东方卫视挂马总结贴

绅博周幸

RT , 东方卫士官网挂马：http://www.i110.com/index.html

进去后，貌似毒很多，实际只有三种网页木马，红伞报为：
--> news_1[1].htm
      [DETECTION] Contains detection pattern of the HTML script virus HTML/Infected.WebPage.Gen
  --> 002[1].htm
      [DETECTION] Contains detection pattern of the exploits EXP/RealPlay.C
  --> 001[1].htm
      [DETECTION] Contains suspicious code HEUR/Exploit.HTML
      [WARNING]   The file was ignored!

对应三种网页木马又追出3个下载的样本地址：

1.hxxp://aa.llsging.com/ww/new05.htm?075


2. hxxp://www.foafau.info/mS30.htm?823

3.hxxp://llboss.com/admin/xx.exe

上面3个打开后都是下载exe样本。


补充：以上是在补丁齐全的情况下的大致情况，估计还有漏的，大家帮忙吧

绅博周幸

我进去的时候貌似还有下载东西的，所以估计还有一个EXE文件

dikex

上个月月底就已经挂了，但不在主页，在下面的两个地址（现在还挂着）：
http://www.i110.com/dfvsv3/iframe/
http://www.i110.com/down_upda.html

pluto1313

http://llboss.com/admin/98.htm
        http://llboss.com/admin/001.htm
                ->http://llboss.com/admin/xx.exe
        http://llboss.com/admin/002.htm
                ->http://llboss.com/admin/xx.exe
http://www.foafau.info/Ms30.htM?823
        http://www.foafau.info/88/881.htm
                ->http://www.68yu.cn/68down.exe
        http://www.foafau.info/88/883.htm
                ->http://www.68yu.cn/68down.exe
http://aa.llsging.com/ww/new05.htm?075
        http://aa.llsging.com/aa/haha.htm
                http://aa.llsging.com/aa/ppp.js
                        ->http://down.llsging.com/bb/pps.exe
                http://aa.llsging.com/aa/bf.html
        http://aa.llsging.com/aa/gege.htm

最下面两个没解了，内存吃不消

jimmyleo

它是收集樣本吧 笑～

绅博周幸

原帖由 <i>pluto1313</i> 于 2007-12-10 12:49 发表 <a href="http://bbs.kafan.cn/redirect.php?goto=findpost&pid=2246877&ptid=169072" target="_blank"><img src="http://bbs.kafan.cn/images/common/back.gif" border="0" onclick="zoom(this)" onload="attachimg(this, 'load')" alt="" /></a><br />
http://llboss.com/admin/98.htm<br />
&nbsp; &nbsp;&nbsp; &nbsp;&nbsp;&nbsp;http://llboss.com/admin/001.htm<br />
&nbsp; &nbsp;&nbsp; &nbsp;&nbsp; &nbsp;&nbsp; &nbsp;&nbsp; &nbsp; -&gt;http://llboss.com/admin/xx.exe<br />
&nbsp; &nbsp;&nbsp; &nbsp;&nbsp;&nbsp;http://llboss.com/admin/002.htm<br />
&nbsp; &nbsp;&nbsp; &nbsp;&nbsp; &nbsp;&nbsp; &nbsp;&nbsp; &nbsp; -&gt;http://llboss.com/ ...

<br />

绅博周幸

Starting the file scan:

Begin scan in 'C:\Users\Xing\Desktop\Downloads\Downloads.rar'
C:\Users\Xing\Desktop\Downloads\Downloads.rar
  [0] Archive type: RAR
  --> 68down.exe
      [DETECTION] Is the Trojan horse TR/Dropper.Gen
  --> t.exe
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.45056
  --> xx.exe
      [DETECTION] Is the Trojan horse TR/Dropper.Gen
  --> pps.exe
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.45056
      [INFO]      The file was deleted!

gogo8989

IE7进去提示要运行加载项，然后卡死，

然后扫描盘，没发现病毒。

cidwu

我直接开三楼提供的链接，双A（avira+avast！）无反应。关了admuncher以后小红伞报毒。
admuncher装的是K大11.26更新的规则，估计加入了恶意网页过滤代码。
另外，前两天我上过东方卫士的官网，就没反应。今天才知道这事。

[ 本帖最后由 cidwu 于 2007-12-10 15:55 编辑 ]

qigang

瑞星病毒查杀结果报告（9/4）

清除病毒种类列表：

病毒： Trojan.Win32.Mnless.zyt  
病毒： Backdoor.Win32.Agent.yos

MAC 地址：00:11:5B:F3:6D:69

用户来源：互联网

软件版本：20.22.01