Cnbeta挂马

will

据推测cnbeta网通线路被挂马，因为目前接到报告挂马的用户都是网通线路
网通用户访问cnbeta.com请开启防御装备




详细的挂马分析如下：
Log is generated by FreShow.
[wide]http://www.wofafa.info/hao4.htm
    [frame]http://www.wofafa.info/web/index.htm
        [frame]http://www.wofafa.info/web/real.htm
            [object]http://www.wofafa.info/xzz/real.exe
        [frame]http://www.nbsite.info/web/flash.htm
        [frame]http://www.wofafa.info/web/614.htm
            [object]http://www.wofafa.info/xzz/614.exe
        [frame]http://www.wofafa.info/web/lz1.htm
            [object]http://www.wofafa.info/xzz/lz.exe
        [frame]http://www.wofafa.info/web/lz.htm
        [frame]http://www.wofafa.info/web/0.htm

其中real.exe、614.exe、lz.exe这三个文件MD5值相同

real.exe 读取 http://www.nifala02.info/a.txt

下载：

h**p://www.wofafa.info/ww/china1.exe
h**p://www.wofafa.info/ww/china2.exe
h**p://www.wofafa.info/ww/china3.exe
h**p://www.wofafa.info/ww/china4.exe
h**p://www.wofafa.info/ww/china5.exe
h**p://www.wofafa.info/ww/china6.exe
h**p://www.wofafa.info/ww/china7.exe
h**p://www.wofafa.info/ww/china8.exe
h**p://www.wofafa.info/ww/china9.exe
h**p://www.wofafa.info/ww/china10.exe
h**p://www.wofafa.info/ww/china11.exe
h**p://www.wofafa.info/ww/china12.exe
h**p://www.wofafa.info/ww/china13.exe
h**p://www.wofafa.info/ww/china14.exe
h**p://www.wofafa.info/ww/china15.exe
h**p://www.wofafa.info/ww/china16.exe
h**p://www.wofafa.info/ww/china17.exe
h**p://www.wofafa.info/ww/china18.exe
h**p://www.wofafa.info/ww/china19.exe
h**p://www.wofafa.info/ww/china20.exe
h**p://www.wofafa.info/ww/china21.exe
h**p://www.wofafa.info/ww/china22.exe
h**p://www.wofafa.info/ww/china23.exe
h**p://www.wofafa.info/ww/china24.exe
h**p://www.wofafa.info/ww/china25.exe
h**p://www.wofafa.info/ww/china26.exe
h**p://www.wofafa.info/ww/china27.exe
h**p://www.wofafa.info/ww/china28.exe
h**p://www.wofafa.info/ww/china29.exe
h**p://www.wofafa.info/ww/china30.exe
h**p://www.wofafa.info/ww/china31.exe
h**p://www.wofafa.info/ww/china32.exe
h**p://www.wofafa.info/ww/china33.exe
h**p://www.wofafa.info/ww/china34.exe
h**p://www.wofafa.info/ww/arp.exe

其中5、12、24、25、28、29地址失效

去除重复后所有样本打包上传，共30个：

aerbeisi

NOD32 29个。

vitamin_21

我这电信的线路也挂了马，跟你截图一样的

klnh

YY速度啊

KV一个不剩全杀了

[ 本帖最后由 klnh 于 2008-6-8 22:33 编辑 ]

BING126

McAfee监控有反应。。。

will

海南电信。。  嘎嘎   
出特例了  呵呵  

[ 本帖最后由 yimike 于 2008-6-8 22:37 编辑 ]

残缺的唯美

抓上来

qigang

瑞星病毒查杀结果报告

清除病毒种类列表：

病毒： Trojan.PSW.Win32.GameOL.nxy
病毒： Win32.ExplorerDL.a      

MAC 地址：00:11:5B:F3:6D:69

用户来源：互联网

软件版本：20.47.60

458506

我这边没反应主。。。。。。啊啊。。。刚刚还在上。。

tanlimo

我电信的，的确没有发现问题