скорей всего вирус не найдете, если ни чего не устанавливали после фишингового сайта. а вот как давно вы работали через них и сколь пародей он увел, вот вопрос!  и тему загодовка смените.

Сами же писали что роутер на 5 квартир. Вирус мог атаковать роутер с любого ихнего компа, а ваш всегда был чист. Проводить воспитательные беседы с соседями только и остается.

От меня идёт по одним и тем же хостам - что шифрованный, что нешифрованный.

Что за чушь. Закладка от АНБ не обосралась бы так с сертификатами и уж тем более с подставным плеером адоба.

Не ясно каким именно образом, но тем не менее производят взлом роутера (в моём случае это был TP-Link). Причем был установлен пароль из 8 символов (цифры и буквы)
Далее идёт подмена DNS сервера на 5.45.75.10. В фраудинг-DNS на многие сайты (youtube, btc-e.com, litecoinpool.ru, и т.д.)
внесены записи на фишинговую страницу, расположенную по адресу 5.45.69.162 http://myip.ms/info/whois/5.45.69.162.

Вот например записи этого сервера для

http://s2.ipicture.ru/uploads/20140210/SlcMroFl.png

На фишинговой странице по ссылке install скачивается файл зараженный Virus.Win32.Expiro.nr (по класификации Kaspersky). Довольно свежая модификация из семейства Virus.Win32.Expiro, занесён в базу в декабре 2013.
После установки вредоноса все ваши пароли от Firefox, IE, Filezilla, кошельков Litecoin, Bitcoin и т.д. улетают злоумышленникам.
Для автоматического запуска при каждой последующей загрузке Windows, вирус заражает исполняемые файлы, отвечающие за работу служб. Простое удаление в реестре Ad0be не полечит.

скриншот
http://s2.ipicture.ru/uploads/20140210/thumbs/l23iRGOG.png

Пока писал пост, фишинговую страницу уже переместили - теперь она не отвечает. Сам DNS работает.

аналогично. это меня и беспокоит. Я думал взлом был "изнутри", кто-то из домашних установил "троян", и уже после сменили DNS на роутере имея удаленный доступ к ПК.

НО!
я вчера просидел сутки без перерыва, сканирование 4-мя антивирусными программами (Kaspersky, Dr.Web, NOD32, Symantec) + 2-мя антируткитами (GMER, OSAM), и попытками сниффить трафик на наличие соединения с командным пунктом - трояна найти так и не удалось. Ни трояна ни вируса.

Как попали на роутер, который в принципе не имеет никаких смотрящих портов в WAN - загадка.

Разгребаю сейчас историю и кэш браузера. Возможно подсказка прийдет оттуда.

Причем я даже знаю приблизительный интервал заражения - ближайшие 3-4 недели, так где-то после рождества я заходил на роутер и там были прописаны ДНСы яндекса.

о, кстати, у меня такой уже несколько дней стоит, полностью подключен, но кнопку POWER я еще не нажимал...
(так и не смог решить - надо ли сперва открутить ему антенны на всякий случай перед включением?.. )

Доктор, я параноик, или очень предусмотрительный?




лучше на дату производства роутера посмотрите - она равна дате заражения


PS  ну что, дети, теперь вы понимаете, зачем нам проект по реверс инжинирингу?..
(кстати есть вероятность что даже окупиться - старые железки вполне могут майнить новые форки, 1 из 1000 выстрелит, но 1000 старых железок слегка дешевле 1000 ферм...)

дак и у меня не подменен...  Тем не менее даже шифрованное соединение и подтв по смс перехватываются...

Еще один из форексных серверов mt4 перехвачен(но что интересно - не все - даже на btc-e почему-то не все сервера перехватываются)



нет, я намекал на то что АНБ-шники там заранее оставили закладки, которые мог найти любой хакер, даже если вы не интересны АНБ...



ну майнеры это просто для частичной самоокупаемости проекта, может быть мелкий бизнес какой-нить получиться, это не главное.

Главное что это надо делать из-за безопасности - а прошивки роутеров и цисок (перехват траффика идет именно где-то на цисках провайдера! ) все равно потрошить придеться, причем именно дизассемблером, а не по исходникам, куда скорее всего закладки никогда и не заливали(либо убрали сразу как выпустили партию роутеров - мол старая версия - зачем лишний раз светиться)...

Vladimir
PS  история чата в google talk ни у кого не глючит?..

PPS  кстати, настроить сервак и поиграть с АНБ-шной точкой перехвата траффика никто не хочет?
Забавная игрушка я вам скажу, не такая тупая как СОРМ(очень узкие фильтры выхватывают только то что им надо), но блин нельзя же их отпускать без бэкапа всего порнолаба на серверах АНБ...  Скрипт такой кто-нить может написать по-быстрому?  Надо короче эмулировать передачу TCP по портам и IP которые они перехватывают, это вроде не сложно, но блин не могу придумать как бы это сразу с торрентов лить туда напрямую, не засирая свой диск, а то места жалко, на убогих...
(они ваще обарзели - мало того что пасуться в российских сетях как у себя дома, дак еще и русских за лохов держат! А вот за это уже надо наказывать...)

это вы потом не забудьте повторить еще раз, когда ваши кошельки почистят...


PS  исходники ГСЧ который у вас в кошельке используется хорошо посмотрели?..
(проект по реверс-инж. все еще не нужен вам?    Но нычего, нычего...   "лох платит всегда"  )