玫瑰坊[挂马][by sniss]

显示全部楼层 · 发表于 2012-4-5 14:41:39

本帖最后由 always 于 2012-4-5 21:06 编辑

http://www.metrotown.cn/（玫瑰坊）
20120405 062754 已阻断用户 xxxxx-PC\xxxxx 访问路径 "jhi.ns02.us/g/7.htm"。
20120405 062754 在 "jhi.ns02.us/g/7.htm" 中检测到病毒/间谍软件 'Mal/Badsrc-D' 。

显示全部楼层 · 发表于 2012-4-5 16:18:47

⇢http://f%61h.U%67ly%41s.c%6Fm/b.js?google=3x022
⇢http://f%61u.U%67ly%41s.c%6Fm/b.js?google=3x062
⇢http://f%65f.U%67ly%41s.c%6Fm/b.js?google=4x052
跟http://bbs.kafan.cn/thread-1261530-1-1.html都是同一支

显示全部楼层 · 发表于 2012-4-5 16:21:06

jack827 发表于 2012-4-5 16:18
⇢http://f%61h.U%67ly%41s.c%6Fm/b.js?google=3x022
⇢http://f%61u.U%67ly%41s.c%6Fm/b.js ...

对，四个都是一样的

显示全部楼层 · 发表于 2012-4-5 16:30:03

js毒我來說只是麻芝蒜事,不具威脅

显示全部楼层 · 发表于 2012-4-5 16:34:17

挂马，相关结果已由jack827给出，不再重复。

显示全部楼层 · 发表于 2012-4-5 17:29:04

360报了

显示全部楼层 · 发表于 2012-4-5 17:39:04

关于:hxxp://www.metrotown.cn/解密的日志(全体输出 -  9):

Level  0>hxxp://www.metrotown.cn/
  Level  1>hxxp://f%65f.U%67ly%41s.c%6Fm/b.js?google=4x052
Level  2>hxxp://jhl.ns02.us/g/hlay.htm
   Level  3>hxxp://jhl.ns02.us/g/7.htm
   Level  3>hxxp://jhl.ns02.us/g/medi.htm
      Level  4>hxxp://jhl.ns02.us/o/xz.exe
   Level  3>hxxp://jhl.ns02.us/g/6.htm
  Level  1>hxxp://f%61u.U%67ly%41s.c%6Fm/b.js?google=3x062
  Level  1>hxxp://f%61h.U%67ly%41s.c%6Fm/b.js?google=3x022

Analyzed by 叉就是叉

显示全部楼层 · 发表于 2012-4-6 13:41:09

avast

显示全部楼层 · 发表于 2012-4-7 22:07:53

本帖最后由释然的心于 2012-4-7 22:09 编辑

[2012-04-07 22:04:56] 反挂马之前该页面含有缓冲区攻击代码会劫持iexplore.exe访问恶意网址hxxp://jil.ns02.us/a/6.htm 已拦截

毒霸拦截

[已鉴定] 玫瑰坊[挂马][by sniss]