【木馬】最近流行的網頁木馬#3(有樣本會繼續丟到滿)

一樣是會盜帳號／密碼，還可能順便盜其他資料的馬。(例如：信用卡資料／個人數位憑證)

因為之前1隻馬就發一篇文章，實在是太佔據版面，所以以後的馬都會養在這，養到住不下，再另開農場。:D

[B][COLOR="Blue"]2007.3.14 新增 tw 跟 foot 兩隻木馬。
2007.3.15 新增 gh 小變種木馬。(gh-2)
[/COLOR][/B]
[COLOR="Green"]2007.3.15 回存 "[email protected]" 內的 tw.js 檔案(雖然卡巴斯基自動回信處理系統回報無毒，但不代表真的沒有問題)。[/COLOR]
[COLOR="Red"][SIZE="4"]PS. 如果你的防毒軟體偵測不到，請幫忙回報。[/SIZE][/COLOR]
[U]下面的木馬樣本大部分都是參考 [B]大砲開講[/B] 跟 [B]網路攻防戰[/B] 這兩個部落格所提供的最新消息。[/U]

你是怎麼收集的啊

樣本收集很簡單
大陸的防軟論壇都提供一堆病毒樣本,AVP　ＣＬＵＢ裡就有很多
要不然外掛多去下載也很容易就可以找到病毒

[QUOTE=天氣預報;955512]你是怎麼收集的啊[/QUOTE]

大砲開講 跟 網路攻防戰 這兩個部落格都會提供消息；另外可能是自己不小心逛到的，認真一點的話，可以去真正的駭客站台得知有哪些網站被駭。(說實話，我沒那麼閒，這應該是防毒軟體公司的義務吧？)

至於收集方法嘛？我是心臟比較大顆兼不專業，直接開IE去有毒的網頁抓。(沒用測試系統／還原系統，也沒用sandbox)

Object: gmsex.exe
Path: C:\_v5\self@web
Status: Virus detected
Virus: Trojan-PSW.Win32.OnLineGames.jv (KAV engine)
Object: self.htm
Path: C:\_v5\self@web
Status: Virus detected
Virus: Trojan-Downloader.VBS.Agent.v (KAV engine)
Object: hot.htm
Path: C:\_v5\hot@web
Status: Virus detected
Virus: Trojan-Downloader.VBS.Psyme.fe (KAV engine), Exploit.ADODB.Stream.CR (BD-Engine)
Object: svch1.exe
Path: C:\_v5\hot@web
Status: Virus detected
Virus: Trojan-PSW.Win32.Maran.cx (KAV engine), Generic.Malware.FB.9306A066 (BD-Engine)
Analysis complete: 2007/3/11 上午 08:50
4 files checked
4 infected files detected
0 suspected files detected

avg7.5
[IMG]http://img260.imageshack.us/img260/7453/000xa0.jpg[/IMG]

NOD32 在一開始下載時就都有反應喔！

2007.3.14 新增 tw 跟 foot 兩隻木馬。

[QUOTE=大灰芒果;956151]2007.3.14 新增 tw 跟 foot 兩隻木馬。[/QUOTE]
Kaspersky 6.0.1.411

Signatures Date:2007/3/14

無法辨識。

[QUOTE=大灰芒果;956151]2007.3.14 新增 tw 跟 foot 兩隻木馬。[/QUOTE]

雨傘
Starting the file scan:

Begin scan in 'F:\test\[email protected]'
F:\test\[email protected]
[0] Archive type: ZIP
--> foot.js
[DETECTION] Contains signature of the exploits [COLOR="Red"]EXP/Agent.B[/COLOR]
[WARNING] The file was ignored!


Starting the file scan:

Begin scan in 'F:\test\[email protected]'
F:\test\[email protected]
[0] Archive type: ZIP
--> tw.htm
[DETECTION] Contains signature of the Java script virus [COLOR="Red"]JS/Dldr.Nilag.bij.1[/COLOR]
[WARNING] The file was ignored!

丟到VT上如下：
[IMG]http://sula2266.myweb.hinet.net/av1.JPG[/IMG]
[IMG]http://sula2266.myweb.hinet.net/av2.JPG[/IMG]