03-29/小心QQ信息中的网址传播Trojan-PSW.Win32.Delf.qc/Trojan.PSW.Liumazi.kr(2版)

素颜马尾好姑娘i 2024-02-17 13:54 21阅读 0赞

**endurer** 原创

2007-03-29 第**2**版 补充瑞星的回复  
2007-03-28 第**1**版

QQ收到如下信息：  
/---  
看\*\*被插，看少女激情，没有你看不到的，只有你想不到的，地址hxxp://www.luoliao\*3\*\*\*.info狼友们快来！ n(Z  
\---/

**hxxp://www.luoliao\*3\*\*\*.info**的主页包含代码：  
/---  
＜iframe src＝"hxxp://bbs.co\*\*ocb\*\*\*b\*s.com/pic\*\*\*.htm?18\*\*\*88-1" width＝"0" height＝"0" frameborder＝"0"＞＜/iframe＞  
\---/

**hxxp://bbs.co\*\*ocb\*\*\*b\*s.com/pic\*\*\*.htm?18\*\*\*88-1**包含代码：  
/---  
＜script src＝css.js＞＜/script＞  
\---/

**css.js**的内容为JavaScript脚本，主要功能是运行多重嵌套的自定义函数 gn(n)，利用 Microsoft.XMLHTTP 和 scripting.FileSystemObject 下载文件 cha.exe，保存为 %windir%，文件名由下面的代码：  
/---  
var number＝Math.random()\*n;return Math.round(number)+'.exe'  
\---/  
随机生成，并利用Shell.Application 对象 Q 的 ShellExecute 方法执行命令：%windir%/system32/cmd.exe /c %windir%/\*\*\*\*\*.exe 来运行。

文件说明符 : **D:/test/cha.exe**  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-3-27 23:44:53  
修改时间 : 2007-3-27 23:44:54  
访问时间 : 2007-3-27 0:0:0  
大小 : 22445 字节 21.941 KB  
MD5 : 689f4a7e2aba9ebedea00d3a9eacef6a

Kaspersky 报为 **Trojan-PSW.Win32.Delf.qc**。

<table style="MARGIN-BOTTOM: 2px"> 
 <tbody> 
  <tr> 
   <td align="center">主　题：</td> 
   <td style="WORD-BREAK: break-all" colspan="3">病毒上报邮件分析结果－流水单号:6229241</td> 
  </tr> 
  <tr> 
   <td align="center">&nbsp;&nbsp;发件人：</td> 
   <td>"" &lt;send@rising.net.cn&gt;</td> 
  </tr> 
 </tbody> 
</table>

尊敬的客户，您好！  
您的邮件已经收到，感谢您对瑞星的支持。  
  
我们已经详细分析过您的问题和文件，以下是您上传的文件的分析结果：  
1.文件名：cha.exe  
病毒名： **Trojan.PSW.Liumazi.kr**  
  
我们将在较新的19.16.32版本(瑞星2006的18.72.32版本)中处理解决，请您届时将您的瑞星软件升级到19.16.32(瑞星2006的18.72.32版本)版本并且打开监控中心全盘杀毒。如果我们在测试过程中发现问题的话，我们会推迟一到两版本后升级。