解读网站被挂其中木马分析js+eval实现

在FF看到这消息.. 于是就把网页解开了..
原来是"老朋友"刺客集团 .. 已经多次和这个集团生成的网马打交道了..

其中挂上一个木马
hxxp://www.es86.com/pic/ddb/2006692151148920.gif

就此做个分析吧..
运行样本.
释放文件
C:\win30.exe
调用cmd 运行命令 /c net stop sharedaccess

访问网站
61.129.102.79
地址应该是:hxxp://www.es86.com 80端口通讯

下载:hxxp://www.es86.com/es86/db/dvbbs.mdb
此文件为rar 文件..

dvbbs.mdb 释放出文件为
C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\bots\vinavbar\eCompress.fne
C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\bots\vinavbar\eImgConverter.fne
C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\bots\vinavbar\eLIB.fne
C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\bots\vinavbar\HideProc.dll
C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\bots\vinavbar\internet.fne
C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\bots\vinavbar\krnln.fnr
C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\bots\vinavbar\mop
C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\bots\vinavbar\moz
C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\bots\vinavbar\Nhook.dll
C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\bots\vinavbar\shell.fne
C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\bots\vinavbar\svchost.exe

写入注册表
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"svchost"="C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\bots\vinavbar\svchost.exe"

在 htm 和 aspx 尾部加入代码


解密为


在线扫描
AntiVir 7.3.1.38 03.02.2007 TR/Crypt.NSPM.Gen 
BitDefender 7.2 03.02.2007 DeepScan:Generic.Malware.PWYddldPk.D212BB22 
eSafe 7.0.14.0 02.28.2007 suspicious Trojan/Worm 
F-Secure 6.70.13030.0 03.02.2007 W32/Downloader 
Ikarus T3.1.1.3 03.02.2007 Backdoor.Win32.Hupigon.BV 
NOD32v2 2090 03.02.2007 a variant of Win32/Delf.AG 
Norman 5.80.02 03.02.2007 W32/Downloader 
Panda 9.0.0.4 03.01.2007 Suspicious file 

以上分析都在虚拟机里完成的..
这次加的壳实在脱不开..无法查看更详细..

不过猜测 编写语言为 Borland Delphi 6.0 - 7.0
尝试关闭一些安全软件 估计也有..

=.= 再此感叹..这什么破壳..

你可能感兴趣的:(解读网站被挂其中木马分析js+eval实现)