木马速进~

血虎帘子 · 发表于 2007-9-23 16:38

你的网站又被植入木马了，是个PHP脚本漏洞木马，打开你的网站就自动往客户终端下载~
我大体分析了一下：
木马下载程序为F77B20D5.EXE，下载后在系统32目录下自动生成管理项为FB000E3A的DLL加载文件，随系统启动~
如果此时仍与WAN连接，则木马后门会启动该木马程序，对客户终端信息大面积感染，最终生成病毒（特征MS征途木马）~

我可是以我自己的电脑中毒为代价帮你分析的！可恶的网络木马和病毒！害我又花大量时间和精力手工清除！

望你抓紧时间处理一下~

木马巴士 · 发表于 2007-9-23 20:37

别人有中的吗？我这里没有发现，PHP脚本的漏洞对ASP也管用吗？

木马巴士 · 发表于 2007-9-24 20:09

还有遇到这种情况的吗？

血虎帘子 · 发表于 2007-9-24 21:39

我今天采了木马样本分析了一下，被恶意嵌在你主页的其实就是个老掉牙的8位木马下载程序，还是老样子，技术上也没什么新意，这个恶意程序是在被感染用户端系统后台悄悄运行的，并自动注册为系统服务程序，故在该程序未被激活前（指未开始从后门端下载病毒）没有专业知识的人发现它的概率基本为零~但是一旦该程序被激活，危害性就出来了，到时候也基本晚了~
你可以查看一下你的系统服务项，里面是不是有一个FB000E3A的未知服务，如果有则说明该恶意程序已存在于你的电脑里，随时有可能被激活~至于这个程序的激活方式我还未搞清楚，估计以双击某盘符或连接到特定网站为激活钥~

木马巴士 · 发表于 2007-9-24 21:52

我还是不明白，我的程序是ASP，PHP脚本对它管用吗？
这个木马程序的代码是什么？

血虎帘子 · 发表于 2007-9-24 22:04

跟这个无耻下载者的特征相似，下面是无耻下载者的样本分析，你可以按此分析下：

无耻下载者
文件: C:\Documents and Settings\Administrator\桌面\874EEF_(1)vip[1].exe
大小: 21547 字节
修改时间: 2005年8月19日星期五, 17:33:40
MD5: 874EEF9A6FE15239E84824104B293FC7
SHA1: 2013449806A61C1E34C50BCEFD4F3.57AA5D4340B
CRC32: E7A99753
aspack的壳特点就是跳来跳去（自己的体会）！调试者稍不注意很容易将程序运行。字串8
OD载入来到这里。（练下脱壳，就不用ESP定律了）
0040F001 >  60             PUSHAD //F8马上会马上运行，
0040F002 E8 03000000    CALL 874EEF_(.0040F00A
0040F007  - E9 EB045D45    JMP 459DF4F7
0040F00C 55             PUSH EBP //F4来到这里
0040F00D C3             RETN    //F8到此，情况与上面相同
0040F00E E8 01000000    CALL 874EEF_(.0040F014
0040F013 EB 5D          JMP SHORT 874EEF_(.0040F072
0040F015 B.B EDFFFFFF    MOV EBX,-13  //F4到这里
0040F01A 03DD          ADD EBX,EBP
0040F01C 81EB 00F00000 SUB EBX,0F000 字串8
0040F022 83BD 22040000 0>CMP DWORD PTR SS:[EBP+422],0
0040F029 899D 22040000 MOV DWORD PTR SS:[EBP+422],EBX
0040F02F 0F85 65030000 JNZ 874EEF_(.0040F39A
0040F035 8D85 2E040000 LEA EAX,DWORD PTR SS:[EBP+42E]
0040F03B 50             PUSH EAX
0040F03C FF95 4D0F0000 CALL DWORD PTR SS:[EBP+F4D]
0040F042 8985 26040000 MOV DWORD PTR SS:[EBP+426],EAX  //为防止运行，直接F4
         ……………………………………………………///中间省略，常规调试，一直F8，遇callF4
0040F13F 49             DEC ECX
0040F140  ^ EB EB          JMP SHORT 874EEF_(.0040F12D  //回跳。避免
字串3
0040F142 8B06          MOV EAX,DWORD PTR DS:[ESI] //F4到这里
0040F144 /EB 00          JMP SHORT 874EEF_(.0040F146
0040F146 \803E 01       CMP BYTE PTR DS:[ESI],1
0040F149  ^ 75 F3          JNZ SHORT 874EEF_(.0040F13E
0040F14B 24 00          AND AL,0
0040F14D C1C0 18       ROL EAX,18
0040F150 2BC3          SUB EAX,EBX
0040F152 8906          MOV DW.ORD PTR DS:[ESI],EAX
0040F154 83C3 05       ADD EBX,5
0040F157 83C6 04       ADD ESI,4
0040F15A 83E9 05       SUB ECX,5 字串5
0040F15D  ^ EB CE          JMP SHORT 874EEF_(.0040F12D
0040F15F 5B             POP EBX       //F4运行到这里
                                          继续F8过，见跳自动跳到这里
0040F19D 83C6 08       ADD ESI,8
0040F1A0 833E 00       CMP DWORD PTR DS:[ESI],0
0040F1A3  ^ 0F85 1EFFFFFF JNZ 874EEF_(.0040F0C7
0040F1A9 68 00800000    PUSH 8000    //F4到这里,继续F8
0040F376 8907          MOV DWORD PTR DS:[EDI],EAX
0040F378 8385 49050000 0>ADD DWORD PTR SS:[EBP+549],4 字串5
0040F37F  ^ E9 32FFFFFF    JMP 874E.EF_(.0040F2B6
0040F384 8906          MOV DWORD PTR DS:[ESI],EAX //F4到这里,继续F8
0040F386 8946 0C       MOV DWORD PTR DS:[ESI+C],EAX
0040F389 8946 10       MOV DWORD PTR DS:[ESI+10],EAX
0040F38C 83C6 14       ADD ESI,14
0040F38F 8B95 22040000 MOV EDX,DWORD PTR SS:[EBP+422]
0040F395  ^ E9 EBFEFFFF    JMP 874EEF_(.0040F285
0040F39A B8 AF210000    MOV EAX,21AF //F4到这里,F8继续走
0040F39F 50             PUSH EAX
0040F3A0 0385 22040000 ADD EAX,DWORD PTR SS:[EBP+422]
0040F3A6 59             POP ECX
字串7
0040F3A7 0BC9          OR ECX,ECX
0040F3A9 8985 A8030000 MOV DWORD PTR SS:[EBP+3A8],EAX
0040F3AF 61             POPAD       //注意这里，应该马上就到OEP了。
0040F3B0 75 08          JNZ SHORT 8.74EEF_(.0040F3BA  //马上就跳到程序入口点了，继续走
来到入口点：
成功脱壳!VC写的
运行病毒后，使用SREng扫描日志，打开失败。
QQ也无法运行，提示.TIMplatform错误。
打开IE，主页被更改为nba.916kk.com,此时开始链接毒网下马，可惜没有仔细观察。然后自动跳转至百度，掩人耳目。
成功植入系统后，在各分区生成如下文件，通过U盘传播，通过双击盘符激动病毒！字串6
X:\Autorun.inf----X代表各分区
X:\auto.exe
在C盘根目录生成ggkb.bat
该批处理文件将系统时间改为：2005-01-18（未见实现）
连续ping 127.0.0.143次
通过更改系统时间使卡巴斯基反病毒软件6.0无法使用
system\currentcontrolset\services\添加.注册表项，将自身注册为系统服务(见日志的随机服务)
将成功植入文件后通过生成的delme.bat，检测是否存在ggkb.bat,如果存在将自身删除。
链接毒网，下载流行木马若干！（列举不全，实在是太多，汗。。。。）
C:\windows\system32\TempA.exe
C:\windows\system32\TempB.exe
C:\windows\system32\TempC.exe
C:\windows\system32\F77B20D5.EXE
C:\windows\Kvsc3.exe
C:\windows\mppds.exe
C:\windows\LYLoader.exe
C:\windows\LYLoadbr.exe
C:\windows\LYLeador.exe
C:\windows\LYLoador.exe
C:\windows\LYLoader.exe
C:\windows\LYLoadmr.exe
C:\windows\LYLoadhr.exe
C:\windows\LYLoadqr.exe
C:\windows\system32\zxgpri.dll
C:\windows\system32\dhdpri.dll
C:\windows\system32\system.dat 字串4
C:\windows\system.32\F77B20D5.EXE
C:\windows\system32\2DD519ED.EXE
C:\windows\system32\msdebug.dll
C:\windows\srcsvc.exe
C:\WINDOWS\system32\giveio.sys
C:\WINDOWS\System32\DRIVERS\vlps.sys
***********************************************************
SREng日志中的异常项
启动项目
注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
＜Kvsc3＞＜C:\windows\Kvsc3.exe＞  []
＜mppds＞＜C:\windows\mppds.exe＞  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
＜AppInit_DLLs＞＜dhdpri.dll＞  []
[HKEY_LOCAL_MACHINE\SOF.TWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
＜{5D83AD9C-3BFC-43F5-979D-2904DBC54A8E}＞＜C:\Program Files\Internet Explorer\PLUGINS\WinSys64.Sys＞  []
＜{42311A42-AC1B-158F-FD32-5674345F23A4}＞＜C:\WINDOWS\system32\dhdpri.dll＞  []
字串1
＜{5EED7056-B89D-4DE8-A060-D285EA746799}＞＜C:\WINDOWS\Netijo.dll＞  []
＜{7A65498A-7653-9801-1647-987114AB7F47}＞＜C:\WINDOWS\system32\zxgpri.dll＞  []
＜{ACADABAF-0000-0010-8000-10AA006D2EA4}＞＜C:\windows\system32\system.dat＞  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
＜MSDEG32＞＜LYLoader.exe＞  []
＜MSDWG32＞＜LYLoadbr.exe＞  [N/A]
＜MSDCG32 ＞＜LYLeador.exe＞  [N/A]
＜MSDOG32＞＜LYLoador.exe＞  [N/A]
＜MSDSG32＞＜LYLoadar.exe＞  [N/A]
＜MSDMG32＞＜LYLoadmr.exe＞  [N/A]
＜MSDHG32＞＜LYLoadhr.exe＞  [N/A]
＜MSDQG32＞＜LYLoadqr.exe＞  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
＜AppInit_DLLs＞＜zxgpri.dll＞  [] 字串4
==================================
服务
[FB000E3A / FB000E3A][Sto.pped/Auto Start]
  ＜C:\windows\system32\F77B20D5.EXE -k＞＜Microsoft Corporation＞
[Remote Debug Service / RemoteDbg][Stopped/Auto Start]
  ＜C:\WINDOWS\system32\rundll32.exe RemoteDbg.dll,input＞＜Microsoft Corporation＞
[AEA6EAEC / AEA6EAEC][Stopped/Auto Start]
  ＜C:\windows\system32\2DD519ED.EXE -p＞＜N/A＞
[SRCSVC / SRCSVC][Stopped/Auto Start]
  ＜C:\windows\srcsvc.exe＞＜N/A＞
[Win32 Debug Service / MSDebugsvc][Stopped/Auto Start]
  ＜C:\windows\system32\rundll32.exe msdebug.dll,input＞＜Microsoft Corporation＞
==================================
驱动程序
[giveio / giveio][Running/Auto Start]
  ＜\??\C:\WINDOWS\system32\giveio.sys＞＜N/A＞
[jdom8b / jdom8b2][Running/Boot Start]
  ＜\SystemRoot\System32\DRIVERS\jdom8b2.sys＞＜N/A＞
[jh66 / jh66][Running/Manual Start]
  ＜2 - 系统找不到指定的文件。字串2
＞＜N/A＞
[vlps / vlps][Running/Boot .Start]
  ＜\SystemRoot\System32\DRIVERS\vlps.sys＞＜N/A＞
[wgjd / wgjd][Running/Auto Start]
  ＜\??\C:\WINDOWS\system32\drivers\wgjd.sys＞＜N/A＞
==================================
该部分实在是太多，就不帖了，下面这些垃圾见进程就插（包括关键的系统进程在内）
[C:\WINDOWS\system32\dhdpri.dll]  [N/A, ]
[C:\WINDOWS\system32\B88D40BA.DLL]  [Microsoft Corporation, ]
[C:\WINDOWS\system32\zxgpri.dll]  [N/A, ]
[C:\WINDOWS\system32\FF7E9A3C.DLL]  [Microsoft Corporation, ]
[C:\Program Files\Internet Explorer\PLUGINS\WinSys64.Sys]  [N/A, ]
[C:\WINDOWS\winow.dll]  [N/A, ]
[C:\WINDOWS\system32\system.dat]  [N/A, ]
[C:\Program Files\WinRAR\rarext.dll]  [N/A, ]
[C:\WINDOWS\syste.m32\Kvsc3.dll]  [N/A, ] 字串5
[C:\WINDOWS\Netijo.dll]  [N/A, ]
[C:\WINDOWS\system32\upxdnd.dll]  [N/A, ]
[C:\WINDOWS\system32\zeroexplorer.dat]  [N/A, ]
[C:\WINDOWS\system32\LYMANGR.DLL]  [N/A, ]
[C:\WINDOWS\system32\mppds.dll]  [N/A, ]
==================================
Autorun.inf
[C:\]
[AutoRun]
open=auto.exe
shellexecute=auto.exe
shell\Auto\command=auto.exe
[D:\]
[AutoRun]
open=auto.exe
shellexecute=auto.exe
shell\Auto\command=auto.exe
[E:\]
[AutoRun]
open=auto.exe
shellexecute=auto.exe
shell\Auto\command=auto.exe

木马巴士 · 发表于 2007-9-24 23:13

你能从我网站的程序里找到病毒样本吗？

血虎帘子 · 发表于 2007-9-25 12:58

我是前天中毒后安全模式下备份的木马样本，重新做完系统后把样本就删除了~我可不想再中一次了！

木马巴士 · 发表于 2007-9-25 13:15

事情真蹊跷

帐号		自动登录	找回密码
密码			注册