Архив форумов ЦИТФорума

[desenix]

#1 4204802.cn
#2 5623947.cn
#3 soskamini.biz
#4 sosiego.biz
#5 2983493.cn
#6 0423272.cn

казалось бы небольшой список хакерских порносайтов, те что с циферками, совсем недавно использовались для подмены страниц яндекса с целью кражи паролей.

но у всех у них в качестве NS используются
ns1.nitogrant.com
ns2.nitogrant.com
ns3.nitogrant.com
ns4.nitogrant.com
ns5.nitogrant.com
в разных комбинациях.

И вот тут начинается самое интересное
nitogrant.com - не имеет записи SOA
зато имеет 5 записей NS, странно, как такое допустил регистратор ?

Но это еще не все, все IP адреса этих NS записей, ссылаются на инфицированные троянами зомби-компьютеры, которые обрабатывают как DNS запросы, так и WEB, т.к. если запросить IP адреса сайтов, то часто их записи пересекаются с записями NS nitogrant.com.
Сами записи и IP сайтов, постоянно меняются, т.е. есть куча зараженных машин, на которые и переключаются домены.

Я на это указал регистратору, но ответа не получил, а хакеры продолжают загаживать сеть.
Выходит теперь можно безнаказанно гадить в сети и это норма ?

Как проверить, есть ли в вашей сети зараженная машина, а просто
nslookup имя_домена IP_проверяемой_машины
лучше проверять по всем доменам, список вверху.
Если машина заражена, то она ответит на запрос, если нет, то не ответит.
Чтоб не спутать с реальным DNS, то давайте еще запрос на любой другой домен, на другие домены, вы ответа от зараженной машины не получите.