卡巴报网易，优酷等网站木马的问题终于解决了

styleag

http://bbs.kafan.cn/thread-2033899-1-1.html
感谢上次发贴时，卡饭网友们给我的帮助。

下面是卡巴报木马的JS文件链接：
[mw_shl_code=css,true]22.03.2016 22.32.56        下载被阻止        http://m16.lawerclub.com.cn/jdb/97526.js        对象名称：: HEUR:Trojan.Script.Iframer        对象: http://m16.lawerclub.com.cn/jdb/97526.js        应用程序: Internet Explorer        对象类型：: 木马程序        时间：: 2016/3/22, 22:32
20.03.2016 21.05.54        下载被阻止        http://s5.davidfang.cn/stat/s.js ... p;24307985=24307985        对象名称：: HEUR:Trojan.Script.Iframer        对象: http://s5.davidfang.cn/stat/s.js ... p;24307985=24307985        应用程序: Internet Explorer        对象类型：: 木马程序        时间：: 2016/3/20, 21:05[/mw_shl_code]

上次发贴后，发现更多的网站相继被报木马，包括优酷，中国网等。



这些网站报木马具有随机性，有时半天不报，有时一小时报几次。让人烦不胜烦。
要找到卡巴所报木马的源头就必需让问题复现，所幸访问优酷前只要将IE缓存清除，卡巴就会再次报木马。
经过多次观察，发现都是在flash加载完成并显示后，卡巴才会报。所以我在管理加载项中将FLASH禁止后，再次访问优酷网页，下面这条链接就是会报木马的优酷页面:
[mw_shl_code=css,true]http://v.youku.com/v_show/id_XMTUwODY3NTIzMg==.html?from=y1.3-idx-uhome-1519-20887.205805-205902.4-1[/mw_shl_code]

结果真的不报木马了，随后在加载项中重新启用FLASH。清缓存后再次打开上面的优酷页面，并抓包。找到4条FLASH链接，然后我通过host逐一屏蔽这4条链接的域名。你们猜是下面哪个域名引起的？

[mw_shl_code=css,true]
static.youku.com
irs01.net
static.atm.youku.com
m.kejet.net
[/mw_shl_code]

当我屏蔽到m.kejet.net这个域名时，卡巴便不报木马了。通过百度这个域名，发现是一家广告公司。


那么就有2种可能，一是该公司被挂马。一是误报。我比较倾向第二点，因为很多杀软都有过误报广告的先例，而且我试过7款杀软（360，金山，腾讯，ESET，小A，小红伞），只有卡巴报马。

我本来想去卡巴一族反映的，发现要手机验证才能发贴（我反对一切要手机验证的网站）。只有放弃论坛，改用邮件向卡巴反映了，以前一直以为发邮件没用，这次让我彻底改观了，我下午3点多发的邮件，到晚上7点多卡巴更新后，卡巴就不再对kejet旗下广告报木马了，效率大大的高啊。

卡巴斯基技术支持邮箱：china-support@kaspersky.com

话说科捷公司是不是应该要给我奖励啊，要不是我向卡巴反映，你们公司损失会有多大啊。。。

dongwenqi

呵呵，感谢你对卡巴斯基的支持，卡巴斯基对误报反应速度快，尽量控制误报