求助http://www.vitraz-kotva.sk/modules/Search/life.html

显示全部楼层 · 发表于 2011-6-23 16:19:39

请问http://www.vitraz-kotva.sk/modules/Search/life.html

是恶意网址吗？可以用什么工具检测？
给我邮箱发了个无主题的邮件，里面就一个网址，恐怖的是收件人列表里有我注册过的两个毫不相干的网站信息，我点了这个网址就跳到google搜索了，更恐怖的是特么的google帐号自动登录了

。。。。我刚改了google密码

显示全部楼层 · 发表于 2011-6-23 16:51:11

本帖最后由帅就是帅于 2011-6-23 17:07 编辑

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<html>
<head>
<title>Please wait...</title>
<script language="JavaScript1.1" type="text/javascript">

</script>
<noscript>
<meta http-equiv="Refresh" content="0; URL=http://thebloggin.net/red6.php">
</noscript>
</head>
<body>
<a href="http://thebloggin.net/red6.php"><center>Please, click here to continue ...</center></a>
</body>
</html>

跳转到http://thebloggin.net/red6.php后

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en" lang="en">
<head>
<meta http-equiv="refresh"
content="0; url=http://95.64.47.158/index.php?XS8p=OMSNRWzVNKHEObQhuGAsHanR0fT0ERAQkAnhNTQR%2FMV0GP&D8=G2V5&UVO=W9fMCYxVWtaMis8KFYzbTtaUlEqXlV&Mp3u=D6C9W683DEFKA585XWjtNQWsjNERAN&8L7=93K114JP80Z06TZP243VWOG0&d549Y=gEBNW81VwAFY&x64P=GcuJgEjUDJWBQBmUQAOLG8KSmECZHwOcgFiDglHITYy&E1=64V507MW86P1T" />
</head>
<body></body>
</html>

这时候会打开一个仿冒硬盘页面，FAKEAV.

恶意

====

样本地址：http://bbs.kafan.cn/thread-1013169-1-1.html

显示全部楼层 · 发表于 2011-6-23 17:15:49

本帖最后由 wjcharles 于 2011-6-23 17:22 编辑

用IE9会触发ips，但还可以下载

诺顿下载智能分析：

完整路径: c:\users\wjch\appdata\local\microsoft\windows\temporary internet files\content.ie5\p39tvm8s\pack.exe
____________________________
____________________________
在电脑上的创建时间:
2011/6/23 ( 17:12:19 )
上次使用时间:
2011/6/23 ( 17:12:19 )
启动项:
否
已启动:
否
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
中
此文件具有中等程度风险。
____________________________
威胁详细信息
威胁类型: 智能网络威胁。很多迹象表明此文件不可信任，不安全
____________________________
来源
下载自 http://46.161.29.13/
http://46.161.29.13/ 文件下载自: pack.exe
(WS.Reputation.1) 46.161.29.13

pack.exe
____________________________
文件操作
文件: c:\users\wjch\appdata\local\microsoft\windows\temporary internet files\content.ie5\p39tvm8s\pack.exe
已删除
____________________________
文件指纹 - SHA:
5b58e318aa3fa08841106771b09fadb6b348be36c0660043b346a27b7dc64422
____________________________
文件指纹 - MD5:
55847b728aac61994d01d0db6926ad81
____________________________

用chrome的话页面会直接被IPS阻断

类别：入侵防护
日期和时间,风险,活动,状态,推荐的操作,IPS 警报名称,默认操作,采取的操作,攻击电脑,攻击者网址,目标地址,源地址,通信说明,类别
2011/6/23 17:14,高,阻止了 defender-klegc.gv.vg 的入侵企图,已阻止,不需要操作,Fake App Attack: Fake AV Website 18,不需要操作,不需要操作,"defender-klegc.gv.vg (78.41.203.16, 80)",defender-klegc.gv.vg/e19b21b55a730253/sa1/6,"WJCH-PC (210.32.11.107, 60268)",78.41.203.16 (78.41.203.16),"TCP, www-http",

显示全部楼层 · 发表于 2011-6-23 17:19:59

帅就是帅发表于 2011-6-23 16:51
跳转到http://thebloggin.net/red6.php后

这时候会打开一个仿冒硬盘页面，FAKEAV.

呃，请问您是用什么工具分析的？我还有两个疑问，一个是它的恶意行为是什么？钓鱼吗？
还有它是怎么获得我的邮箱和注册网站的信息的呢？谢谢

显示全部楼层 · 发表于 2011-6-23 17:20:15

wjcharles 发表于 2011-6-23 17:15
诺顿下载智能分析：

。。。怎么还能下载？不是个网址么

显示全部楼层 · 发表于 2011-6-23 17:25:38

zarric.leung 发表于 2011-6-23 17:20
。。。怎么还能下载？不是个网址么

用IE9会跳转到一个FakeAV的网页，点remove all就会下载

无标题13.png

显示全部楼层 · 发表于 2011-6-23 17:27:37

wjcharles 发表于 2011-6-23 17:25
用IE9会跳转到一个FakeAV的网页，点remove all就会下载

哦，知道了，谢谢～

显示全部楼层 · 发表于 2011-6-23 17:30:27

wjcharles 发表于 2011-6-23 17:15
用IE9会触发ips，但还可以下载

诺顿下载智能分析：

刚看到3L您补充的内容，chrome好强大，我用火狐怎么就跳转到google搜索了呢，请问这种网页入侵有什么扩展可以防吗？我的杀软没有装网页防护

显示全部楼层 · 发表于 2011-6-23 17:32:32

zarric.leung 发表于 2011-6-23 17:19
呃，请问您是用什么工具分析的？我还有两个疑问，一个是它的恶意行为是什么？钓鱼吗？
还有它是怎么获得 ...

呃，这个页面你用非ie打开的话会出问题跳转到谷歌首页，而你可能没有清除cookies而自动登录。
不是钓鱼，如上，FAKEAV

显示全部楼层 · 发表于 2011-6-23 17:35:24

帅就是帅发表于 2011-6-23 17:32
呃，这个页面你用非ie打开的话会出问题跳转到谷歌首页，而你可能没有清除cookies而自动登录。
不是钓鱼， ...

请问火狐有什么安全插件可以防这种恶意网址吗，还有网页病毒和入侵之类的，我的杀软没装网页防护，谢谢

[已鉴定] 求助http://www.vitraz-kotva.sk/modules/Search/life.html