Foro de elhacker.net

El ataque en imágenes (Gráficos del tráfico)

(http://img296.imageshack.us/img296/1664/ataquemayo07ke8.png)

Duración del ataque: Viernes 4 , sábado 5 y domingo 6 Mayo 2007.

Método del ataque

Petición GET /index.php con 2.000 zombies cada 20 minutos aproximadamente.

Simplemente un "GET", es una llamada del navegador al index del foro. Es decir, muchos zombies visitando la página principal del foro.

Impacto

¿Qué ocurre?

Tantas peticiones seguidas y de diferentes ip's al index del foro hacen que el MySQL del foro se colapse y el foro no funcione.

Solución

Primero se deshabilitó que los Visitantes (usuarios no registrados) pudieran navegar por el foro. Por eso salían 2.000-3.000 usuarios visitantes on-line en el foro.

Este método es efectivo, pero sigue consumiendo muchos recursos (hace consultas al MySQL para contar los invitados).

El acceso al foro para invitados está siempre activado (sólo se activa automáticamente en caso de ataque).

Buscando otra solución....

¿Cómo distinguir si la persona que entra al foro es usuario normal o es un zombie?

Busquemos un patrón:

- HTTP_Referer --> Nulo, entran directamente. Y un visitante normal también es posible que entre directamente (desde favoritos, etc).

- Sistema Operativo --> la mayoría de los bots usan Windows XP, pero no podemos decirle al foro que no deje entrar usuarios con Windows XP jeje

- Navegador --> los zombies usan Internet Explorer con diferentes versiones, pero de nuevo no podemos denegar el acceso a TODOS los que usen el IE.

¿Cómo lo hacemos?

javascript "alert" (ventanita que requiere confirmación por parte del usuario) que se carga al principio del foro y "verifica" si la petición es "humana" o no. Si es un bot (no humana) no sabe hacer click en aceptar y se queda a la espera (no se carga el index del foro y por lo tanto no consume recursos).

(http://img243.imageshack.us/img243/1694/confirmjsgl4.png)

Si aceptas se guarda una cookie que verifica "tu humanidad". Si no eres bot, puedes ver el foro.

Esta ventana solo aparece una vez, la primera vez que entras al foro (a no ser que borres las cookies), aunque ayer saliera repetidamente, ya que se estaban realizando pruebas.

¿Porqué hay tantos infectados?

El método de infección es vía Messenger.

Si alguien cree que está infectado o tiene muestras del posible virus que envie la muestra a staff@elhacker.net para su posterior análisis. Gracias.

Estado actual

Solucionado con JS.

¿Hasta cuándo?

Hasta que el atacante se canse.

¿Quién ha sido?

No se sabe, ¿hay miedo a decirlo por posibles represalias? xD

e descubierto que en mi ordenador habia un zombie que controlaba  un programa llamado doshttp(o eso creo) y este programa estaba orientado a este foro...
tenia la firma de un tal moskito o algo asi
ya le he borrado.....

Excelente vuestro trabajo ya que seguro que es una de las web mas atacadas y siempre esta on-line.


Un saludo.

AVISO

Bueno, aprovecho para avisar a los demas usuarios del foro que si encontrais en vuestro PC algun programa parecido a "DoS-HTTP" "HackTool" o similares que nos envíen una copia del archivo a cualquier Moderador/Colaborador/Administrador del foro.

Teniendo en nuestras manos el propio programa que realiza los ataques será más facil detenerlo.

Gracias a todos!! :)

Y que haran cuando tengan esos programas???  :P


 :xD

Saber como atacan, desde donde se controlan, enviarselos a los antivirus, cosas de esas.

 :xD

he encontrado un archivo relacionado con el zombie que encontre
aquien se lo envio para que lo examine?

enviamelo a mi tmb ;)

Si tenemos el programa podemos saber qué hacen exactamente.

Mándalo a cualquiera del staff, como te dijo ||MadAntrax||

Un saludo de ghastlyX ;)

Jeje crei que rea una broma de el-brujo esa ventanita de: "Eres humano?? aceptar" xDxD no se me ocurrio nunca lo de los bots  :-\.

Felicitaciones brujo veo que has agarrado experiencia en esto xD :xD


Que tipo de represalias?? xDxDxD aun sigo esperando las correspondientes a cierto trio  :P

Si no mal recuerdo el bot del que hablan "HackTool" se descarga de una de las webs inombrables xD y quien lo controla debe estar ahi... recuerdo que hace unos meses ahi lo encontre mientras buscaba uno, si lo encuentro de nuevo lo mando a alguien del staff.

Por cierto alguien que leyo el post me dijo que si el av lo detecta, no lo detecta, yo lo intente con varios y se lo pasa de largo.

Salu2

Hydë

Le he enviado a ||MadAntrax|| la URL de una web desde la que se puede descargar el troyano HackTool entre otros muchos.

A ver si esto ayuda.

Saludos.

Sé que me repito mucho,pero es que la fórmula siempre es la misma en uno o en otro ataque:

aburrimiento + imbéciles = ataques

Cómo curiosidad y por divertimento propio se acaba de quitar el javascript que "protege" el foro de los zombies para saber cuál es el número aproximado de máquinas inefectadas.

Y el foro aguanta sin problemas más de 1.000 zombies invitados (Ver Usuarios en Línea).

Ya saben, si necesitan un SEO, mejor que les hagan un DDoS para ganar visitas  :xD

911 visitantes!  :o :xD enfin,gracias por las visitas jajaja

Encontre de donde viene el Dshttp ese... me puse a leer sobre el programa y encontre que esta crackead en algunas paginas de hacking.. tipo portalhacker... no se si tendran problemas con webs asi...

MMM tambien tenia socketsoft instalado...

Uy que alegre xD esas visitas te cuenta como unicas? xD  asi conseguis mejores afiliados..

PD: xq no dejas la ventanita esa siempre Alejandro? eso a mi no me molesta para nada xD:...

NosVmos!

11/05/07 : Usuarios en Línea       428 Visitantes, 37 Usuarios

Esta bien o tenemos DDoS?.

yo creo que esa es la normal...

hoy 13/05/07
927 Visitantes, 36 Usuarios

y si, estan bajo ataque.. el foro corre bien..

Si pillais vivo al gusano que jode al foro pasadnoslo ;)
http://www.pandasoftware.com/spain/virus_info/enciclopedia/verficha.aspx?idvirus=160139&sind=0

Aquí tenemos nuevas variantes del virus que el atacante hace servir para flodear al foro --->

Nuevo gusano de MSN con textos en español sobre Bush
http://www.vsantivirus.com/05-05-07.htm

VB.NKS. Se propaga por Messenger como película de Bush
http://www.vsantivirus.com/vb-nks.htm

A yo no tengo ese.... siempre me llega mira esta p**a animacion de bush hehe...

Es increible.... de 500 contactos amigos de mi pais que estoy seguro que ningun a vistado elhacker.net nunca que no sabe ni que existe... 200 estan infectados con est4e virus...

Como es possible?

 :¬¬ :¬¬ El virus no es de elhacker.net ni se propaga con su visita ni nada, no hace falta conocer o haber visitado esta pagina para estar infectado... :¬¬ :¬¬

200 amigos infectados nobalogic? no seras tu el que ataca?  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬ :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬ :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬  :¬¬

nahh es broma xD jejeje

 Sirdarckcat has de estar aburrido :¬¬ , y
Él se referia a lo peculiar que és, que no tengan ni idea que estan siendo herramientas para atakar una web que en sus vidas han visto

sehh estoy aburrido y tengo muchas cosas que hacer.. xD
hoy se empezo a implementar una modificacion al JS que debería.. y repito debería mejorar la navegacion en el foro.. ya no se consumen tantos recursos..
solo que si no tienen la cookie y entran directamente a un topic los mandará al index.. eso tambien se puede arreglar, pero talves despues.. ahora hay que ver que tal responde el server.

Saludos!!

hi


orale varios de mis contactos me mandan esa pendejada cheka esta animacion del busch esta chida hahah


cya

bajen el ejecutable y mandenoslo a cualquiera del staff porfavor..
si lo tienen manden un MP a cualquiera.

Saludos!!

a google no le puedes meter cookie.. xD como va a entrar al foro.

xD lo ideal es buscar al culpable y darle por el culo!! con una denuncia

hablamos con Google y les dijimos que en todas las webs que visite pongan nuestra cookie :D

Saludos!!

PD. no, no es verdad.. si, si, es broma, y si, google si podra entrar

Encontrado gusano atacante y posible solución. He enviado un MP a el-brujo para que lo revise.

Un saludo.

Gracias Amab :)

Wohooo eso siginfica que ya no necesitan el video de Bush? xD me estaba matando esperando a que alguien infectado me hablara... buscando a los infectados todo el tiempo en mi msn xD  ;D

hi

si no me ekivoko cuando alguien esta infectado solito t manda el video del bush jeje no es necesario buscarlo  :xD
yo tambien mande la liga pero al parecer ya era un 404
cya

el ataque ya ha sido solucionado (neutralizado), pero hay muchas variantes del bush.exe y las necesitamos todas  :xD

Si alguien tiene una copia del virus bush.exe o sabe la URL de descarga, por favor enviad un e-mail a staff@elhacker.net

Gracias.

Más info aquí -->
http://foro.elhacker.net/index.php/topic,164966.0.html

Pues a mi una amiga me enviava eso de bush.exe pero pensé k sería un virus cualkiera...ahora ya no le pasa...k pena...llego a saber y lo bajo...ahhh...voy mirar en el historial de conversaciones :xD :xD

Después si lo encuentro os lo mando y yo tambien lo analizaré en una maquina virtual...

Saludos ;) ;)

Pues el otro dia sin hablar con nadie una amiga me envio esta divertida animación de bush :xD :xD :xD

(http://www.fileden.com/files/2006/9/18/225525/conversacion2.JPG)

Oculto las direcciones originales para que ningun graciosillo ande a crear mas variantes por aí...

Os voy enviar ahora el archivo a staff@elhacker.net

EDIT: El link ya no está disponible... :-( :-(

Era esté:

http://videosgratis.gratishost.com/bush.exe (http://videosgratis.gratishost.com/bush.exe)

Por cierto...si buscais bush.exe en Google seguro k aparece algo...voy a mirar...

Saludos ;) ;)

Uno de mis contactos esta infectado con eso... se le puede llamar gusano o gilipollez? XD xk el k lo izo se podria aver estirao un poco mas

El link esta roto aora le mandare un PM a Sirdarckcat

gracias a nhaalclkiemr y Meg por intentarnos facilitar muestras del virus.

Nos gusta saber donde hospedó los archivos, aunque ya los hayan borrado.

Por suerte, una empresa de antivirus (nod32)  ya nos ha facilitado muy amablemente muestras de 4 variantes de este virus para poderlo analizar.

Bueno aqui va un pequeño analizis de unas de las versiones...

Busque en Google sobre bush.exe y unos de los resultados es del foro de Indetectables:
http://www.indetectables.net/foro/viewtopic.php?t=1268

La version que analice la pueden descargar desde aqui:
http://www.freewebtown.com/kimstres/Bush-gracioso-v3.exe.rar
obtenida del Foro de Indetectables.

El "virus" esta hecho en Visual Basic y comprimido con UPX ,aqui les dejo imagenes de la extructura del virus...

(http://img59.imageshack.us/img59/8478/55533632bk8.jpg)

(http://img73.imageshack.us/img73/9765/59071600nu7.jpg)

Que bonito diseño xDD... por favor...
 
Si necesitan mas informacion sobre este "virus" y sus versiones
diganme y les ayudare a analizarlo.

Salu2!  ;)

dentro de muy poco publicaremos un completo análisis para que todo el mundo pueda ver como actua el virus.

Tenemos cosas graciosas como el directorio del creador del virus:


Que intenta matar antivirus, accede a urls para ver que webs tiene que atacar, etc, etc, etc.

Ese es el que ataco en enero-febrero. Se ha tirado 3 meses para hacer uno mejor, veamos que tan mejor es :P...

Con solo ver el diseño ya se ve el buen programador que es... :xD :xD

Y si le dio Boluda "Hueva" "no tener ganas" de diseñar? en fin no es un programa para buenas obras.... xD solo quiso hacerlo para joder a esta web... xD

Pero no necesariamente hay que ser un buen diseñar para ser mejor programador... el diseño no tiene nada que ver con el codigo xD

Dile eso a mis profes  :P

Si no sabes disegnar un programa bien para que sea comprensible y facil de usar pues el codigo no llega a importar porque nadie lo puede usar. Pero en este caso no se aplica supongo... Aunque esta bastante feo usar tantos botones que nunca se usan.

Pues ese programa no lo estan vendiendo ni tiene proposito inteligente... xD por eso no cuenta...

Pero pues... Si tiene que ser entendible.. Pero sigo opinando que la imagen no tiene nada que ver con el codigo :P

Por el simple hecho de usar tantos timers de muestra lo patético que es programando. Mi madre lo haría mejor.

A eso me referia....e incluso debe llamar a los eventos del boton porque no sabe llamar y/o crear funciones....ya que, para que usar botones si el formulario es invisible???? xDDDD a eso me referia....

Y como dijo Mad, incluso mi abuela lo haria mejor...xDDD  :xD :xD

Un Saludo.

mnuo lammer hijo defruta......las represalias deberian ser mas sonadas q esta noticia jajaja


SAlud!!

Disculpen por revivir el tema pero creo que aqui esta la persona que andan buscando  :xD

http://foro.portalhacker.net/index.php/topic,41896.0.html

Saludos  :rolleyes:

 :P ya ahora no tiene caso pero aqui ta otra variante  :)

(http://i14.tinypic.com/62ggdno.jpg)

Encima le halagan....... :¬¬

Vaya, si que programó bien eh..


Sin comentarios

una sola palabra... LAMMER ni siquiera era suyo el programa original :¬¬

cabe añadir que trabaja desde windows.. le quedara grande linux?

Hay que ver hasta donde llega la incompetencia humana...

¿Alguien sabe los motivos por los cuales "programó" ese "gusano"? ¿Hay conflictos con portalhacker?

Claro solo es un pequeño LAMMER que tiene el ego por las nubes, simplemente dejenlo que se cresca ante pequeñas estupideces.

Al parecer el chico no sabe programar ni siquiera , simplemente usa de esos programas que das 2 o 3 clicks, rellenas unas casillas y te genera el gran "virus".

No es raro ver a lammers como este.

Saludos a Todos

Yo creo que simplemente quería demostrar su """"""""""""""""""""""""""""""""""""""""""""""""""""""""""""""""poder"""""""""""""""""""""""""""""""""""""""""""""""""""""""""""""" atacando a un foro bastante importante y grande

Hasta que alguien le denuncie y se le quite la tontería...

lo k no termina de cuadrarme, es el avatar del notas este... Un niño con un kalashnikov no es precisamente algo que se deba admirar...

...
nose si alguien que pudo hacer lo que muchos han querido sea lammer, nose porque lo tildan de lammer, sabiendo que mas de uno ha querido tumbar el foro y no lo ha podido y mucho menos por tanto tiempo como fue dicho ataque.. si bien el metodo que uso no era tan complicado.. cabria decir que el supo como hacer funcionar un programa previsto para otras cosas dandole otro fin.. en fin, no considero que deban tildarlo de lammer porque hace pequeñas estupideces.. porque si tumbar este fuero hubiese sido una pequeña estupidez.. este foro no fuera lo importante y resonado que es..

hay que ver que el metodo no es lo unico, sino tambien medir con lo que se metio, en este caso el foro. halagado por muchos pero odiados por otros..

Estoy de acuerdo con Noxz.

Es un payaso hijodeput.. que no tenia nada mejor que hacer que dar por culo.  Pero consiguio fastidiar el foro, aunque fuera por poco tiempo. Y si fuese tan facil de hacer, cualquier lammer podria tumbar el foro, y en este caso todos sabemos que no es así.

No confundir Lammer con gilipoyas. En este caso creo que no se le debe decir lammer, pero sí gilipoyas de mier*da.



Saludos

Lo peor de todo es que miente, el gusano es de netzeek.

Es bastante patético, atribuirse un gusano, que no es algo que tenga merito, que ni siquiera es suyo.

Si estoy deacuerdo con thor, es realmente penoso mentir y presumir de k as exo una lamerada que no es tuya xDDD

Estoy totalmente en desacuerdo contigo, porque no se si sabrás pero el código fuente original no era suyo, y tampoco se si has visto el formulario del proyecto en VB, un autentico desastre.

En estos tiempos, el que está introducido en la informática, que menos sabe algún lenguaje de programación orientado a aplicaciones, y no estamos hablando de lenguajes a bajo nivel, sino de Visual Basic 6.0, un lenguaje de muy alto nivel, y con una documentación muy abundante en Internet, es extremadamente fácil programar lo que se te antoje, y más aún si coges un código ya terminado y lo modificas.

Conclusión, se puede saber programar en Visual Basic, comportarte como un lamer y ser tonto...

Efectivamente y atacar un foro sin sentido.

El unico sentido era hacer daño, esta claro. Y lo consiguió aunque por muy poco tiempo.

En este foro hay mucha sabiduria, tiene muchisimos usuarios, es muy grande y tiene la suficiente fuerza y soporte como para que NO lo puedan tirar asi como asi y menos durante mucho tiempo.



Saludos veranegos a todos!  ::)

ahora, no es mas facil conseguir el bush.exe y analizarlo para saber si se conecta ademas de el foro a otro lado ?
asi se puede obtener informacion del creador ...
sabe la que se le arma si se mete con elhacker, toda una comunidad se le viene encima xD
Au Revoir !

no leiste todo el post :D eso se hizo hace mucho :P

salu2