www.simasc.jx.cn/

显示全部楼层 · 发表于 2008-11-29 17:33:49

关于:hxxp://www.simasc.jx.cn/解密的日志(自动模式 - 37):

AUTO>http://www.simasc.jx.cn/
AUTO>http://www.simasc.jx.cn/_blank.gif
AUTO>http://www.simasc.jx.cn/imagesblank/big1.jpg
AUTO>http://www.simasc.jx.cn/imagesblank/top1.gif
AUTO>http://www.simasc.jx.cn/imagesblank/top2.gif
AUTO>http://www.simasc.jx.cn/imagesblank/back1.gif
AUTO>http://www.simasc.jx.cn/imagesblank/back2.gif
AUTO>http://www.simasc.jx.cn/imagesblank/6.jpg
AUTO>http://www.simasc.jx.cn/imagesblank/5.jpg
AUTO>http://www.simasc.jx.cn/imagesblank/s.gif
AUTO>http://www.simasc.jx.cn/imagesblank/yq1.jpg
AUTO>http://www.simasc.jx.cn/imagesblank/yq2.jpg
AUTO>http://www.simasc.jx.cn/imagesblank/yq5.jpg
AUTO>http://www.simasc.jx.cn/imagesblank/yq3.jpg
AUTO>http://www.simasc.jx.cn/imagesblank/yq4.jpg
AUTO>http://www.simasc.jx.cn/imagesblank/yq6.jpg
AUTO>http://www.simasc.jx.cn/imagesblank/headerevents.gif
AUTO>http://www.simasc.jx.cn/imagesblank/clja.gif
AUTO>http://www.simasc.jx.cn/imagesblank/headerforum.gif
AUTO>http://www.simasc.jx.cn/imagesblank/10.png
AUTO>http://www.simasc.jx.cn/imagesblank/11.png
AUTO>http://www.simasc.jx.cn/imagesblank/12.gif
AUTO>http://www.simasc.jx.cn/imagesblank/13.gif
AUTO>http://www.simasc.jx.cn/imagesblank/15.png
AUTO>http://www.simasc.jx.cn/imagesblank/14.png
AUTO>http://www.simasc.jx.cn/imagesblank/16.jpg
AUTO>http://www.simasc.jx.cn/imagesblank/back3.gif
AUTO>http://www.simasc.jx.cn/imagesblank/back4.gif
AUTO>http://www.simasc.jx.cn/imagesblank/image3a.jpg
AUTO>http://www.simasc.jx.cn/imagesblank/image3b.jpg
AUTO>http://www.simasc.jx.cn/imagesblank/back5.gif
AUTO>http://www.simasc.jx.cn/imagesblank/image3c.jpg
AUTO>http://88ttorg.one.2008isp.com.cn/1.htm
AUTO>http://88ttorg.one.2008isp.com.cn/2.htm
AUTO>http://88ttorg.one.2008isp.com.cn/3.htm
AUTO>http://88ttorg.one.2008isp.com.cn/4.htm
AUTO>http://www.jxgj.com ●

下载样本：http://88ttorg.one.2008isp.com.cn/1.exe

显示全部楼层 · 发表于 2008-11-29 17:44:22

显示全部楼层 · 发表于 2008-11-29 17:47:25

文件 1.rar 接收于 2008.11.29 10:48:05 (CET)
当前状态: 完成
结果: 27/37 (72.98%)

打印结果反病毒引擎版本最后更新扫描结果
AhnLab-V3 2008.11.28.2 2008.11.28 -
AntiVir 7.9.0.36 2008.11.28 DR/Magania.D
Authentium 5.1.0.4 2008.11.28 W32/Downloader.C.gen!Eldorado
Avast 4.8.1281.0 2008.11.28 Win32:Hupigon-FB
AVG 8.0.0.199 2008.11.29 BackDoor.Hupigon
BitDefender 7.2 2008.11.29 Trojan.Inject.GO
CAT-QuickHeal 10.00 2008.11.29 -
ClamAV 0.94.1 2008.11.29 Trojan.Delf-911
DrWeb 4.44.0.09170 2008.11.29 BackDoor.Huai.4744
eSafe 7.0.17.0 2008.11.27 -
eTrust-Vet 31.6.6234 2008.11.28 -
Ewido 4.0 2008.11.28 -
F-Prot 4.4.4.56 2008.11.28 W32/Downloader.C.gen!Eldorado
F-Secure 8.0.14332.0 2008.11.29 Backdoor.Win32.Hupigon.epky
Fortinet 3.117.0.0 2008.11.29 W32/DelpDldr.B!tr
GData 19 2008.11.29 Trojan.Inject.GO
Ikarus T3.1.1.45.0 2008.11.29 Virus.Win32.Hupigon.AMD
K7AntiVirus 7.10.537 2008.11.28 not-a-virus:NetTool.Win32.Agent.b
Kaspersky 7.0.0.125 2008.11.29 Backdoor.Win32.Hupigon.epky
McAfee 5448 2008.11.28 Generic Dropper.bn
McAfee+Artemis 5448 2008.11.28 Generic Dropper.bn
Microsoft 1.4104 2008.11.29 VirTool:Win32/DelfInject.gen!L
NOD32 3650 2008.11.28 probably a variant of Win32/Hupigon
Norman 5.80.02 2008.11.28 -
Panda 9.0.0.4 2008.11.29 Trj/Delf.AJO
PCTools 4.4.2.0 2008.11.28 -
Prevx1 V2 2008.11.29 -
Rising 21.05.51.00 2008.11.29 Backdoor.Win32.SRat.z
SecureWeb-Gateway 6.7.6 2008.11.28 Trojan.Backdoor.Hupigon.Gen
Sophos 4.36.0 2008.11.29 Mal/Behav-058
Sunbelt 3.1.1832.2 2008.11.27 -
Symantec 10 2008.11.29 Infostealer
TheHacker 6.3.1.1.166 2008.11.28 Backdoor/Hupigon.dflx
TrendMicro 8.700.0.1004 2008.11.28 Mal_Otorun5
VBA32 3.12.8.9 2008.11.28 MalwareScope.Trojan-PSW.Game.16
ViRobot 2008.11.28.1491 2008.11.28 -
VirusBuster 4.5.11.0 2008.11.28 Backdoor.Agent.FAMO
附加信息
File size: 413898 bytes
MD5...: 51991df6e5fe6bc20ebee9ce9e311df2
SHA1..: a99594bf7cdba11c108486dde1ba0b1038e7d5ff
SHA256: d12e4eaed41c450f8ef458e783d726b4de002493cd6d5adb334dafc3a230f624
SHA512: d908d2b4af6e16080173b017de8de7a645c3ae6256a56b715986b20aec2c6614
0f358587f39f6d2cfe851b909fb71d2f93e5c009d1c6546d5cb257c8f4803398
ssdeep: 6144:HFbZn/sHKFGfY2KqCFvjVH4125WdYbXHQj5/9oUoPoaYMgnbVn0P4aBvTW1
E:ltn/sqCw/F8qWkXHQlUPoajgbVqTW1E
PEiD..: -
TrID..: File type identification
RAR Archive (83.3%)
REALbasic Project (16.6%)
PEInfo: -
packers (Authentium): RAR, RAR
packers (F-Prot): RAR

[ 本帖最后由 wangfeng66 于 2008-11-29 17:49 编辑 ]

显示全部楼层 · 发表于 2008-11-29 17:50:49

Virus or unwanted program 'BDS/Hupigon.Gen [backdoor]'

显示全部楼层 · 发表于 2008-11-29 17:58:02

卡巴 506 报了3个 htm

2008-11-29 17:52:05 http://88ttorg.one.2008isp.com.cn/1.htm TouchNet Browser 已被拒绝木马程序 Exploit.JS.ADODB.Stream.y 高确定
2008-11-29 17:52:00 http://88ttorg.one.2008isp.com.cn/4.htm TouchNet Browser 已被拒绝病毒 HEUR:Trojan-Downloader.Script.Generic 高可能
2008-11-29 17:51:53 http://88ttorg.one.2008isp.com.cn/2.htm TouchNet Browser 已被拒绝木马程序 Trojan-Downloader.JS.Agent.cup 高确定

显示全部楼层 · 发表于 2008-11-29 17:59:22

趋势不知道是否能查杀这些样本，但趋势的用户应该会直接无法访问。。。

显示全部楼层 · 发表于 2008-11-29 18:07:41

Log is generated by FreShow.
[wide]http://www.simasc.jx.cn/
[frame]http://88ttorg.one.2008isp.com.cn/1.htm
[frame]http://88ttorg.one.2008isp.com.cn/2.htm
[frame]http://88ttorg.one.2008isp.com.cn/3.htm
[frame]http://88ttorg.one.2008isp.com.cn/4.htm
[object]http://88ttorg.one.2008isp.com.cn/1.exe

显示全部楼层 · 发表于 2008-11-29 20:01:03

htm居然也报
2008-11-29 19:56:28       HTTP filter       file       http://88ttorg.one.2008isp.com.cn/2.htm       JS/TrojanDownloader.Agent.NHA trojan       connection terminated - quarantined       NT AUTHORITY\SYSTEM       Threat was detected upon access to web by the application: C:\WINDOWS\system32\vmnat.exe.
2008-11-29 19:56:28       HTTP filter       file       http://88ttorg.one.2008isp.com.cn/4.htm       VBS/TrojanDownloader.Psyme.NEU trojan       connection terminated - quarantined       NT AUTHORITY\SYSTEM       Threat was detected upon access to web by the application: C:\WINDOWS\system32\vmnat.exe.
2008-11-29 19:56:27       HTTP filter       file       http://88ttorg.one.2008isp.com.cn/3.htm       JS/TrojanDownloader.Agent.NIJ trojan       connection terminated - quarantined       NT AUTHORITY\SYSTEM       Threat was detected upon access to web by the application: C:\WINDOWS\system32\vmnat.exe.

得把针对VM的网监关了

[ 本帖最后由 leonfg 于 2008-11-29 20:02 编辑 ]

显示全部楼层 · 发表于 2008-12-1 21:52:58

畅游巡警网站扫描报告:
扫描时间:2008年12月1日,21:52:50
=============================
所在页面: http://www.simasc.jx.cn/xinxi/index.asp
所在页面的位置: http://www.simasc.jx.cn/xinxi/index.asp
具体挂马地址: http://88ttorg.one.2008isp.com.cn/3.htm
扫描结果: 恶意下载链接
=============================
所在页面: http://www.simasc.jx.cn/xinxi/index.asp
所在页面的位置: http://www.simasc.jx.cn/xinxi/index.asp
具体挂马地址: http://88ttorg.one.2008isp.com.cn/1.htm
扫描结果: 恶意下载链接
=============================
所在页面: http://www.simasc.jx.cn/xinxi/index.asp
所在页面的位置: http://www.simasc.jx.cn/xinxi/index.asp
具体挂马地址: http://88ttorg.one.2008isp.com.cn/4.htm
扫描结果: Exploit.Win32.Shellcode.Suspicious.b
=============================
所在页面: http://www.simasc.jx.cn
所在页面的位置: http://www.yoku6.cn
具体挂马地址: http://cc4y3.cn/6666/17.html
扫描结果: 恶意下载脚本
=============================
所在页面: http://www.simasc.jx.cn
所在页面的位置: http://cc4y3.cn/6666/17.html
具体挂马地址: http://cc4y3.cn/6666/s/17/index.html
扫描结果: 恶意下载脚本

显示全部楼层 · 发表于 2008-12-1 22:18:43

2008-12-01 22:18:01 加载库文件操作:阻止
进程路径:D:\Program Files\GreenBrowser\GreenBrowser.exe
文件路径:C:\Program Files\Common Files\System\msadc\msadco.dll
触发规则:所有程序规则->禁止加载的库文件->*\msadco.dll

2008-12-01 22:18:13 加载库文件操作:阻止
进程路径:D:\Program Files\GreenBrowser\GreenBrowser.exe
文件路径:C:\Program Files\Common Files\System\msadc\msadco.dll
触发规则:所有程序规则->禁止加载的库文件->*\msadco.dll

[已鉴定] www.simasc.jx.cn/