http://www.163.io/logo.gif?rb

显示全部楼层 · 发表于 2009-9-19 15:33:10

我就不解咯。。。

病毒样本下载地址：http://d.eddxx.com/xx/x118.css （貌似失效，下载不了）

只是想问一下，MDecoder 怎么进入自动解密模式？（弄了一早上，愣是没有找到窍门。。。

）

[ 本帖最后由幸福的猪猪于 2009-9-19 15:36 编辑 ]

显示全部楼层 · 发表于 2009-9-19 15:42:44

mdecoder.exe -auto

显示全部楼层 · 发表于 2009-9-19 15:46:52

关于:hxxp://www.163.io/logo.gif?rb解密的日志(全体输出 -  60):

Level  0>http://www.163.io/logo.gif?rb
Level  1>http://knownsec.7766.org/wwj2/1.htm?
Level  2>http://js.tongji.linezing.com/1270758/tongji.js
Level  2>http://983h2.cn/x118/xx.html
Level  3>http://983h2.cn/x118/yut.htm
Level  4>http://983h2.cn/x118/of.htm
Level  5>http://983h2.cn/x118/of2.jpg
Level  5>http://983h2.cn/x118/of.jpg
Level  5>http://983h2.cn/x118/of3.jpg
Level  5>http://983h2.cn/x118/of.js
Level  6>http://d.eddxx.com/xx/x118.css  ●
Level  4>http://983h2.cn/x118/ytfl1.htm
Level  5>http://983h2.cn/x118/m1.htm
Level  6>http://983h2.cn/x118/x5.swf  ●
Level  7>http://d.eddxx.com/xx/x118.css  ●
Level  6>http://983h2.cn/x118/x2.swf  ●
Level  6>http://983h2.cn/x118/x4.swf  ●
Level  6>http://983h2.cn/x118/x3.swf  ●
Level  6>http://983h2.cn/x118/x1.swf  ●
Level  5>http://983h2.cn/x118/m2.htm
Level  6>http://983h2.cn/x118/x11.swf  ●
Level  7>http://d.eddxx.com/xx/x118.css  ●
Level  6>http://983h2.cn/x118/x8.swf  ●
Level  6>http://983h2.cn/x118/x10.swf  ●
Level  6>http://983h2.cn/x118/x9.swf  ●
Level  6>http://983h2.cn/x118/x7.swf  ●
Level  5>http://983h2.cn/x118/m1.htm
Level  4>http://983h2.cn/x118/ytfl.htm
Level  5>http://983h2.cn/x118/ff.html
Level  6>http://983h2.cn/x118/xp.swf  ●
Level  6>http://983h2.cn/x118/done.swf  ●
Level  6>http://d.eddxx.com/xx/x118.css  ●
Level  5>http://983h2.cn/x118/ff.html
Level  5>http://983h2.cn/x118/ie.html
Level  6>http://983h2.cn/x118/xp.swf  ●
Level  6>http://983h2.cn/x118/done.swf  ●
Level  6>http://d.eddxx.com/xx/x118.css  ●
Level  5>http://983h2.cn/x118/ff.html
Level  5>http://983h2.cn/x118/ie.html
Level  5>http://983h2.cn/x118/ff.html
Level  3>http://983h2.cn/x118/td09.htm
Level  4>http://983h2.cn/x118/02.js
Level  4>http://983h2.cn/x118/01.js
Level  5>http://d.eddxx.com/xx/x118.css  ●
Level  3>http://983h2.cn/x118/yt.htm
Level  4>http://983h2.cn/x118/f.jpg
Level  4>http://983h2.cn/x118/e.jpg
Level  4>http://983h2.cn/x118/d.jpg
Level  4>http://983h2.cn/x118/c.jpg
Level  4>http://983h2.cn/x118/url.jpg
Level  5>http://d.eddxx.com/xx/x118.css  ●
Level  4>http://983h2.cn/x118/b.jpg
Level  4>http://983h2.cn/x118/a2.jpg
Level  3>http://983h2.cn/x118/td14.htm
Level  4>http://983h2.cn/x118/18.js
Level  4>http://983h2.cn/x118/16.js
Level  4>http://983h2.cn/x118/17.js
Level  4>http://983h2.cn/x118/15.js
Level  4>http://983h2.cn/x118/14.js
Level  5>http://d.eddxx.com/xx/x118.css  ●

日志由 Redoce2.0第40次修正版于 2009-9-19 15:46:22 生成。

显示全部楼层 · 发表于 2009-9-19 15:56:10

原来是在快捷方式的（目标）栏后面添加 -auto 参数的。谢谢你的指点。

显示全部楼层 · 发表于 2009-9-19 16:07:56

log generated by mdecoder v0.22
[root]http://www.163.io/logo.gif?rb
[iframe]http://knownsec.7766.org/wwj2/1.htm?
      [iframe]http://983h2.cn/x118/xx.html
         [iframe]http://983h2.cn/x118/td14.htm
            [script]http://983h2.cn/x118/14.js
                  [exe]http://d.eddxx.com/xx/x118.css
            [script]http://983h2.cn/x118/15.js
            [script]http://983h2.cn/x118/17.js
            [script]http://983h2.cn/x118/16.js
            [script]http://983h2.cn/x118/18.js
         [iframe]http://983h2.cn/x118/yt.htm
            [script]http://983h2.cn/x118/a2.jpg
            [script]http://983h2.cn/x118/b.jpg
            [script]http://983h2.cn/x118/url.jpg
                  [exe]http://d.eddxx.com/xx/x118.css
            [script]http://983h2.cn/x118/c.jpg
            [script]http://983h2.cn/x118/d.jpg
            [script]http://983h2.cn/x118/e.jpg
            [script]http://983h2.cn/x118/f.jpg
         [iframe]http://983h2.cn/x118/td09.htm
            [script]http://983h2.cn/x118/01.js
                  [exe]http://d.eddxx.com/xx/x118.css
            [script]http://983h2.cn/x118/02.js
         [iframe]http://983h2.cn/x118/yut.htm
            [iframe]http://983h2.cn/x118/ytfl.htm
                  [iframe]http://983h2.cn/x118/ff.html
                     [exe]http://d.eddxx.com/xx/x118.css
                  [iframe]http://983h2.cn/x118/ie.html
                     [exe]http://d.eddxx.com/xx/x118.css
                  [iframe]http://983h2.cn/x118/ff.html
                  [iframe]http://983h2.cn/x118/ie.html
                  [iframe]http://983h2.cn/x118/ff.html
                  [iframe]http://983h2.cn/x118/ff.html
            [iframe]http://983h2.cn/x118/ytfl1.htm
                  [iframe]http://983h2.cn/x118/m1.htm
                     [script]http://983h2.cn/x118/swfobject.js
                     [flash]http://983h2.cn/./x1.swf
                     [flash]http://983h2.cn/./x3.swf
                     [flash]http://983h2.cn/./x4.swf
                     [flash]http://983h2.cn/./x2.swf
                     [flash]http://983h2.cn/./x5.swf
                  [iframe]http://983h2.cn/x118/m2.htm
                     [script]http://983h2.cn/x118/swfobject.js
                     [flash]http://983h2.cn/./x7.swf
                     [flash]http://983h2.cn/./x9.swf
                     [flash]http://983h2.cn/./x10.swf
                     [flash]http://983h2.cn/./x8.swf
                     [flash]http://983h2.cn/./x11.swf
                  [iframe]http://983h2.cn/x118/m1.htm
            [iframe]http://983h2.cn/x118/of.htm
                  [script]http://983h2.cn/x118/of.js
                     [exe]http://d.eddxx.com/xx/x118.css
                  [script]http://983h2.cn/x118/of3.jpg
                  [script]http://983h2.cn/x118/of.jpg
                  [script]http://983h2.cn/x118/of2.jpg

显示全部楼层 · 发表于 2009-9-19 16:19:07

原始 - hxxp://www.163.io/logo.gif?rb
开始自动解析 - hxxp://www.163.io/logo.gif?rb
L1 - hxxp://knownsec.7766.org/wwj2/1.htm?
L2 - hxxp://983h2.cn/x118/xx.html
L3 - hxxp://983h2.cn/x118/Td14.htm
L3 - hxxp://983h2.cn/x118/yt.htm
L3 - hxxp://983h2.cn/x118/td09.htm
L3 - hxxp://983h2.cn/x118/yut.htm
L4 - hxxp://983h2.cn/x118/14.js
L4 - hxxp://983h2.cn/x118/15.js
L4 - hxxp://983h2.cn/x118/17.js
L4 - hxxp://983h2.cn/x118/16.js
L4 - hxxp://983h2.cn/x118/18.js
L4 - hxxp://983h2.cn/x118/a2.jpg
L4 - hxxp://983h2.cn/x118/b.jpg
L4 - hxxp://983h2.cn/x118/url.jpg
自动解析 - Auto XOR - 高度可疑 - hxxp://d.eddxx.com/xx/x118.css
关注 - hxxp://d.eddxx.com/xx/x118.css

输出的对象 - hxxp://d.eddxx.com/xx/x118.css

此分析日志由 liujiehua-猫猫使用 Astox v1 Build 1115 在 2009年9月19日16时18分50秒生成。

显示全部楼层 · 发表于 2009-9-19 23:12:15

显示全部楼层 · 发表于 2009-9-19 23:25:08

log generated by mdecoder v0.22
[root]http://www.163.io/logo.gif?rb
[iframe]http://knownsec.7766.org/wwj2/1.htm?
      [iframe]http://983h2.cn/x118/xx.html
         [iframe]http://983h2.cn/x118/td14.htm
            [script]http://983h2.cn/x118/14.js
                  [exe]http://d.eddxx.com/xx/x118.css
            [script]http://983h2.cn/x118/15.js
            [script]http://983h2.cn/x118/17.js
            [script]http://983h2.cn/x118/16.js
            [script]http://983h2.cn/x118/18.js
         [iframe]http://983h2.cn/x118/yt.htm
            [script]http://983h2.cn/x118/a2.jpg
            [script]http://983h2.cn/x118/b.jpg
            [script]http://983h2.cn/x118/url.jpg
                  [exe]http://d.eddxx.com/xx/x118.css
            [script]http://983h2.cn/x118/c.jpg
            [script]http://983h2.cn/x118/d.jpg
            [script]http://983h2.cn/x118/e.jpg
            [script]http://983h2.cn/x118/f.jpg
         [iframe]http://983h2.cn/x118/td09.htm
            [script]http://983h2.cn/x118/01.js
                  [exe]http://d.eddxx.com/xx/x118.css
            [script]http://983h2.cn/x118/02.js
         [iframe]http://983h2.cn/x118/yut.htm
            [iframe]http://983h2.cn/x118/ytfl.htm
                  [iframe]http://983h2.cn/x118/ff.html
                     [exe]http://d.eddxx.com/xx/x118.css
                  [iframe]http://983h2.cn/x118/ie.html
                     [exe]http://d.eddxx.com/xx/x118.css
                  [iframe]http://983h2.cn/x118/ff.html
                  [iframe]http://983h2.cn/x118/ie.html
                  [iframe]http://983h2.cn/x118/ff.html
                  [iframe]http://983h2.cn/x118/ff.html
            [iframe]http://983h2.cn/x118/ytfl1.htm
                  [iframe]http://983h2.cn/x118/m1.htm
                     [script]http://983h2.cn/x118/swfobject.js
                     [flash]http://983h2.cn/./x1.swf
                     [flash]http://983h2.cn/./x3.swf
                     [flash]http://983h2.cn/./x4.swf
                     [flash]http://983h2.cn/./x2.swf
                     [flash]http://983h2.cn/./x5.swf
                  [iframe]http://983h2.cn/x118/m2.htm
                     [script]http://983h2.cn/x118/swfobject.js
                     [flash]http://983h2.cn/./x7.swf
                     [flash]http://983h2.cn/./x9.swf
                     [flash]http://983h2.cn/./x10.swf
                     [flash]http://983h2.cn/./x8.swf
                     [flash]http://983h2.cn/./x11.swf
                  [iframe]http://983h2.cn/x118/m1.htm
            [iframe]http://983h2.cn/x118/of.htm
                  [script]http://983h2.cn/x118/of.js
                     [exe]http://d.eddxx.com/xx/x118.css
                  [script]http://983h2.cn/x118/of3.jpg
                  [script]http://983h2.cn/x118/of.jpg
                  [script]http://983h2.cn/x118/of2.jpg

好智能啊

我才发现

[已鉴定] http://www.163.io/logo.gif?rb

回复 1楼幸福的猪猪的帖子

回复 2楼 IllusionWing 的帖子

[已鉴定] http://www.163.io/logo.gif?rb

回复 1楼 幸福的猪猪 的帖子

回复 2楼 IllusionWing 的帖子

回复 1楼幸福的猪猪的帖子