.adobe.com #192.160.8.61
127.0.0.1 wwis-dubc1-vip62.adobe.com #192.160.8.62
127.0.0.1 wwis-dubc1-vip63.adobe.com #192.160.8.63
127.0.0.1 wwis-dubc1-vip64.adobe.com #192.160.8.64
127.0.0.1 wwis-dubc1-vip65.adobe.com #192.160.8.65
127.0.0.1 wwis-dubc1-vip66.adobe.com #192.160.8.66
127.0.0.1 wwis-dubc1-vip67.adobe.com #192.160.8.67
127.0.0.1 wwis-dubc1-vip68.adobe.com #192.160.8.68
127.0.0.1 wwis-dubc1-vip69.adobe.com #192.160.8.69
127.0.0.1 wwis-dubc1-vip70.adobe.com #192.170.8.70
127.0.0.1 wwis-dubc1-vip71.adobe.com #192.170.8.71
127.0.0.1 wwis-dubc1-vip72.adobe.com #192.170.8.72
127.0.0.1 wwis-dubc1-vip73.adobe.com #192.170.8.73
127.0.0.1 wwis-dubc1-vip74.adobe.com #192.170.8.74
127.0.0.1 wwis-dubc1-vip75.adobe.com #192.170.8.75
127.0.0.1 wwis-dubc1-vip76.adobe.com #192.170.8.76
127.0.0.1 wwis-dubc1-vip77.adobe.com #192.170.8.77
127.0.0.1 wwis-dubc1-vip78.adobe.com #192.170.8.78
127.0.0.1 wwis-dubc1-vip79.adobe.com #192.170.8.79
127.0.0.1 wwis-dubc1-vip80.adobe.com #192.180.8.80
127.0.0.1 wwis-dubc1-vip81.adobe.com #192.180.8.81
127.0.0.1 wwis-dubc1-vip82.adobe.com #192.180.8.82
127.0.0.1 wwis-dubc1-vip83.adobe.com #192.180.8.83
127.0.0.1 wwis-dubc1-vip84.adobe.com #192.180.8.84
127.0.0.1 wwis-dubc1-vip85.adobe.com #192.180.8.85
127.0.0.1 wwis-dubc1-vip86.adobe.com #192.180.8.86
127.0.0.1 wwis-dubc1-vip87.adobe.com #192.180.8.87
127.0.0.1 wwis-dubc1-vip88.adobe.com #192.180.8.88
127.0.0.1 wwis-dubc1-vip89.adobe.com #192.180.8.89
127.0.0.1 wwis-dubc1-vip90.adobe.com #192.190.8.90
127.0.0.1 wwis-dubc1-vip91.adobe.com #192.190.8.91
127.0.0.1 wwis-dubc1-vip92.adobe.com #192.190.8.92
127.0.0.1 wwis-dubc1-vip93.adobe.com #192.190.8.93
127.0.0.1 wwis-dubc1-vip94.adobe.com #192.190.8.94
127.0.0.1 wwis-dubc1-vip95.adobe.com #192.190.8.95
127.0.0.1 wwis-dubc1-vip96.adobe.com #192.190.8.96
127.0.0.1 wwis-dubc1-vip97.adobe.com #192.190.8.97
127.0.0.1 wwis-dubc1-vip98.adobe.com #192.190.8.98
127.0.0.1 wwis-dubc1-vip99.adobe.com #192.190.8.99

127.0.0.1 genuine.microsoft.com
127.0.0.1 mpa.one.microsoft.com
127.0.0.1 sls.microsoft.com
===

Всяческих благ. Искренне Ваш, Vladimir Fyodorov, эсквайр.

... Врач-негропатолог

Dima Bargamov

unread,

Oct 13, 2020, 2:16:19 PM10/13/20

to

Привет тебе, Vladimir!

Kaк-тo нa дняx (13 окт 20) Vladimir Fyodorov пишeт к Dima Bargamov...

[ ... ]

DB>>> Трояна ты словил и оно теперь твою локалку сканит на предмет
DB>>> открытости портов.
VF>> Спасибо, буду проверяться.

VF> SUPERAntiSpyware и AVZ ничего не нашли. Dr.Web CureIt!
Из-под винды сканил? ;-)

VF> выдал только
Это вообще к делу не относится.

Vitaliy Geydeko

unread,

Oct 13, 2020, 2:46:18 PM10/13/20

to

Привет, Dima!

13 Окт 20 21:06, ты писал(а) Vladimir Fyodorov:

VF>> SUPERAntiSpyware и AVZ ничего не нашли. Dr.Web CureIt!

DB> Из-под винды сканил? ;-)

и то и то отлично находит выбивает руткиты
2VF сходи на антивирусный форум запости туда то что они требуют
например forum.drweb.com помощь в лечении

Vitaliy

... np:ЖЕКА - ПМЖ (Dorognoe)

Vladimir Fyodorov

unread,

Oct 13, 2020, 2:56:18 PM10/13/20

to

Разнообразно приветствую тебя, Dima!

13 Октября 2020, Dima Bargamov писАл к Vladimir Fyodorov следующее:

VF>>> Спасибо, буду проверяться.
VF>> SUPERAntiSpyware и AVZ ничего не нашли. Dr.Web CureIt!

DB> Из-под винды сканил? ;-)

Ну да, винда :)

VF>> выдал только
DB> Это вообще к делу не относится.

Мне тоже так показалось.

Leonid Gribanov

unread,

Oct 13, 2020, 4:16:19 PM10/13/20

to

Hello, Vladimir Fyodorov.

On 13.10.20 8:50 ПП you wrote:

VF>> Спасибо, буду проверяться.

VF> SUPERAntiSpyware и AVZ ничего не нашли. Dr.Web CureIt! выдал
VF> только

Попробуй на сайт virustotal скинуть подозрительные файлы.

--
Пишу с HotDogED. На ПК использую GoldED.

Alexander Kruglikov

unread,

Oct 13, 2020, 4:31:19 PM10/13/20

to

Привет, Vladimir!

14 окт 20 01:00, Leonid Gribanov писал(а) к Vladimir Fyodorov:

VF>> SUPERAntiSpyware и AVZ ничего не нашли. Dr.Web CureIt! выдал только
LG> Попробуй на сайт virustotal скинуть подозрительные файлы.

а то там-то модифицированных hosts не видели, да =)

С наилучшими пожеланиями, Alexander.

Jaroslav Bespalov

unread,

Oct 14, 2020, 1:31:19 PM10/14/20

to

Привет, Vladimir!

Вторник 13 Октября 2020 17:10:50, Vladimir Fyodorov писал(а) к All:

VF> Сегодня весь день на ноду идут такие соединения:

VF> ===
VF> - 13 Oct 13:54:45 [6308] incoming from 127.0.0.1 (57998)
VF> + 13 Oct 13:54:45 [7444] incoming session with 127.0.0.1
VF> - 13 Oct 13:54:45 [6308] incoming from 127.0.0.1 (57999)
VF> + 13 Oct 13:54:45 [3652] incoming session with 127.0.0.1
VF> ? 13 Oct 13:54:46 [7444] recv: connection closed by foreign host
VF> + 13 Oct 13:54:46 [7444] done (?, failed, S/R: 0/0 (0/0 bytes))
VF> 13 Oct 13:54:46 [7444] session closed, quitting...
VF> ===

VF> Естественно, сам себе я не звонил. Как такое может быть? Кто-то
VF> подменяет IP и меня DDOS'ит?

Так если ты в hosts домены на себя развернул - может на какой-то из них и
пытается одна из софтин прорваться?

С наилучшими пожеланиями, Jaroslav.

Vladimir Fyodorov

unread,

Oct 14, 2020, 1:51:19 PM10/14/20

to

Разнообразно приветствую!

VF>> === - 13 Oct 13:54:45 [6308] incoming from 127.0.0.1 (57998) + 13
VF>> Oct 13:54:45 [7444] incoming session with 127.0.0.1 - 13 Oct
VF>> 13:54:45 [6308] incoming from 127.0.0.1 (57999) + 13 Oct 13:54:45
VF>> [3652] incoming session with 127.0.0.1 ? 13 Oct 13:54:46 [7444]
VF>> recv: connection closed by foreign host + 13 Oct 13:54:46 [7444]
VF>> done (?, failed, S/R: 0/0 (0/0 bytes))

VF>> 13 Oct 13:54:46 [7444] session closed, quitting...
VF>> ===

JB> Так если ты в hosts домены на себя развернул - может на какой-то
JB> из них и пытается одна из софтин прорваться?

Хм, и попадает на 443 порт, где у меня отвечает binkd? Я в этом не сильно
разбираюсь, но звучит правдоподобно. Надо будет попробовать "обнулить" файл
hosts и посмотреть, станет ли лучше.

--

Всяческих благ. Искренне Ваш, Vladimir Fyodorov, эсквайр.

... Пропала несущая? Заплатите налоги!