[求救] 點了MSN傳的不明連結

[lieono2 (貪吃鬼)]

1. 敘述問題：

　　收到網友的不明訊息，而且不小心點了下去：
　　「looooool
　　　hxxp://img17.photosbucket.org:81/albums/pp036/DSC20090915.JPG」
　　以上連結請勿嘗試↑
　　網友事後說的確是中毒。
　　當初看到副檔名是.JPG，而且開頭是img17.photosbucket.org，以為是分享圖片。

2. 系統資料：

    使用的作業系統 Windows XP SP3
　  使用的防毒軟體 Kaspersky 6.0

3. 分析報告：

　　因為時間因素，有先用 EFix、Spybot、卡巴6.0 掃了一下，均無發現威脅。
　　三份報告已補上，目前使用電腦上並無異狀，不過還是先來這邊報到了，
　　最後謝謝那麼晚還沒睡的眾高手～Orz

　　Combofix報告：
　　http://sun.cis.scu.edu.tw/~92a39/upload/36454.txt

    Hijackthis  ：
    http://sun.cis.scu.edu.tw/~92a39/upload/36455.txt

    SRENG       ：
    http://sun.cis.scu.edu.tw/~92a39/upload/36456.txt

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 163.25.118.141
推 TypeZero:沒想到我竟然接受這個理由了-  -"
→ lieono2:抱歉ˊˋ目前還在用卡巴做全系統掃瞄
推 TypeZero:卡八最後沒關係，最重要得那三個先
推 junorn:這個又是新的...這幾天又多一堆.
※ 編輯: lieono2         來自: 163.25.118.141       (09/17 01:18)
※ 編輯: lieono2         來自: 163.25.118.141       (09/17 01:22)
推 TypeZero:樣本…  樣本…
※ 編輯: lieono2         來自: 163.25.118.141       (09/17 01:29)
推 junorn:我整理一下明天給您囉
推 KarasuTW:還是一樣偽裝成安裝後清除舊檔的低調方式 = =+
→ KarasuTW:點到還沒重開機的請直接使用 ATFcleaner 清除 temp
→ lieono2:剛辜狗了一下，發現hxxp://photobucket.com/
→ lieono2:這個才是正確的圖片空間網站，自己還有在用，
→ lieono2:沒仔細看假網址還真的沒注意多了個s...
→ sillycc:http://sun.cis.scu.edu.tw/~92a39/upload/36460.txt
→ sillycc:s0urce.crkrxer.net:60500 有空的人幫一下吧Q_Q
推 VictorTom:這~~老實說看到.jpg小弟也會比較沒戒心說....
→ VictorTom:請問點那個看起來是圖片的超連結就會直接中招了嗎@_@"
推 TypeZero:副檔名隨他打的～ 只要用Rewrite就可以認他改
推 TypeZero:比如說副檔名是mp3    其實本體是php
推 TypeZero:                                瀏覽器仍然會以php跑它
推 KarasuTW:也不一定要這樣搞～ 例如我做一個動態網頁叫做 album
→ KarasuTW:(用 CGI 透過 #! 呼叫直譯器) 後面的路徑都可視為參數
推 KarasuTW:原 PO 你點這個網址以後有下載檔案並執行嗎？
→ KarasuTW:只有下載的話把載下來的 EXE 檔幹掉就好，沒有下載就沒事
推 phone875:怕的是下載後 又執行..
推 VictorTom:所以說基本上是假圖片連結真檔案下載, 下載回來萬一沒
→ VictorTom:注意真的執行了它 / 或者它開出帳密登入的網頁結果把自
→ VictorTom:己帳密打了, 這樣才會中招對吧(雖然這兩種招不太一樣@@)
→ lieono2:嗯，點進去之後我沒下載東西就關掉了~感謝解答~
推 xxfiles:昨天有同事也重類似病毒 結果無法上網 用公司的OfficeScan
→ xxfiles:掃不到病毒 後來就直接用winsock fix 目前可正常使用
→ xxfiles:只是這個未爆彈不知何時會爆炸 :P
推 junorn:to sillycc: 我那腳本不支援環境變數啦冏>
推 sillycc:大冏...