Redirectele HlServer contin botnet, virusi!!

Imediat dupa ce s-a inchis fakehlds pe internet, chiar si eu am postat pe site-ul acesta de resurse counter-strike un redirect cs 1.6 nou, revolutionar, dupa cum ziceau unii, hlserver.

Dar, pe cat de revolutionar, pe atat de problematic. Se pare ca acest redirect cs 1.6 conține viruși, keylogger, chiar si botnet controlat de, dupa cum zic rusii, 4 ip-uri. Aceste ip-uri s-au dovedit a fi ale celor care au realizat si exploit cs 1.6, adica Vkontakte, ratwayer, pumamd.

Pe forum lui, ratwayer, se lauda ca aproximativ 10000 de calculatoare romanesti au fost infectate cu virusul raspandit cu ajutorul Hlserver 1.17.

In caz ca ati descarcat redirectul hlserver de pe oricare dintre site-uri, va recomand sa nu folositi cardurile pentru a face cumparaturi online si sa scanati/ dezinfectati/ poate chiar sa formatati calculatorul.

Conform Xtens:

Analiza HLServer.exe - By Xtens - (04-03-2011)

A.P.I'uri suspecte folosite:

1. GetKeyboardState, GetKeyboardLayoutList, GetKeyboardLayout, GetKeyState, GetKeyNameTextA => Aceste A.P.I'uri sunt folosite pentru a inregistra orice tasta apasata. Se foloseste la keylogger! (In program nu as putea vedea necesitatea acestor functii pentru un redirect...)

2. GetWindowThreadProcessId, GetWindowTextA, GetWindowRect, GetWindowPlacement, GetWindowLongA, GetWindowDC, GetUpdateRect, GetTopWindow, GetSystemMetrics, GetSystemMenu => Aceste A.P.I'uri sunt folosite pentru a citi sau extrage elemente text & hwnd din anumite ferestre Ex:(Mozila,IE,Yahoo,Steam, etc). Iar nu vad necesitatea folosirii acestor A.P.I'uri la un redirect.

3. RegQueryValueExA, RegOpenKeyExA, RegFlushKey, RegCreateKeyExA, RegCloseKey, RegQueryValueExA, RegOpenKeyExA, RegCloseKey => Aceste A.P.I'uri sunt folosite pentru a citi si pentru a scrie variabile in Registrii (Aici sunt multe variante)
a. Sa isi creeze o clona oriunde pe disc si sa o adauge la startup in registrii
b. Sa citeasca elemente din registrii
c. Sa modifice parametrii in registrii

4. PostQuitMessage, PostMessageA, PeekMessageA, OpenClipboard, OffsetRect, OemToCharA, MsgWaitForMultipleObjects, MessageBoxA, MessageBeep => Alte A.P.I'uri folosite la postare de mesaje. (Cat si despre ce mesaje trimite si unde le posteaza si ce includ aceste mesaje nu putem decat sa blocam accessul restrictionand din Browser sau OutLook.)

5. Dezactiveaza Firewall.

CONCLUZIE Programul contine virusi ("Malware") Il descarcati si folositi pe riscul vostru eu atat am avut de zis! Daca nici aceasta analiza nu va satisface verificati singuri sau continuati sa folositi programul.

Si, dupa o scanare pe virscan.org, un scanner online de virusi, s-a ajuns la concluzia de aici.

De asemenea, exista pe youtube cateva filmulete cu ceea ce face hlserver 1.17.

Aruncă un ochi și pe canalul meu de Youtube. Link aici.

Asa ca orice admin/ owner care a folosit hlserver sau inca mai foloseste pentru redirect, recomand sa scaneze calculatorul si sa formateze cat mai repede.

Pe viitor, folositi ceea ce va ofera valve, nu se stie niciodata cine o sa puna un redirect, un botnet sau un keylogger!