蚊香小栈

出处：安天病毒分析组          2008-04-16 12:15



内容：

　　4月16日，安天实验室发现，酷狗网(http://www.kugoo.com/home/)被黑客植
入病毒，用户如果访问该网站，系统就会自动从恶意网站上下载并运行恶意程序。被
感染病毒的用户系统可能被远程控制，盗取用户敏感信息。甚至导致死机。
　　该网站问题代码：
　

　　src="http://ring.kugou.com/cairing/BuildJs/HomePH.aspx"
　　http://ring.kugou.com/cairing/BuildJs/HomePH.aspx
　　问题框架代码：

　　
　　
　　
　　http://s12.bmwup.com/tmp.htm
　　问题框架代码：
　　


　　
　　http://s12.bmwup.com/count.js
　　问题框架代码：
　
　

　　
　　http://s12.bmwup.com/test.htm
　　问题框架代码：
　

　　
　　
　　http://xxx3.uuu666.net/q66.html
　　问题框架代码：
　

　　http://xxx3.uuu666.net/news1.html网马代码：
　

　
　　该加密网马解密后可知利用以下漏洞来传播：
　　MS06014漏洞 (clsid:BD96C556-65A3-11D0-983A-00C04FC29E36)
　　暴风影音播放器MPS.StormPlayer漏洞
　　RealPlayer播放器IERPCtl.IERPCtl.1漏洞
　　迅雷漏洞
　　百度搜霸漏洞
　　联众世界游戏大厅所安装的GLCHAT.GLChatCtrl.1 ActiveX控件漏洞
　　当用户运行酷狗2007或访问酷狗网(http://www.kugoo.com/home/)时，
　　系统会自动下载以下病毒文件：
　　http://aa1.us-ok.com/down/1.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.zso)
　　http://aa1.us-ok.com/down/2.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.zso)
　　http://aa1.us-ok.com/down/3.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aafp)
　　http://aa1.us-ok.com/down/4.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aaf)
　　http://aa1.us-ok.com/down/5.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.zjk)
　　http://aa1.us-ok.com/down/6.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.anv)
　　http://aa1.us-ok.com/down/7.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.anv)
　　http://aa1.us-ok.com/down/8.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aadu)
　　http://aa1.us-ok.com/down/9.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.zso)
　　http://aa1.us-ok.com/down/10.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aaog)
　　http://aa2.us-ok.com/down/11.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aadz)
　　http://aa2.us-ok.com/down/12.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aafo)
　　http://aa2.us-ok.com/down/13.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aaed)
　　http://aa2.us-ok.com/down/14.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aaed)
　　http://aa2.us-ok.com/down/15.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aaed)
　　http://aa2.us-ok.com/down/16.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aaog)
　　http://aa2.us-ok.com/down/17.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aaig)
　　http://aa2.us-ok.com/down/18.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aaog)
　　http://aa2.us-ok.com/down/19.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aaog)
　　http://aa2.us-ok.com/down/20.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aafa)
　　http://aa3.us-ok.com/down/21.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aafa)
　　http://aa3.us-ok.com/down/22.exe
　　病毒名：(Trojan-Downloader.Win32.Tiny.anv)
　　http://aa3.us-ok.com/down/23.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aafa)
　　http://aa3.us-ok.com/down/24.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.xmp)
　　http://aa3.us-ok.com/down/25.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.xmp)
　　http://aa3.us-ok.com/down/26.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aaes)
　　http://aa3.us-ok.com/down/27.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.xmp)
　　http://aa3.us-ok.com/down/28.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aasp)
　　http://aa3.us-ok.com/down/29.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.zvr)
　　http://aa3.us-ok.com/down/30.exe
　　病毒名：(Trojan-Downloader.Win32.Tiny.anv)
　　http://aa3.us-ok.com/down/31.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.yip)
　　http://aa3.us-ok.com/down/32.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aafg)
　　http://aa3.us-ok.com/down/33.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aafq)
　　http://aa3.us-ok.com/down/34.exe
　　病毒名：(Trojan-PSW.Win32.OnLineGames.aafq)
　　以上病毒文件为下载者木马和游戏盗号木马，自动运行后将会，
盗取用户敏感信息，甚至导致死机。由于下载数量太多，这里不一一分析。