|
! G2 ?: Y) y) G& l( h最近在百度搜索mp3的时候杀毒软件老是报警,仔细分析发现有网站竟然靠百度的mp3搜索挂木马,厉害。
& ^3 g. Q6 ]% _6 Z/ i这个问题我象百度反映了好几次,等了1个星期都没有结果,我只有写出来让大家看看了。
& K, C* J& j- h# ]3 a1 q6 e# K& a情况是这样:
. H& ~0 W2 j5 W* r C/ L
* N3 Q4 v. f& |+ l我4 s, |# w& {0 d5 ~- Q2 n4 h
们先在百度mp3搜索热门歌曲,比如:"该死的温柔",第7首就是这个该死的病毒了,看它的域名还是:http://yy7.goto-make-% k% G* l- q& B9 m% ]* r
money.net,估计想钱想疯了,如果有人直接点这首歌,立刻会转向到http:; M. i+ S) o! D* }) ^! P3 i- T
//www.loveinhere.com/httpBad/nofind6.htm,这个网页不但挂了木马,而且做了死循环的弹出对话框和窗口,一般人$ H2 `& i1 U5 ~$ H% Y
打开基本中招,我们分析下这个网页的源代码发现:有计数器,呵呵& o2 Z5 g$ y% B, d1 G- G
; J3 T( ~8 w+ J9 \1 @8 u9 F
</p><p>: N% W- I3 O4 a, L
大量恶意代码:</p><p>
/ E' z5 c0 d- \8 \% b) f& `# H1 F5 R# Q6 n1 U6 a. `
# _$ ~- `4 X K0 N
7 I$ e1 K9 N3 |* C, I4 E3 s
" G* E! G. r5 }3 E</p><p>如果有人在线试听这个地址的mp3
1 J9 s$ K8 a4 M5 r' l% O- y! a6 {; I9 ^# H6 _
点击后会立刻弹出木马页面,是利用了播放器</p><p>打开了这个网页文件的bug吧,弹出地址为:http://vv.jnyj.cn/go/go-1.htm,</p><p>分析下源代码发现2个木马页面:' n% W4 H. V6 w# T/ k* e5 X
http://www.30-q.com/mm/
8 c0 G6 m3 F$ O* C: k3 R% z6 Xhttp://www.qqqqqqqqqqqqqqqqqqqqqqqqqqqqqq.com/mm/
+ @7 f5 ^& |# y1 Z/ `分析下看到木马了吧:
4 W2 Y. J5 V( u$ g5 s5 l( b P$ W G) G* w' c, @9 [3 e
0 {: a1 O# I+ T' f K, J# l' \8 q* g# M R5 T
2 z" O& U3 R9 z1 a6 r' [4 J
$ s' k4 p* {5 s1 M" w</p><p>查了一下他域名的资料,浙江温州凌宇科技的人:
0 n+ x6 h5 e6 c% f# s- @5 T' a7 v, M( k
- X! i5 D4 r6 f8 V
4 q0 u: S% U2 f* N
8 o( |- ]0 c9 ^网上查到他QQ,看资料年龄也不小了,学计算机也不能这么搞钱吧?</p><p>保守估计百度收录了此人几千首热门mp3(也就是病毒木马了),每天通过mp3搜索中毒的人估计超过10000,希望此人不要拿法律当儿戏,不然真会玩火自焚的!</p><p>最后附上他的一些网站地址
: a4 ]- ~. D* h% u9 X用来引导百度的:
, Z6 J& ^# B$ r: Chttp://www.jnyj.cn/mp3/7 B& B9 m* N/ E, T) M- P* p
自己的一些木马站和流量站:3 f2 j" Y0 t6 r% U
http://www.goto-make-money.net
) t, h1 N" T ihttp://www.goto-make-money.com
. h2 Y6 a0 r* ~" p6 o' m( r |http://yy7.goto-make-money.net(yy1-yy9的二级域名)
: R. Q* U) g$ L% N4 I. G. o# f; U. yhttp://www.make-money-888.com" i; k4 g, j- ]8 w. ~+ x6 o
http://www.make-money-88.com6 j6 w# x9 {$ t* E/ e
http://www.mir2-sf.com/ 2 N: m/ m" U" h ~
http://www.ypall.com
. o. a J- n. N2 b$ X* Nhttp://www.loveinhere.com5 y! x% |; d3 ?' ?3 B
http://music.loveinhere.com
7 F3 R/ B/ H# [$ Ihttp://vv.jnyj.cn
' o' L% `5 ?' l$ t2 D! qhttp://www.88888888888888888888888888888888888888888888888888.com
( ?+ w! s9 y2 I7 Z6 M- [' ~http://www.88888888888888888888888888888888888888888888888888.net8 m' h9 }: i. k5 }$ A) a! I
http://www.30-q.com/mm/
) q; D; R' ]( _http://www.qqqqqqqqqqqqqqqqqqqqqqqqqqqqqq.com/mm/
x U3 i f- J/ E4 D! y- ^% Zhttp://www.50ge8.com</p> |
|