MMSK被挂马

VISN

http://www.mmsk.cn/

红伞拦截

VISN

现在挂马速度真快，前2天还没有的

左手

2008-12-05 18:27:05    加载库文件      操作:阻止
进程路径:D:\Program Files\GreenBrowser\GreenBrowser.exe
文件路径:C:\Program Files\Common Files\System\msadc\msadco.dll
触发规则:所有程序规则->禁止加载的库文件->*\msadco.dll

第一年买回的电脑，就有装它，后来听说文件名查杀，怒，删之~~~~~~~~~~~

VISN

样本连接：http://baidu.bbtu001.com/wl.css

改为EXE后缀后可运行

qianwenxiang

关于:hxxp://www.mmsk.cn/解密的日志(自动模式 -  20):

AUTO>http://www.mmsk.cn/
AUTO>http://dx.mmsk.cn/mmsk.exe  
AUTO>http://pageads2.googlesnations.cn/show_ads.js
AUTO>http://baidu.bbtu05.cn/w04/w04.htm
AUTO>http://baidu.bbtu05.cn/w04/new.html
AUTO>http://js.t0ngji.cn.yahoo.com/841705/ystat.js
AUTO>http://cn.yimg.com/i/lib/css/0_0_2/base.css  
AUTO>http://cn.yimg.com/ncp24/common/hp/css/ncp_2_4_0.css  
AUTO>http://baidu.bbtu05.cn/w04/../104.htm
AUTO>http://baidu.bbtu001.com/wl.css  ●
AUTO>http://baidu.bbtu05.cn/w04/fx.htm
AUTO>http://baidu.bbtu05.cn/w04/../a0s.htm
AUTO>http://baidu.bbtu05.cn/w04/lzz.htm
AUTO>http://baidu.bbtu05.cn/w04/real11.htm
AUTO>http://baidu.bbtu05.cn/w04/../rea0l10.htm
AUTO>http://baidu.bbtu05.cn/w04/../bf0yy.htm
AUTO>http://baidu.bbtu05.cn/w04/mlink.html
AUTO>http://baidu.bbtu05.cn/w04/xlink.html
AUTO>http://baidu.bbtu05.cn/w04/swfobject.js
AUTO>http://baidu.bbtu05.cn/w04/+

又是生成器杰作..

fzz8848

Log is generated by FreShow.
[wide]http://www.mmsk.cn/
    [script]http://pageads2.googlesnations.cn/show_ads.js
        [frame]http://baidu.bbtu05.cn/w04/w04.htm
            [frame]http://baidu.bbtu05.cn/w04/new.html
                [frame]http://baidu.bbtu05.cn/w04/../104.htm
                    [object]http://baidu.bbtu001.com/wl.css
                [frame]http://baidu.bbtu05.cn/w04/fx.htm
                [frame]http://baidu.bbtu05.cn/w04/../a0s.htm
                [frame]http://baidu.bbtu05.cn/w04/lzz.htm
                [frame]http://baidu.bbtu05.cn/w04/real11.htm
                [frame]http://baidu.bbtu05.cn/w04/../rea0l10.htm
                [frame]http://baidu.bbtu05.cn/w04/../Bf0yy.htm

qigang

Log is generated by FreShow.
[wide]http://www.mmsk.cn/
    [script]http://pageads2.googlesnations.cn/show_ads.js
        [frame]http://baidu.bbtu05.cn/w04/w04.htm
            [frame]http://baidu.bbtu05.cn/w04/new.html
                [frame]http://baidu.bbtu05.cn/w04/../104.htm
                    [object]http://baidu.bbtu001.com/wl.css
                [frame]http://baidu.bbtu05.cn/w04/fx.htm
                    [frame]http://baidu.bbtu05.cn/w04/mlink.html
                    [frame]http://baidu.bbtu05.cn/w04/xlink.html
                [frame]http://baidu.bbtu05.cn/w04/../a0s.htm
                [frame]http://baidu.bbtu05.cn/w04/lzz.htm
                    [object]http://dz.us.net/bak.css
                [frame]http://baidu.bbtu05.cn/w04/real11.htm
                    [object]http://dz.us.net/bak.css
                [frame]http://baidu.bbtu05.cn/w04/../rea0l10.htm
                    [object]http://baidu.bbtu001.com/wl.css
                [frame]http://baidu.bbtu05.cn/w04/../Bf0yy.htm
                    [object]http://baidu.bbtu001.com/wl.css
            [script]http://js.t0ngji.cn.yahoo.com/841705/ystat.js
            [script]http://js.tongji.cn.yahoo.com/841705/ystat.js

dl123100

畅游巡警网站扫描报告:
扫描时间:2008年12月5日,19:44:19
=============================
所在页面:        http://pageads2.googlesnations.cn/show_ads.js
所在页面的位置:        http://baidu.bbtu05.cn/w04/w04.htm
具体挂马地址:        恶意下载脚本
扫描结果:        `J
=============================
所在页面:        http://baidu.bbtu05.cn/w04/w04.htm
所在页面的位置:        http://baidu.bbtu05.cn/w04/new.html
具体挂马地址:        恶意下载脚本
扫描结果:        `J
=============================
所在页面:        http://baidu.bbtu05.cn/w04/w04.htm
所在页面的位置:        http://baidu.bbtu05.cn/w04/new.html
具体挂马地址:        恶意下载脚本
扫描结果:        `J
=============================
所在页面:        http://baidu.bbtu05.cn/w04/w04.htm
所在页面的位置:        http://baidu.bbtu05.cn/
具体挂马地址:        恶意下载脚本
扫描结果:        `J

leonfg

2008-12-05 20:20:08        HTTP filter        file        http://baidu.bbtu001.com/wl.css        a variant of Win32/TrojanDownloader.Agent.OBQ trojan        connection terminated - quarantined        CHINESE-GUNDAM\GUNDAM        Threat was detected upon access to web by the application: C:\Program Files\Mozilla Firefox\firefox.exe.
第二个打不开