津乐园网站 （www.jinleyuan.com/index.asp?ty=3）被挂马

小飞侠.net

津乐园网站 （ww  w.jinleyuan.com/index.asp?ty=3[/url]）被挂马

附件是费尔拦下来的，密码是：omjowWgB6W8VdtskSO6X

费尔说：
桌面\样本\ytvod[2].htm        JS.Decoder.t        病毒        还未处理
桌面\样本\ytvod[1].htm        JS.Decoder.t        病毒        还未处理



[2009-04-13 13:14:04] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/index2.htm，此页面含有应用软件漏洞攻击恶意代码
[2009-04-13 13:14:04] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/index2.htm，此页面含有应用软件漏洞攻击恶意代码
[2009-04-13 13:14:05] 发现Maxthon.exe试图触发数字签名漏洞，已被成功阻止！
[2009-04-13 13:14:05] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/index2.htm，此页面含有应用软件漏洞攻击恶意代码
[2009-04-13 13:14:05] 发现Maxthon.exe试图触发数字签名漏洞，已被成功阻止！
[2009-04-13 13:14:05] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/ytxxz.htm，此页面含有微软MS09002漏洞攻击恶意代码
[2009-04-13 13:14:05] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/index2.htm，此页面含有应用软件漏洞攻击恶意代码
[2009-04-13 13:14:06] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/ytxxz.htm，此页面含有微软MS09002漏洞攻击恶意代码
[2009-04-13 13:14:06] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/ytxxz.htm，此页面含有微软MS09002漏洞攻击恶意代码
[2009-04-13 13:14:06] 发现Maxthon.exe试图触发数字签名漏洞，已被成功阻止！
[2009-04-13 13:14:06] 发现Maxthon.exe试图触发数字签名漏洞，已被成功阻止！
[2009-04-13 13:14:06] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/ytxxz.htm，此页面含有微软MS09002漏洞攻击恶意代码
[2009-04-13 13:14:07] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/index2.htm，此页面含有应用软件漏洞攻击恶意代码
[2009-04-13 13:14:07] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/index2.htm，此页面含有应用软件漏洞攻击恶意代码
[2009-04-13 13:14:07] 发现Maxthon.exe试图触发数字签名漏洞，已被成功阻止！
[2009-04-13 13:14:07] 发现Maxthon.exe试图触发数字签名漏洞，已被成功阻止！
[2009-04-13 13:14:07] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/ytxxz.htm，此页面含有微软MS09002漏洞攻击恶意代码
[2009-04-13 13:14:07] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/ytxxz.htm，此页面含有微软MS09002漏洞攻击恶意代码
[2009-04-13 13:14:10] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/ytvod.htm，此页面含有缓冲区攻击恶意代码
[2009-04-13 13:14:10] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/ytvod.htm，此页面含有缓冲区攻击恶意代码
[2009-04-13 13:14:10] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/ytvod.htm，此页面含有缓冲区攻击恶意代码
[2009-04-13 13:14:10] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/ytvod.htm，此页面含有缓冲区攻击恶意代码
[2009-04-13 13:14:10] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/ytvod.htm，此页面含有缓冲区攻击恶意代码
[2009-04-13 13:14:10] 成功阻止Maxthon.exe访问htt  p://z.hg973.cn/d1/16/ytvod.htm，此页面含有缓冲区攻击恶意代码

lichun005

挂得太明显了
Log is generated by FreShow.
[wide]http://www.jinleyuan.com/index.asp
    [frame]http://www.jinleyuan.com/index-right.asp?ty=
    [frame]http://www.jinleyuan.com/
        top.html
       
    [script]http://%6D%62%72%39%2E%63%6E
        [frame]http://g.igf85.cn/d1/16/index.htm
            [frame]http://g.igf85.cn/d1/16/index2.htm
                [script]http://g.igf85.cn/d1/16/zhin.js
                [frame]http://g.igf85.cn/d1/16/yt14.htm
                [frame]http://g.igf85.cn/d1/16/ytfl.htm
                [frame]http://g.igf85.cn/d1/16/ytqm.htm
                [frame]http://g.igf85.cn/d1/16/ytvod.htm
                [frame]http://g.igf85.cn/d1/16/ytxxz.htm
如果是样本，该发病毒样本区

lichun005

样本是htm？楼主该把exe或者css一类下载下来吧

小飞侠.net

原帖由 lichun005 于 2009-4-13 13:35 发表
挂得太明显了
Log is generated by FreShow.
[wide]http://www.jinleyuan.com/index.asp
    [frame]http://www.jinleyuan.com/index-right.asp?ty=
    [frame]http://www.jinleyuan.com/
        top.html
       
    [ ...

我是新手不会解密

小飞侠.net

原帖由 lichun005 于 2009-4-13 13:38 发表
样本是htm？楼主该把exe或者css一类下载下来吧

费尔一般拦下来是HTML或js类。。。exe类我本人没有遇到过。

幸福的猪猪

我来上传毒网的病毒样本吧，跟我今天发现的那个挂马网站的样本一样，kaba给我的回信至少是这样的！

hxxp://g.igf85.cn/d1/16/ytqm.htm 【由这个网页解出来的下载地址，其他网址的不懂怎么解...】
hxxp://w1.akc8.com/01/s.exe
下载地址上报kaba！

解压密码为：virus

kaba 能识别其中一个，不过最终定义还是为：heur！

Hello,


s.exe - Trojan-Dropper.Win32.Agent.amob

New malicious software was found in these files. Detection will be included in the next update. Thank you for your help.

[ 本帖最后由 幸福的猪猪 于 2009-4-13 16:18 编辑 ]

aymf1710

料足