传播Virus.Win32.AutoRun.f/Worm.Win32.Delf.b的网页

endurer 原创
2007-06-15 第1版

一位网友说他的电脑不管打开什么网站的网页，显示的都是hxxp://218.*1*.1*4.170的VIP1.HTM、VIP2.HTM等。

hxxp://218.*1*.1*4.170/VIP1.HTM 的内容采用US-ASCII编码。到http://purpleendurer.ys168.com 下载US-ASCII编码解码程序进行解码，得到的内容包含JavaScript脚本代码，功能是下载 文件 611.exe，保存为 c:/Microsoft.com 并运行。

文件说明符 : D:/test/611.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-14 23:28:7
修改时间 : 2007-6-14 23:28:8
访问时间 : 2007-6-14 0:0:0
大小 : 25144 字节 24.568 KB
MD5 : aae683231628c36a13713b9aebec6bfc

Kaspersky 报为 Virus.Win32.AutoRun.f，瑞星报为 Worm.Win32.Delf.b

hxxp://218.*1*.1*4.170/VIP2.HTM 的内容同样采用US-ASCII编码。解码得到的内容包含JavaScript脚本代码，比 VIP1.HTM 要复杂，同样是下载 文件 611.exe，保存为 TEMP/Microsoft.com，创建 Microsoft.vbs 来运行。