Сбербанк сканирует порты локального компьютера

61

7 лет назад

В точку.

18

andryxa57

7 лет назад

Поэтому я и не плюсую то в чем не разбираюсь

ещё комментарии

140

7 лет назад

И как, если не секрет, по статусу десятка портов определить руткит? А если я ftp переназначил на этот порт меня забанят?

раскрыть ветку (131)

296

DELETED

7 лет назад

лучше повесь туда веб-сервер, который на get запросы будет отвечать "пошел ты нахуй сбербанк" :D

раскрыть ветку (14)

43

7 лет назад

Вооот, сам писать собирался) только с линком на natribu

раскрыть ветку (13)

32

vandersex

7 лет назад

на тебе конфиг nginx:

server {

listen *:номер_порта;

location / {

return 200 "OXYEJI 4TOJI|/|?!";

}

раскрыть ветку (12)

76

jokesStupid

7 лет назад

Не разобрался куда это девать и поэтому просто отправлю в онлайн чат Сбербанка...

13

DELETED

7 лет назад

Ну ладно.

1 - Идем на https://nginx.ru/ru/download.html

2 - Качаем последную стабильную версию под windows

3 - Распаковываем скачанный архив в любую удобную папку

4 - Идем в папку nginx-1.12.0\conf и открываем nginx.conf

5 - Меняем содержимое nginx.conf, на предложенный @vandersex конфиг

6 - Вписываем нужный нам порт в строку listen *: порт;

7 - Запускаем Niinx при помощи nginx.exe

Вы прекрасны !

450105107

7 лет назад

Комментарий удален. Причина: данный аккаунт был удалён

Faunris

7 лет назад

Охохохо, по мне было бы лучше на 445 повесить. :D

ещё комментарий

14

slam007

7 лет назад

а почему не return 200 "OXYEJI 4TOJI|/|?; DROP TABLE clients;--')";

Schupalce

7 лет назад

великолепно )

добавил в конфиг ))

Kells

7 лет назад

А можно подробнее? Веб сервер как поставить знаю, а этот код куда вбивать?

6

SweetBabyBoom

7 лет назад

А как набьешь, сделай селфи с жопой и кинь Сберу.

3

StarML

7 лет назад

На задницу набей себей

1

xDeSx

7 лет назад

конфиг nginx:

Написано же

ещё комментарий

27

DELETED

7 лет назад

Только по этому признаку - никак .

В купе с неожиданными/ожидаемыми ответами с порта - теплее .

Если порт ещё и входит в диапазон нерезервированных и потенциально используемых актуальными руткитами - горячо .

раскрыть ветку (18)

12

7 лет назад

По. Статусу. Порта. Какие ответы? GET-запрос, ответ от веб-сервера?

раскрыть ветку (15)

2

Black13

7 лет назад

Ну, открой порт из списка да посмотри, что на него прилетит от сбера.

ещё комментарии

10

7 лет назад

Так надо скрипт деобфусцировать и посмотреть - может, просто предупреждение выдаёт.

раскрыть ветку (75)

19

dom1n1k

7 лет назад

Не, там огромный скрипт (13к строк) с кучей логики и шифрованием чего-то.

То есть это не просто предупреждение, там много какого-то неясного функционала.

раскрыть ветку (62)

26

7 лет назад

Обстукивает он не все порты, а следующие:

22, 80, 445, 5985, 5900, 5939, 56650, 3389, 51, 8080, 6900, 5931, 5938.

Код скрипта очень сложно читать, если только пошагово смотреть в отладчике. Подозрительно, зачем сберу данные о 3389, к примеру - какая разница, есть или нет удаленное подключение. Одна теория - действительно оценивает потенциальную протрояненность компа.

Сейчас смотрю дальше

раскрыть ветку (47)

10

DELETED

7 лет назад

А 22 нахрена? SSH давно трояном стал?

раскрыть ветку (33)

14

7 лет назад

Как и 80, хуй его знает.

1

denysenkosa

7 лет назад

ssh, rdp, vnc (5900) - сервисы для удаленного доступа. Точно не помню, но не удивлюсь, если там и какието порты тимвьювера есть.

Multicopter

7 лет назад

Ssh всегда рекомендуют переназначать с деолтного порта

ещё комментарии

18

7 лет назад

Да что там маяться.

Все видно что он отправляет слепок клиента с максимальными собранными данными.

Позволяет собрать уникальные данные для идентификации.

Старо как мир. С портами правда они и правда намудрили.

Но как было сказано ниже, это для идентификации юриков

8

Hivekeeper

7 лет назад

Обсуждаемый скрипт вообще не связан с этим слепком, коллега. Да, такой запрос, который вы привели есть, но никакого отношения к обсуждаемому в вопросе скрипту он не имеет )

7 лет назад

Этот запрос отправляется на сервер статистики сбера. Если вы приглядитесь, там есть свойство ports, которое также отправляется туда.

4

7 лет назад

Не-не-не, это же просто данные для яндекс.метрики или для гугла

7 лет назад

Нет, это отправляется на сервис "https://scr.online.sberbank.ru/api/fl?cfids2=speaJe%2B%2B63r..." в виде полушифрованного (сначала подумал что base64, но они шифруют самостоятельно).

nikobu

7 лет назад

Предполагаю, что если ты открыл рдп сессию, то банк клиент может не заработать. Логика простая - например ты авторизовался, потом кто-то перехватил управление компом.

satyriasis

7 лет назад

Интересно, а если я наоборот лютый параноик, и все операции провожу с доверенной машины (виртуалки, например, или домашней) через тот же 3389 RDP, то всё, заблокируют?

1

7 лет назад

Да не знаю. По идее, не должны, тут вы правы.

nikobu

7 лет назад

Лютые параноики не используют веллноун порты!

Mr.Kamber

7 лет назад

Чел подключился по удаленке, после решил на сайт сбера зайти, используя сохраненные в браузере пароли. ИМХО

2

JaffreyAdler

7 лет назад

3389 - RDP порт. Один сбрученный/взломанный компьютер на черном рынке стоит рублей 15-30. Очень часто используется для заливов по РУ (Перевод денежных средств с счета на свой), т.к. не оставляет следов на компьютере мошенника.

7 лет назад

Спасибо, кэп)

satyriasis

7 лет назад

На обычном компе же если цепляешься стандартным функционалом винды - палево. Экран блокируется.

6

7 лет назад

По поводу обфускации - ничего там сложного нет, можно тупо запустить в отладчике, и скрипт разворачивается в нормальный вид. Но он пипец какой огромный, сейчас смотрю его.

1

NosefU

7 лет назад

Ждем результатов)

6

7 лет назад

Ок, ща посмотрим, что там.

раскрыть ветку (11)

3

Luci4

7 лет назад

Я подпишусь и подожду вашего вердикта

раскрыть ветку (10)

5

TheGuyverjoke

7 лет назад

Ну он же шутит :D. Сделать аудит 13 тысяч строк в одиночку в разумные строки попросту невозможно

1

7 лет назад

Смотрю потихоньку. Лет 5 назад я разбирал троян-лоадер, который тоже был обфусцирован, 7 функций разобрал за несколько часов. Но там помогло то, что можно было такие точки останова поставить в js-отладчике, что код сам по себе почти полностью был распакован в относительно нормальный вид)

3

wakirin

7 лет назад

призовите когда вам ответят

раскрыть ветку (6)

2

wakirin

7 лет назад

#comment_88493697

@Lucipoher, @Rurla, @Kuzmich89, @Seriys

Seriys

7 лет назад

Спасибо

3

Rurla

7 лет назад

Схоронюсь в ветке и подожду

3

Kuzmich89

7 лет назад

Аналогично

4

G1N000

7 лет назад

интересно ответит ли сбербанк официально

mamont

7 лет назад

Нас наебали. Расходимся.

2

Seriys

7 лет назад

Позовите и меня, пожалуйста

DELETED

7 лет назад

да не, майнит биткоины потихоньку. Надо же где-то деньги брать.

раскрыть ветку (11)

7 лет назад

Биткоины на ПК уже года 2 как никто не фармит. Сложность высокая.

раскрыть ветку (10)

DELETED

7 лет назад

да в курсе, но только вирусы-майнеры как работали так и работают.

Kinzuro

7 лет назад

Странн . Знакомый только этим и живёт что майнит

раскрыть ветку (7)

7 лет назад

Либо у него фермы, либо он магнит другую криптовалюту.

раскрыть ветку (6)

Kinzuro

7 лет назад

Ферма на видео картах

раскрыть ветку (5)

7 лет назад

На видеокартах точно не майнят битки. Тут явно другое.

ReaBoI

7 лет назад

Смотря на каких.470-480 радеоновские сейчас являются оптимальными для майнинга, в том числе и битков, за счет низкого энергопотребления. Да и если покупать по гарантии и карта крякнется (при небрежной настройке фермы), либо будет работать не корректно, гарантия на неё - не пустой звук, а вполне реальный способ обменять поломанное на новое. Частный майнинг сейчас только на картах и держится, да и китайские фермы тоже на картах живут, постепенно заменяя старые на более энергоэффективные.. Впрочем, имхо, китайским фермам уже и пяти лет не протянуть.. В общем, жить на майнинге битков вполне реально, но:

1) Важен выбор карты

2) Её правильная настройка

3) Бережный уход и правильное охлаждение

4) Высокая энергоэффективность.

5) Подбор пула

Если майнит человек с умом - вполне способен жить на этом.. Да и даже когда ферма потеряет свою актуальность, подержанные карты вполне благополучно можно сбыть за половину цены, отбив дополнительную плюшку сверху того, что было намайнено за время работы.

7 лет назад

Окей, откройте любой калькулятор майнинга и посмотрите, что вы там из битков сможете намайнить на видеокарте. В 2015 году, может быть, на топовых видеокартах и можно было нафармить какие-то копейки, но сейчас уже точно нет.

ReaBoI

7 лет назад

Я и не говорю, что с этого можно заоблачные барыши иметь. Период оккупаемости минимум от года до двух, и это ещё если с мозгами подойти к делу, но в том то и дело, что у специалиста карта может проработать в ферме и три и четыре года, но куда проще подождать, пока та себя окупит, и продать, на вырученные средства закупив карту следующего поколения.. А полностью окупившаяся ферма на 6 карточек, это комплектующих на 100к деревянных. Вот и считай, год - +100к потраченные на карты и всё прочее, да плюс сверху тысяч 40-50 с проданных подержанных комплектующих. Если таких ферм более одной, а скажем три, четыре, пять - жить одним майнингом становится вполне возможно, но черт возьми.. мозги надо иметь и уметь со всем этим дерьмом работать, устранять мелкие косяки и знать как в краткие сроки получить замену, в случае косяков покрупнее, вроде перегоревшей или "потёкшей" карты.

7 лет назад

Да нельзя намайнить даже на огромной ферме видеокарт ничего. Больше будет стоить электроэнергия. Сейчас даже на antminer-ах, у которых в терахешах измеряется скорость, перестают майнить, а они в десятки, в сотни раз мощнее любых видеокарт.

Meegoo

7 лет назад

Зато, если кому интересно, Ethereum на Polaris'ах прекрасно майнится :D

Alexuit

7 лет назад

тоже не программер, но стоят на компе платные проги, так при наличии flexihub сразу ругаются, что не будут работать

4

lexuskeksus

7 лет назад

Не секрет. Если нет доступа, меняйте свои фтп порты на дефолтные/другие, по аналогии с мобильным клиентом, клиент сбербанка если видит рут на устройстве, операции невозможны(только по шаблонам).

PS ~~я не настоящий сварщик~~ не имею никакого отношения к сберу, просто личные наблюдения.

раскрыть ветку (17)

4

7 лет назад

Я все еще жду ответа на "не секрет". Как выявить руткит по статусу десятка портов, пусть тех же, с 80го вообще ржу.

DELETED

7 лет назад

руткит

он не говорил про руткит, он говорит, что root на смарте блочит операции из клиента сбера, что правда.

4

7 лет назад

Нажми на стрелочку, над его комметом. Поправь меня, если я не прав. Выглядит, будто он говорит о том, чего не понимает. А ты оправдываешь его, не прочитав, на что он отвечает.

7

DELETED

7 лет назад

Выглядит, будто он говорит о том, чего не понимает.

Это действительно так.

А ты оправдываешь его, не прочитав, на что он отвечает.

Да, я не посмотрел, что изначально речь шла про руткит :(

6

7 лет назад

Приятно иметь дело с человеком разумным, лови плюс.

3

7 лет назад

Можешь и в сбере в отделении сидеть - к сути вопроса не приблизит. Ответ из разряда: "не знаю, если после того, что ты описал, не работает - сам виноват." Рут и ftp-серв в одну корзину? Вам больше не стоит заниматься юмором.jpg

раскрыть ветку (9)

1

lexuskeksus

7 лет назад

мобайл приложение проверяет рут, веб морда смотрит порты, совсем разные вещи, но и то и другое называется проверка безопасности

раскрыть ветку (7)

5

7 лет назад

Нет.

раскрыть ветку (6)

1

krymneya

7 лет назад

Твои аргументы скисли не хуже чем его.

раскрыть ветку (5)

2

7 лет назад

Еще один, жду ответа на #comment_88479267

1

krymneya

7 лет назад

И? Вы в адеквате вообще?

3

7 лет назад

Прошу прощения, еще одна. Мои аргументы неопровержимы в сети, через которую мы с вами взаимодействуем.

2

krymneya

7 лет назад

Естественно они неопровержимы, ведь слово "Нет" не является аргументом.

lexuskeksus

7 лет назад

больше скажу, в сбере вам в лучшем случае так и скажут, в худшем скажут что всё должно работать, смотрите своё говно

padalka1

7 лет назад

Несистемный рут смотрит на эту ветку как на говно

LavrentiyDD

7 лет назад

обходится это очень легко, рут он смотрит в одном файле, симлинк и нет ни какого рута

JaffreyAdler

7 лет назад

Руткит нет, но 8080 порт, тип ВПН, другие порты которые не разглашаются в целях безопасности - всегда проверяются. Гуглите как это делается, все проще.

https://geektimes.ru/post/289577/#comment_10095441

Setras

7 лет назад

другие порты которые не разглашаются в целях безопасности

ЖИДАМАСОНСКИЙ ЗАГАВАР!

НАКАМПЕ ЕСТЬ ПАРТЫ!

НИСКАЖУКАКИИ В ЦЕЛЯХ БИЗАПАСНАСТИ!

7

mrEugenS

7 лет назад

вчера обсуждение было на гиктаймсе, пишут что для проверки наличия клиентского софта, для взаимодействия по api в дальнейшем.

ещё комментарии

3

HellCrazyRabbit

7 лет назад

Не совсем руткиты ищут, средства удаленного доступа, хз зачем правда, RDP, VNC, TW, radmin, AA (большая часть портов их на скрине) все равно сидя через удаленку можно заходить и исполнять все действия.
Такое у многих онлайн банкингов, но менее заметно

раскрыть ветку (10)

4

Den1xxx

7 лет назад

Нормальный человек rdp пробросил бы на другой порт, да и другие потенциально опасные тоже. Я вот например на 33933 недавно вешал. Скан портов ничего не дает, если только ты не задумал устроить брутфорс этой машинке.

Поэтому мне кажется, что это заражённый файл. Нужно бы выслать его спецам сбербанка на анализ.

раскрыть ветку (9)

3

ghosto

7 лет назад

33988 же..

от кул-хацкеров в 90% спасает, а вот от настойчивых все же только жесткий файрволл src-ip + dst-port... меня все подбивают поставить утилиты, которые эмулируют успешный взлом и логирующие дальнейшее развитие событий на сандбоксе для последующего анализа и чисто поржать, но все лень... ssh туда же...

раскрыть ветку (7)

1

Den1xxx

7 лет назад

Я не ставил себе целью кого-то поймать, а порт выдумал такой, чтобы просто запоминался и был не занят.

Работаю по схеме:

1. Из локалки на выходе в инет — файрволл Керио, С инета на порту открыта его вебморда.

2. Если не на работе и нужно что-то сделать из дома. Заходим на вебморду и включаем/пробрасываем любые сервисы для доступа извне в локалку. Можно открыть удаленный сеанс, сделать локальный сайт доступным в интернете и т.п.

3. Попользовались — выключаем с вебморды.

1

BrainFury

7 лет назад

Перенос портов на нестандартные и жесткий TARPIT на все остальные порты для небольшой фрустрации у сканирующего. И Fail2Ban в догонку.

1

Noran

7 лет назад

Тут что-то на эльфийском...

3

Arizanov

7 лет назад

Человек говорит про создание системы, в которой бы хакер попытался бы войти в его компьютер, но это была бы система в системе из которой нельзя выйти, понятненько?

3

Black13

7 лет назад

У этого есть простое название - Honeypot.

1

Arizanov

7 лет назад

Ша Винни-пух прилетит, а летающие с небеса медведи - это к злым пчелам!

1

Noran

7 лет назад

Да, пасиб)

1

ereztup

7 лет назад

Друже.. посмотри сколько машин постиг шифровальщик. О какой грамотности мы можем говорить? Люди не могут тыркнуть кнопку "обновить", а ты тут говоришь о настройки сервиса. Думаю среднестатистический гражданин не делает таких тонких настроек.

9

qwer24rus

7 лет назад

Думаю тут немного другой вариант:

1. Сканит он эти порты проверяя что они свободны, чтобы в дальнейшем использовать их при обращении на свой сервер.

2. Проверяет он их таким образом есть ли ответ по этим портам, если есть скорее всего биндит на какой нить другой.

3. Делается все это для того чтобы вы(элементарно прописав в хостс) или какая либо другая вредоносная программа не вклинилась между браузером и сервером, подменяя трафик или сканируя его.
Это моя теория, в принципе разрабатывая я столь желанный кусок для мошенников или просто доморощенных любознательных хакерменов, я бы сделал то же самое.

3

7 лет назад

1. Он не может обращаться на свой сервер через ваши порты. Он может обращаться только с того порта, с которого была открыта страница.

2. Проверяет он доступ к ключам, системам авторизации и прочим плюхам от сбербанка для усиленной защиты юриков.

3. 127.0.0.Х не вклинится между браузером и сервером. Это ссылка на ваш компьютер.

1

Setras

7 лет назад

Проверяет он доступ к ключам, системам авторизации и прочим плюхам от сбербанка для усиленной защиты юриков.

Именно поэтому он чекает не заняты ли на компе СТАНДАРТНЫЕ порты RPD, VNC, Radmin, AA?

7 лет назад

У него есть набор портов, которые он занимает. То, что он совпадает со списком других портов - это не важно. RAdmin и VNC, кстати, стандартом не является. Что такое RPD и AA я не знаю. Вот RDP, который вы наверное имели ввиду - включен не у всех.

Более того, HTTP не совместимый с ними протокол со всем этим ПО протокол (это же не telnet) и получит ту же самую ошибку.

qwer24rus

7 лет назад

я имелл ввиду:

например какой то запрос отправляется по адресу sberbank.ru:2222/some_request

а если у тебя в хостс забито sberbank.ru:2222 127.0.0.1:2222 запрос уйдет тебе на пк где к примеру он каким либо видом модифицируется или просто сканится и пускается дальше. То есть это равносильно 127.0.0.1:2222 поэтому он и проверяет, болтается ли там что либо.

Как то так я это представлял.

4

Schupalce

7 лет назад

Да да, особенно последняя вирусня шифровальщика - тоже ищет активность на портах, а потом запрещает операции *шифрует*...

11

7 лет назад

Я, может, переработал, но объясните мне, какая к лешему активность? Порт либо слушает, либо нет, для стороннего наблюдателя. ISP пренебречь, вряд ли они все сберу докладывают по каждому хосту.

З.Ы. @astrobeglec, ник по А. и Б.?