瑞星卡卡安全论坛

首页 » 技术交流区 » 恶意网站交流 » 每日网马播报 » 瑞星网站每日安全播报(2009年12月24日)
networkedition - 2009-12-24 12:55:00


引用:
网址均来自瑞星每日安全播报，我们详细分析其中所挂恶意网址，对于已失效的恶意网址就不再分析。



引用:
注：以下分析出的恶意网址均包含有真实网马下载地址，请勿直接下载并运行，以免系统中招。



引用:

1. http://bbs.okfang.com/（OK访:创造,分享,精彩由您）
2. http://game.wuhan.net.cn/(武汉热线游戏频道 - 华中最大游戏站点）
3. http://gx.gongkong.com/（中国工控网-中国自动化/企业信息化门户）
4. http://www.37c.com.cn/（37度医学网）


用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; InfoPath.2)
networkedition - 2009-12-24 12:56:00
Log is generated by FreShow.
[wide]http://bbs.okfang.com/UpFile/php.asp?10992.html
    [object]http://zy.gzidc.cn/db/
        [frame]http://zy.gzidc.cn/db/oa.htm
            [script]http://zy.gzidc.cn/db/oa.js
                [object]http://www.07073.com/data/w.exe
        [script]http://js.users.51.la/3392182.js
networkedition - 2009-12-24 12:56:00
Log generated by networkedition use mdecoder 0.30
[root]http://game.wuhan.net.cn/game/html/cheat/pcgame/20090503/27892_2.html
    [script]http://game.wuhan.net.cn/game/include/whgameajax2.js
    [script]http://www.wuhan.net.cn/top/top950.js
        [exe]http://www.wuhan.net.cn/top/css/style.css
    [script]http://www.wuhan.net.cn/top/top950.js
    [script]http://game.wuhan.net.cn/game/plus/ad_js.php?aid=29
    [script]http://game.wuhan.net.cn/game/templets/templets/js/minmax.js
    [script]http://game.wuhan.net.cn/game/plus/count.php?view=yes&aid=27892&mid=1
    [script]http://game.wuhan.net.cn/game/plus/ad_js.php?aid=39
    [script]http://game.wuhan.net.cn/game/plus/feedback_js.php?aid=27892
        [script]http://ww.keyruns.co.cc/phpmyadmin/css/yx/images.gif
    [script]http://game.wuhan.net.cn/game/plus/ad_js.php?aid=39
    [script]http://game.wuhan.net.cn/game/plus/ad_js.php?aid=40
    [script]http://game.wuhan.net.cn/game/plus/ad_js.php?aid=41
    [script]http://game.wuhan.net.cn/game/plus/count.php?aid=27892&mid=1
    [script]http://ad.googlesyndications.co.cc/data/backup/yx/logo.gif
        [iframe]http://bbs.pxtang.cn/image/my/yx/data.htm?2
            [exe]http://bbs.pxtang.cn/image/o.exe
networkedition - 2009-12-24 12:57:00
Log generated by networkedition use mdecoder 0.30
[root]http://gx.gongkong.com/caa/home/newsdetail.asp?news_id=111
    [script]http://963.ss.la
        [iframe]http://8884.ss.la/4/google.htm
            [iframe]http://8884.ss.la/4/search.htm
                [script]http://8884.ss.la/4/google_ad.js
                    [iframe]http://8884.ss.la/4/cqqmp.htm
                        [script]http://8884.ss.la/4/cqqskin.css
                            [exe]http://xxx.ss.la/4.exe
                        [script]http://8884.ss.la/4/show.jpg
                        [script]http://8884.ss.la/4/shows.jpg
                [script]http://8884.ss.la/4/google_ads.js
                    [iframe]http://8884.ss.la/4/ec1.htm
                        [script]http://8884.ss.la/4/ec4.js
                            [exe]http://xxx.ss.la/4.exe
                    [iframe]http://8884.ss.la/4/fyfl.htm
                    [iframe]http://8884.ss.la/4/ecof.htm
                        [script]http://8884.ss.la/4/off.css
                            [exe]http://xxx.ss.la/4.exe
                    [iframe]http://8884.ss.la/4/fydvd.htm
                    [iframe]http://8884.ss.la/4/fycry.htm
                        [script]http://8884.ss.la/4/cry.css
                            [exe]http://xxx.ss.la/4.exe
                [script]http://8884.ss.la/4/google_adx.js
                    [iframe]http://8884.ss.la/4/cqq0.htm
                        [script]http://8884.ss.la/4/cqq2s.css
                        [script]http://8884.ss.la/4/cqq2.css
                            [exe]http://xxx.ss.la/4.exe
                    [iframe]http://8884.ss.la/4/ecb.htm
                        [iframe]http://8884.ss.la/4/ecbbb.htm
                            [script]http://8884.ss.la/4/ecfff.js
                                [exe]http://xxx.ss.la/4.exe
                    [iframe]http://8884.ss.la/4/fyr.htm
                        [script]http://8884.ss.la/4/rr.js
                            [iframe]http://8884.ss.la/4/evilr.htm
                                [script]http://8884.ss.la/4/evilrr.js
                                    [exe]http://xxx.ss.la/4.exe
                            [iframe]http://8884.ss.la/4/fyre1.htm
                                [script]http://8884.ss.la/4/fyr1.js
                                    [exe]http://xxx.ss.la/4.exe
                        [script]http://8884.ss.la/4/zz.js
                            [iframe]http://8884.ss.la/4/fylz.htm
                                [script]http://8884.ss.la/4/xxxxz.js
                                    [exe]http://xxx.ss.la/4.exe
                    [iframe]http://8884.ss.la/4/ecfox.htm
                        [iframe]http://8884.ss.la/4/ecffx.htm
                            [script]http://8884.ss.la/4/ecfox.js
                                [exe]http://xxx.ss.la/4.exe
                [script]http://8884.ss.la/4/music.js
                    [iframe]http://8884.ss.la/4/sfpf.htm
                    [iframe]http://8884.ss.la/4/ax.htm
                        [exe]http://8884.ss.la/4.exe
        [iframe]http://www.sesesemml.cn/?26968548
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
                [iframe]http://hrwee.8800.org/xp/yt.htm
                    [script]http://hrwee.8800.org/xp/nop.jpg
                    [script]http://hrwee.8800.org/xp/ml.jpg
                    [script]http://hrwee.8800.org/xp/rl.jpg
                        [exe]http://dl7900.3322.org/xp/1.css
                    [script]http://hrwee.8800.org/xp/kl.jpg
                [iframe]http://hrwee.8800.org/xp/ytu.htm
                    [iframe]http://hrwee.8800.org/xp/of.htm
                        [script]http://hrwee.8800.org/xp/rl.jpg
                        [script]http://hrwee.8800.org/xp/nop.jpg
                        [script]http://hrwee.8800.org/xp/fq.jpg
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [script]http://www.sesesemml.cn/dl1.js
                [exe]http://www.sesesemml.cn/baidu_10.exe
                [exe]http://www.sesesemml.cn/baidu_10.exe
                [exe]http://www.sesesemml.cn/baidu_10.exe
                [exe]http://tg.01lm.com/kk18_baidu.exe
                [exe]http://tg.01lm.com/paopao8_baidu.exe
                [exe]http://122.227.42.206:8080/qliao_baidu.exe
                [exe]http://122.227.42.206:8080/qliao_baidu.exe
                [exe]http://tg.01lm.com/quliao_baidu.exe
            [iframe]http://www.sesesemml.cn/images/mv.htm
                [script]http://www.sesesemml.cn/images/mv.files/flash_mv.js
            [iframe]http://www.sesesemml.cn/images/float_baidu.htm
                [script]http://www.sesesemml.cn/images/float_baidu.files/yui-utilities.js
                    [script]http://:
                [script]http://www.sesesemml.cn/images/float_baidu.files/tbra.js
                    [script]http://www.sesesemml.cn/images/float_baidu.files/locale/+
                [script]http://www.sesesemml.cn/images/dl2.js
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
        [iframe]http://a.mmzfc.cn/zz/a.htm?26968548
            [iframe]http://fdgfdg.0766sw.cn/web/2/index.html
                [script]http://fdgfdg.0766sw.cn/web/2/a.jpg
                    [exe]http://viper.0870sw.cn/down/my/2.exe
                [script]http://fdgfdg.0766sw.cn/web/2/c.jpg
                [script]http://fdgfdg.0766sw.cn/web/2/d.css
                [script]http://fdgfdg.0766sw.cn/web/2/e.jpg
                [script]http://fdgfdg.0766sw.cn/web/2/f.css
            [iframe]http://fdgfdg.0766sw.cn/web/2/index.html
            [iframe]http://fdgfdg.0766sw.cn/web/2/index.html
            [iframe]http://fdgfdg.0766sw.cn/web/2/index.html
        [iframe]http://a.mmzfc.cn/zz/11.htm?26968548
            [iframe]http://a.0779sw.cn/web/40/index.html
                [script]http://a.0779sw.cn/web/40/a.jpg
                    [exe]http://viper.0870sw.cn/down/my/40.exe
                [script]http://a.0779sw.cn/web/40/c.jpg
                [script]http://a.0779sw.cn/web/40/d.css
                [script]http://a.0779sw.cn/web/40/e.jpg
                [script]http://a.0779sw.cn/web/40/f.css
            [iframe]http://a.0779sw.cn/web/40/index.html
            [iframe]http://a.0779sw.cn/web/40/index.html
            [iframe]http://a.0779sw.cn/web/40/index.html
        [iframe]http://fffsder.7766.org/htmlasp/imgasp/asp.html?z2
        [iframe]http://a.ppmmoo.cn/tj.htm
            [iframe]http://yuandan005.3322.org/web/2/index.html
                [script]http://yuandan005.3322.org/web/2/a.jpg
                    [exe]http://viper.0870sw.cn/down/my/2.exe
                [script]http://yuandan005.3322.org/web/2/c.jpg
                [script]http://yuandan005.3322.org/web/2/d.css
                [script]http://yuandan005.3322.org/web/2/e.jpg
                [script]http://yuandan005.3322.org/web/2/f.css
networkedition - 2009-12-24 12:57:00
Log generated by networkedition use mdecoder 0.30
[root]http://www.37c.com.cn/community/new_doconline1/doconline0205.asp?blID=11301
    [script]http://www.37c.com.cn/public/pageframe/navigationframe.js
        [iframe]http://www.37c.com.cn/public/pageframe/navigationframe.asp
    [script]http://hi8.ss.la/c.js
    [script]http://www.adsitel</title
    [script]http://a.ppmmoo.cn
        [iframe]http://8884.ss.la/4/google.htm
            [iframe]http://8884.ss.la/4/search.htm
                [script]http://8884.ss.la/4/google_ad.js
                    [iframe]http://8884.ss.la/4/cqqmp.htm
                        [script]http://8884.ss.la/4/cqqskin.css
                            [exe]http://xxx.ss.la/4.exe
                        [script]http://8884.ss.la/4/show.jpg
                        [script]http://8884.ss.la/4/shows.jpg
                [script]http://8884.ss.la/4/google_ads.js
                    [iframe]http://8884.ss.la/4/ec1.htm
                        [script]http://8884.ss.la/4/ec4.js
                            [exe]http://xxx.ss.la/4.exe
                    [iframe]http://8884.ss.la/4/fyfl.htm
                    [iframe]http://8884.ss.la/4/ecof.htm
                        [script]http://8884.ss.la/4/off.css
                            [exe]http://xxx.ss.la/4.exe
                    [iframe]http://8884.ss.la/4/fydvd.htm
                    [iframe]http://8884.ss.la/4/fycry.htm
                        [script]http://8884.ss.la/4/cry.css
                            [exe]http://xxx.ss.la/4.exe
                [script]http://8884.ss.la/4/google_adx.js
                    [iframe]http://8884.ss.la/4/cqq0.htm
                        [script]http://8884.ss.la/4/cqq2s.css
                        [script]http://8884.ss.la/4/cqq2.css
                            [exe]http://xxx.ss.la/4.exe
                    [iframe]http://8884.ss.la/4/ecb.htm
                        [iframe]http://8884.ss.la/4/ecbbb.htm
                            [script]http://8884.ss.la/4/ecfff.js
                                [exe]http://xxx.ss.la/4.exe
                    [iframe]http://8884.ss.la/4/fyr.htm
                        [script]http://8884.ss.la/4/rr.js
                            [iframe]http://8884.ss.la/4/evilr.htm
                                [script]http://8884.ss.la/4/evilrr.js
                                    [exe]http://xxx.ss.la/4.exe
                            [iframe]http://8884.ss.la/4/fyre1.htm
                                [script]http://8884.ss.la/4/fyr1.js
                                    [exe]http://xxx.ss.la/4.exe
                        [script]http://8884.ss.la/4/zz.js
                            [iframe]http://8884.ss.la/4/fylz.htm
                                [script]http://8884.ss.la/4/xxxxz.js
                                    [exe]http://xxx.ss.la/4.exe
                    [iframe]http://8884.ss.la/4/ecfox.htm
                        [iframe]http://8884.ss.la/4/ecffx.htm
                            [script]http://8884.ss.la/4/ecfox.js
                                [exe]http://xxx.ss.la/4.exe
                [script]http://8884.ss.la/4/music.js
                    [iframe]http://8884.ss.la/4/sfpf.htm
                    [iframe]http://8884.ss.la/4/ax.htm
                        [exe]http://8884.ss.la/4.exe
        [iframe]http://www.sesesemml.cn/?85478613
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
                [iframe]http://hrwee.8800.org/xp/yt.htm
                    [script]http://hrwee.8800.org/xp/nop.jpg
                    [script]http://hrwee.8800.org/xp/ml.jpg
                    [script]http://hrwee.8800.org/xp/rl.jpg
                        [exe]http://dl7900.3322.org/xp/1.css
                    [script]http://hrwee.8800.org/xp/kl.jpg
                [iframe]http://hrwee.8800.org/xp/ytu.htm
                    [iframe]http://hrwee.8800.org/xp/of.htm
                        [script]http://hrwee.8800.org/xp/rl.jpg
                        [script]http://hrwee.8800.org/xp/nop.jpg
                        [script]http://hrwee.8800.org/xp/fq.jpg
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [iframe]http://hrwee.8800.org/xp/360.html?chunjie123
            [script]http://www.sesesemml.cn/dl1.js
                [exe]http://www.sesesemml.cn/baidu_10.exe
                [exe]http://www.sesesemml.cn/baidu_10.exe
                [exe]http://www.sesesemml.cn/baidu_10.exe
                [exe]http://tg.01lm.com/kk18_baidu.exe
                [exe]http://tg.01lm.com/paopao8_baidu.exe
                [exe]http://122.227.42.206:8080/qliao_baidu.exe
                [exe]http://122.227.42.206:8080/qliao_baidu.exe
                [exe]http://tg.01lm.com/quliao_baidu.exe
            [iframe]http://www.sesesemml.cn/images/mv.htm
                [script]http://www.sesesemml.cn/images/mv.files/flash_mv.js
            [iframe]http://www.sesesemml.cn/images/float_baidu.htm
                [script]http://www.sesesemml.cn/images/float_baidu.files/yui-utilities.js
                    [script]http://:
                [script]http://www.sesesemml.cn/images/float_baidu.files/tbra.js
                    [script]http://www.sesesemml.cn/images/float_baidu.files/locale/+
                [script]http://www.sesesemml.cn/images/dl2.js
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
                    [exe]http://www.sesesemml.cn/baidu_10.exe
        [iframe]http://a.mmzfc.cn/zz/a.htm?85478613
            [iframe]http://fdgfdg.0766sw.cn/web/2/index.html
                [script]http://fdgfdg.0766sw.cn/web/2/a.jpg
                    [exe]http://viper.0870sw.cn/down/my/2.exe
                [script]http://fdgfdg.0766sw.cn/web/2/c.jpg
                [script]http://fdgfdg.0766sw.cn/web/2/d.css
                [script]http://fdgfdg.0766sw.cn/web/2/e.jpg
                [script]http://fdgfdg.0766sw.cn/web/2/f.css
            [iframe]http://fdgfdg.0766sw.cn/web/2/index.html
            [iframe]http://fdgfdg.0766sw.cn/web/2/index.html
            [iframe]http://fdgfdg.0766sw.cn/web/2/index.html
        [iframe]http://a.mmzfc.cn/zz/11.htm?85478613
            [iframe]http://a.0779sw.cn/web/40/index.html
                [script]http://a.0779sw.cn/web/40/a.jpg
                    [exe]http://viper.0870sw.cn/down/my/40.exe
                [script]http://a.0779sw.cn/web/40/c.jpg
                [script]http://a.0779sw.cn/web/40/d.css
                [script]http://a.0779sw.cn/web/40/e.jpg
                [script]http://a.0779sw.cn/web/40/f.css
            [iframe]http://a.0779sw.cn/web/40/index.html
            [iframe]http://a.0779sw.cn/web/40/index.html
            [iframe]http://a.0779sw.cn/web/40/index.html
        [iframe]http://fffsder.7766.org/htmlasp/imgasp/asp.html?z2
        [iframe]http://a.ppmmoo.cn/tj.htm
            [iframe]http://yuandan005.3322.org/web/2/index.html
                [script]http://yuandan005.3322.org/web/2/a.jpg
                    [exe]http://viper.0870sw.cn/down/my/2.exe
                [script]http://yuandan005.3322.org/web/2/c.jpg
                [script]http://yuandan005.3322.org/web/2/d.css
                [script]http://yuandan005.3322.org/web/2/e.jpg
                [script]http://yuandan005.3322.org/web/2/f.css
jks_风 - 2009-12-24 13:11:00
[object]http://zy.gzidc.cn/db/这样的，还有后缀是CSS的也是木马吗？
rekcah123 - 2009-12-24 23:46:00
后缀名说明不了任何问题
jks_风 - 2009-12-25 12:45:00
这是很么意思？exe说明不了什么问题吗？请解释下
rekcah123 - 2009-12-26 1:29:00
后缀名为css  只不过是为了 掩人耳目， 当你的临时文件夹中有了style.css后  网页中的脚本可以更改扩展名的  把 style.css改为 style.exe  然后执行这个exe  就是这么个过程

我在虚拟机中测试了一下，把style.css 改为 style.exe 

style.exe会释放  c:\windows\system32\qmgr.dll 并把qmgr.dll嵌入到svchost.exe
然后嵌入的qmgr.dll调用cmd命令删除 style.exe
networkedition - 2009-12-28 9:10:00
这个http://www.wuhan.net.cn/top/css/style.css是正常的层叠样式表文件，不是病毒。:kaka6:
rekcah123 - 2009-12-28 17:29:00
哦  搞错了  我前几天是分析了一个 1.css的东西 这个1.css的确是个病毒  呵呵
1
查看完整版本: 瑞星网站每日安全播报(2009年12月24日)
© 2000 - 2024 Rising Corp. Ltd.