요즘 중국 사이트에서 악성코드가 삽입되는 사이트를 하루에 하나씩 보는거 같다. 오늘도 메일을 받던중 악성코드 사이트로 연결되는 사이트를 발견하였다. 이번에도 코드 자체가 평소와 같아서 사이트에서 최종파일 칮기란 매우 쉬웠다. 최종파일의 역활은 아직까지 하는것은 모르겠지만 안랩에서는 ASD로 때려 잡았다 !
코드의 앞부분과 뒷부분은 어제와 마찬가지로 '+' 만 빼고 한다면 쉽게 최종파일까지 근접할수 있을것이다.
%u5858%u5858%u10EB%u4B5B%uC'+'933%uB96'+'6%u03B8%u34'+'80%uBD0B%uFA'+'E2%u05E'+'B%uEBE8 (중략) %uc9c9%u87cd%u9292%ucece%u93ce%ud8ce%u84ce%uce84%ude93%u87d3%u8585%uc592%u9388%uc5d8%ubdd8%ubdbd%uEAEA%uEAEA%uEAEA%uEAEA 이런식으로 나와 있다.
이걸 해석 하여야만 최종 파일인 http://sXs.sXs99X.cn:88/x5.exe 파일을 다운 받을수 있다 !!
[바이러스 토탈]
코드의 앞부분과 뒷부분은 어제와 마찬가지로 '+' 만 빼고 한다면 쉽게 최종파일까지 근접할수 있을것이다.
%u5858%u5858%u10EB%u4B5B%uC'+'933%uB96'+'6%u03B8%u34'+'80%uBD0B%uFA'+'E2%u05E'+'B%uEBE8 (중략) %uc9c9%u87cd%u9292%ucece%u93ce%ud8ce%u84ce%uce84%ude93%u87d3%u8585%uc592%u9388%uc5d8%ubdd8%ubdbd%uEAEA%uEAEA%uEAEA%uEAEA 이런식으로 나와 있다.
이걸 해석 하여야만 최종 파일인 http://sXs.sXs99X.cn:88/x5.exe 파일을 다운 받을수 있다 !!
[바이러스 토탈]
| 검사 파일: xi05.htm 전송 시각: 2010.07.08 04:34:52 (UTC) | |||
| 안티바이러스 | 엔진 버전 | 정의 날짜 | 검사 결과 |
| a-squared | 5.0.0.31 | 2010.07.08 | Exploit.JS.ShellCode!IK |
| AhnLab-V3 | 2010.07.08.00 | 2010.07.07 | - |
| AntiVir | 8.2.4.10 | 2010.07.07 | HTML/Shellcode.Gen |
| Antiy-AVL | 2.0.3.7 | 2010.07.08 | - |
| Authentium | 5.2.0.5 | 2010.07.08 | JS/Cosmu.A |
| Avast | 4.8.1351.0 | 2010.07.07 | JS:CVE-2010-0806-AK |
| Avast5 | 5.0.332.0 | 2010.07.07 | JS:CVE-2010-0806-AK |
| AVG | 9.0.0.836 | 2010.07.08 | Exploit.Aurora |
| BitDefender | 7.2 | 2010.07.08 | - |
| CAT-QuickHeal | 11.00 | 2010.07.08 | - |
| ClamAV | 0.96.0.3-git | 2010.07.08 | - |
| Comodo | 5354 | 2010.07.08 | - |
| DrWeb | 5.0.2.03300 | 2010.07.08 | - |
| eSafe | 7.0.17.0 | 2010.07.07 | JS.ShellCode.Aurora |
| eTrust-Vet | 36.1.7691 | 2010.07.07 | JS/CVE-2008-0015!exploit |
| F-Prot | 4.6.1.107 | 2010.07.07 | JS/Cosmu.A |
| F-Secure | 9.0.15370.0 | 2010.07.08 | - |
| Fortinet | 4.1.133.0 | 2010.07.07 | - |
| GData | 21 | 2010.07.08 | JS:CVE-2010-0806-AK |
| Ikarus | T3.1.1.84.0 | 2010.07.08 | Exploit.JS.ShellCode |
| Jiangmin | 13.0.900 | 2010.07.07 | - |
| Kaspersky | 7.0.0.125 | 2010.07.08 | Exploit.JS.Agent.bab |
| McAfee | 5.400.0.1158 | 2010.07.08 | - |
| McAfee-GW-Edition | 2010.1 | 2010.07.05 | Heuristic.BehavesLike.JS.Suspicious.A |
| Microsoft | 1.5902 | 2010.07.08 | Exploit:JS/ShellCode.Z |
| NOD32 | 5260 | 2010.07.07 | JS/Exploit.CVE-2010-0806.A |
| Norman | 6.05.11 | 2010.07.07 | HTML/Agent.BG |
| nProtect | 2010-07-07.02 | 2010.07.07 | - |
| Panda | 10.0.2.7 | 2010.07.07 | - |
| PCTools | 7.0.3.5 | 2010.07.07 | Downloader.Generic |
| Prevx | 3.0 | 2010.07.08 | - |
| Rising | 22.55.02.04 | 2010.07.07 | Hack.Exploit.Script.JS.Agent.ju |
| Sophos | 4.54.0 | 2010.07.08 | - |
| Sunbelt | 6557 | 2010.07.07 | - |
| Symantec | 20101.1.0.89 | 2010.07.08 | Downloader |
| TheHacker | 6.5.2.1.309 | 2010.07.07 | - |
| TrendMicro | 9.120.0.1004 | 2010.07.08 | - |
| TrendMicro-HouseCall | 9.120.0.1004 | 2010.07.08 | Expl_ShellCodeSM |
| VBA32 | 3.12.12.6 | 2010.07.07 | - |
| ViRobot | 2010.6.29.3912 | 2010.07.08 | - |
| VirusBuster | 5.0.27.0 | 2010.07.07 | - |
| 추가 정보 | |||
| File size: 4134 bytes | |||
| MD5...: e5eb7e0a754c1316b7ee897caba4d391 | |||
| SHA1..: 1b73e8fb7310665613b6ce913ab5afb60bf5e983 | |||
| SHA256: ed4989eda720d6fef0536965de85aa27498773f7c3f5827f13583c64e987c868 | |||
| 검사 파일: x5.exe 전송 시각: 2010.07.08 04:34:50 (UTC) | |||
| 안티바이러스 | 엔진 버전 | 정의 날짜 | 검사 결과 |
| a-squared | 5.0.0.31 | 2010.07.08 | Trojan-Downloader.Win32.Geral!IK |
| AhnLab-V3 | 2010.07.08.00 | 2010.07.07 | Packed/Upack |
| AntiVir | 8.2.4.10 | 2010.07.07 | TR/Crypt.XDR.Gen |
| Antiy-AVL | 2.0.3.7 | 2010.07.08 | - |
| Authentium | 5.2.0.5 | 2010.07.08 | W32/Virut.AI!Generic |
| Avast | 4.8.1351.0 | 2010.07.07 | Win32:Driller |
| Avast5 | 5.0.332.0 | 2010.07.07 | Win32:Driller |
| AVG | 9.0.0.836 | 2010.07.08 | - |
| BitDefender | 7.2 | 2010.07.08 | Gen:Trojan.Heur.ciGeI11CMZh |
| CAT-QuickHeal | 11.00 | 2010.07.08 | (Suspicious) - DNAScan |
| ClamAV | 0.96.0.3-git | 2010.07.08 | - |
| Comodo | 5354 | 2010.07.08 | Heur.Packed.Unknown |
| DrWeb | 5.0.2.03300 | 2010.07.08 | Trojan.NtRootKit.9259 |
| eSafe | 7.0.17.0 | 2010.07.07 | - |
| eTrust-Vet | 36.1.7691 | 2010.07.07 | - |
| F-Prot | 4.6.1.107 | 2010.07.07 | W32/Virut.AI!Generic |
| F-Secure | 9.0.15370.0 | 2010.07.08 | Gen:Trojan.Heur.ciGeI11CMZh |
| Fortinet | 4.1.133.0 | 2010.07.07 | - |
| GData | 21 | 2010.07.08 | Gen:Trojan.Heur.ciGeI11CMZh |
| Ikarus | T3.1.1.84.0 | 2010.07.08 | Trojan-Downloader.Win32.Geral |
| Jiangmin | 13.0.900 | 2010.07.07 | TrojanDownloader.Geral.byt |
| Kaspersky | 7.0.0.125 | 2010.07.08 | Trojan-Downloader.Win32.Geral.vng |
| McAfee | 5.400.0.1158 | 2010.07.08 | Artemis!3D42ECA5339A |
| McAfee-GW-Edition | 2010.1 | 2010.07.05 | Heuristic.BehavesLike.Win32.Packed.A |
| Microsoft | 1.5902 | 2010.07.08 | TrojanDownloader:Win32/Dogrobot.D |
| NOD32 | 5260 | 2010.07.07 | a variant of Win32/AntiAV.NGR |
| Norman | 6.05.11 | 2010.07.07 | W32/Suspicious_U.gen |
| nProtect | 2010-07-07.02 | 2010.07.07 | - |
| Panda | 10.0.2.7 | 2010.07.07 | W32/Spamta.gen.worm |
| PCTools | 7.0.3.5 | 2010.07.07 | - |
| Prevx | 3.0 | 2010.07.08 | - |
| Rising | 22.55.02.04 | 2010.07.07 | Trojan.Win32.Generic.521C8921 |
| Sophos | 4.54.0 | 2010.07.08 | Mal/EncPk-BW |
| Sunbelt | 6557 | 2010.07.07 | Trojan.Win32.Generic!BT |
| Symantec | 20101.1.0.89 | 2010.07.08 | Suspicious.Cloud |
| TheHacker | 6.5.2.1.309 | 2010.07.07 | W32/Behav-Heuristic-060 |
| TrendMicro | 9.120.0.1004 | 2010.07.08 | Cryp_Xed-12 |
| TrendMicro-HouseCall | 9.120.0.1004 | 2010.07.08 | Cryp_Xed-12 |
| VBA32 | 3.12.12.6 | 2010.07.07 | - |
| ViRobot | 2010.6.29.3912 | 2010.07.08 | - |
| VirusBuster | 5.0.27.0 | 2010.07.07 | - |
| 추가 정보 | |||
| File size: 39848 bytes | |||
| MD5...: 3d42eca5339a073c9e731cb18260407b | |||
| SHA1..: 862f330a2299b7472376e990b7ef7f5cad46eaa1 | |||
| SHA256: 6932cc1719b7c871feda078417349b39514a680dabe8409ddf59f07bac2e135c | |||
신고 : 이스트 소프트 , 안철수 연구소
[ 이전글 ]
2010/07/07 - [security/악성코드 유포] - http://gft54577.3xx2.org:6677/x/index.html 변조!!
'security > 악성코드 유포' 카테고리의 다른 글
| 보안xx 현재 악성코드 유포중 !! (0) | 2010.07.10 |
|---|---|
| 휴대폰 통신사 큐x텔 악성 스크립트 삽입 !! (2) | 2010.07.09 |
| http://gft54577.3xx2.org:6677/x/index.html 변조!! (1) | 2010.07.07 |
| TR/Bagle.trash (AntiVir) !! (2) | 2010.07.06 |
| 지난주 종합 유포지 5곳 !! (0) | 2010.07.05 |
