大砲開講

請按我..繼續閱讀全文....

請按我..繼續閱讀全文....

請按我..繼續閱讀全文....

請按我..繼續閱讀全文....

從 2007/4/16 開始，Malware-Test Lab 網站就開始遭受 DDOS 攻擊，攻擊的 IP 來自不同的國家，其中前 20 名攻擊 IP 所送出的請求在 80,000 至 150,000 之間，所以，處理器的使用量就會超過 20 % 的限制，不久後，不是暫停服務，就是被停機。對於發生這種事，造成各位的不便，希望各位能諒解，謝謝 (如果看不見畫面，可能要多更新幾次)。

到目前為止，此攻擊還在進行中，擺明了是要讓我們的網站關閉，此種惡劣行為，令人覺得很不恥，等有時間再慢慢追查。

另一個部落格放在 Google Blogger：http://rogerspeaking.blogspot.com/。

景誠音響網站被植入惡意連結，此惡意程式為 Lineage 和 Agent 的變種，最近有瀏覽這個網頁的網友，應該要盡速檢查自己的電腦。請各位暫時不要瀏覽這個網站，以免中毒，等確認他們已經修復後，會在此更新訊息 (此惡意程式應該會偷帳號與密碼)。另外，此惡意程式是利用微軟所公佈的安全漏洞 (Vulnerability in Windows Animated Cursor Handling) (此為零時差攻擊)。對此有興趣的網友，可以在 VMWare 上測試一下，然後，回報修復的情形，而且，順便通知他們。(Credit: 東東東)

**請幫忙通知他們，謝謝**



惡意連結是放置在首頁中的：



惡意程式碼的一部份為：



當執行此惡意程式後，會產生一個應用程式錯誤的訊息：



執行之後，有下面的行為：

[DLL injection]
C:\WINDOWS\Debug\UserMode\32BB5B6.dll (注入某些執行程序如檔案總管、IE 等)

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temp\gz002.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\svchost.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\svchost.vbs
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\456J8TAJ\help[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\6DEV01Y7\click[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\6DEV01Y7\gh02[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\6DEV01Y7\gh1[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\6DEV01Y7\gtai[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\6DEV01Y7\mian[1].jpg
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\GDI3K1MF\gh[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\GDI3K1MF\gh[2].htm
C:\WINDOWS\Debug\UserMode\32BB5B6.dll
C:\WINDOWS\Debug\UserMode\32BB5B6.exe

[Added COM/BHO]
{F2319AD4-D519-45AC-86A7-02FE9B851F37}-C:\WINDOWS\debug\userMode\32BB5B6.dll

到目前為止 (2007/4/13 @ 20:57)，下面的防毒軟體可以偵測到這些惡意檔案：

32BB5B6.dll:
[ Trend ], “TSPY_LINEAGE.FFU”
[ Symantec ], “Infostealer.Lineage”
[ McAfee ], “PWS-Lineage.dll”
[ Sophos ], “Mal/GamePSW-C”
[ Panda ], “Trj/Lineage.DAO”
32BB5B6.exe:
[ Trend ], “TSPY_LINEAGE.FFT”
[ Symantec ], “Infostealer.Lineage”
[ Kaspersky ], “PAK:FSG”
[ McAfee ], “[0000a200.EXE]:PWS-Lineage.dll”
[ Sophos ], “Mal/Packer”
gh02[1].exe:
[ Trend ], “TSPY_LINEAGE.FFT”
[ Symantec ], “Infostealer.Lineage”
[ Kaspersky ], “PAK:FSG”
[ McAfee ], “[0000a200.EXE]:PWS-Lineage.dll”
[ Sophos ], “Mal/Packer”
[ Ikarus ], “Maybe A Virus”
gh[1].htm:
[ Trend ], “VBS_PSYME.AKW”
gz002.exe:
[ Trend ], “TSPY_LINEAGE.FFT”
[ Symantec ], “Infostealer.Lineage”
[ Kaspersky ], “PAK:FSG”
[ McAfee ], “[0000a200.EXE]:PWS-Lineage.dll”
[ Sophos ], “Mal/Packer”
[ Ikarus ], “Maybe A Virus”
mian[1].jpg:
[ Trend ], “EXPL_ANICMOO.GEN”
[ AhnLab-V3 ], “Win-Trojan/Exploit-ANI.B”
[ AntiVir ], “EXP/Ani.Gen”
[ Avast ], “CVE-2007-0038〃
[ AVG ], “Exploit”
[ BitDefender ], “Exploit.Win32.MS05-002.Gen”
[ CAT-QuickHeal ], “Exploit.MS05-002〃
[ ClamAV ], “Exploit.W32.MS05-002〃
[ DrWeb ], “Exploit.ANIFile”
[ eTrust-Vet ], “Win32/MS07-017!exploit”
[ Fortinet ], “W32/ANI07.A!exploit”
[ F-Prot ], “CVE-2007-1765〃
[ McAfee ], “Exploit-ANIfile.c”
[ NOD32v2 ], “a variant of Win32/TrojanDownloader.Ani.Gen”
[ Panda ], “Exploit/LoadImage”
[ Sophos ], “Exp/Animoo-A”
[ Sunbelt ], “Trojan-Exploit.Anicmoo.ax (v)”
[ Symantec ], “Trojan.Anicmoo”
[ VBA32 ], “suspected of Exploit.Signature”
[ VirusBuster ], “Exploit.ANIFile.L”
[ Webwasher-Gateway ], “Exploit.Win32.MS05-002.gen”
gtai[1].htm:
[ McAfee ], "Exploit-MS06-014"
[ Nod32 ], "VBS/TrojanDownloader.Agent.E trojan"
[ Rising ], "Trojan.DL.VBS.Agent.cll"
[ Ewido ], "Downloader.Agent.e"
svchost.vbs:
[ Kaspersky ], "Trojan.VBS.Starter.k"
[ Fortinet ], "VBS/Starter.K!tr"
[ Ewido ], "Trojan.Starter.k"

更新資訊：已修復 (2007/4/10 @ 15:12)
**高度危險網站：常常被植入惡意連結，列入網站黑名單，不建議瀏覽此網站**ESPNSTAR 體育台網站又被植入惡意連結 (今天上了蘋果日報後，才移除惡意連結，現在又有問題，我看各位自求多福吧)，最近有瀏覽這些網頁的網友 (受害者應該很多吧)，應該要盡速檢查自己的電腦。請各位暫時不要瀏覽這個網站，以免中毒，等確認他們已經修復後，會在此更新訊息。另外，此惡意程式是利用微軟所公佈的安全漏洞 (Vulnerability in Windows Animated Cursor Handling) (此為零時差攻擊)。希望他們好好檢查系統或軟體有沒有安全漏洞，但廠商真是鴕鳥心態，根本就懶得處理，枉顧消費者權益，建議各位打電話去抗議 (團結力量大囉)。(感謝 Edward 告知)

**請幫忙通知他們，謝謝**



惡意連結是放置在 AVList.asp 中的：



惡意程式碼的一部分為：



執行之後，有下面的行為：

[Added process]
C:\WINDOWS\avp.exe

[DLL injection]
C:\WINDOWS\system32\ldmedia5.dll (注入某個執行程序)

[Added service]
NAME: VGADown
DISPLAY: Audio Adapter
FILE: C:\WINDOWS\avp.exe

NAME: WS2IFSL (這是正常的服務)
DISPLAY: Windows Socket 2.0 Non-IFS Service Provider Support Environment
FILE: \SystemRoot\System32\drivers\ws2ifsl.sys

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\456J8TAJ\flash[1].jpg
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\456J8TAJ\getflashplayer[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\6DEV01Y7\ani[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OD2ZGLMN\xskj[1].jpg
C:\WINDOWS\avp.exe
C:\WINDOWS\system32\ldmedia5.dll

[Added LSP]
ID: 1012
NAME: MSAFD Tcpip [RAW/IP] (連結至 C:\WINDOWS\system32\ldmedia5.dll)

ID: 1013
NAME: MSAFD Tcpip [TCP/IP] (連結至 C:\WINDOWS\system32\ldmedia5.dll)

到目前為止 (2007/4/10 @ 01:14)，下面的防毒軟體可以偵測到這些惡意檔案：

avp.exe:
[ Trend ], "Possible_Virus"
flash[1].jpg:
[ Trend ], "TROJ_MARAN.GU"
xskj[1].jpg:
[ AhnLab-V3 ], “Win-Trojan/Exploit-ANI.B”
[ AntiVir ], “EXP/MS05-002.Ani.A”
[ BitDefender ], “Exploit.Win32.MS05-002.Gen”
[ CAT-QuickHeal ], “Exploit.MS05-002〃
[ ClamAV ], “Exploit.W32.MS05-002〃
[ eTrust-Vet ], “Win32/MSA-935423!exploit”
[ Ewido ], “Not-A-Virus.Exploit.Win32.IMGANI.h”
[ F-Secure ], “Exploit.Win32.IMG-ANI.h”
[ Kaspersky ], “Exploit.Win32.IMG-ANI.h”
[ McAfee ], “Exploit-ANIfile.c”
[ Microsoft ], “TrojanDownloader:Win32/Anicmoo.gen!D”
[ NOD32v2 ], “a variant of Win32/TrojanDownloader.Ani.Gen”
[ Norman ], “RIFF/Ani_exploit.gen”
[ Sophos ], “Troj/Animoo-U”
[ Symantec ], “Trojan.Anicmoo”
[ Trend ], “EXPL_ANICMOO.GEN”
[ VirusBuster ], “Exploit.ANIFile.G”
[ Webwasher-Gateway ], “Exploit.MS05-002.Ani.A”
ldmedia5.dll:
[ Fortinet ], "suspicious"
[ HBEDV ], "TR/Drop.Maran.C.3"

酷地球網站遭駭 (財團法人環境品質文教基金會)。這裡要注意的是這個網站是有可能被植入惡意連結或惡意程式碼，所以，他們的網管應該要找出問題的關鍵，而不是只是移除這些遭駭的內容。

**請幫忙通知他們，謝謝**

首頁及遭置換網頁：



至於詳細的資訊，可以參考 zone-h。

國立東華大學語言中心網站遭駭。這裡要注意的是這個網站是有可能被植入惡意連結或惡意程式碼，所以，他們的網管應該要找出問題的關鍵，而不是只是移除這些遭駭的內容。

**請幫忙通知他們，謝謝**

首頁：



遭置換網頁：



至於詳細的資訊，可以參考 zone-h。-----

逢甲大學資工所行動計算實驗室網頁遭駭。這裡要注意的是這個網站是有可能被植入惡意連結或惡意程式碼，所以，他們的網管應該要找出問題的關鍵，而不是只是移除這些遭駭的內容。

**請幫忙通知他們，謝謝**

首頁：



遭置換網頁：



至於詳細的資訊，可以參考 zone-h。-----

靜宜大學地理資訊系統網頁遭駭。這裡要注意的是這個網站是有可能被植入惡意連結或惡意程式碼，所以，他們的網管應該要找出問題的關鍵，而不是只是移除這些遭駭的內容。

**請幫忙通知他們，謝謝**

首頁：



遭置換網頁：



至於詳細的資訊，可以參考 zone-h。-----

國立中央圖書館台灣分館網頁遭駭。這裡要注意的是這個網站是有可能被植入惡意連結或惡意程式碼，所以，他們的網管應該要找出問題的關鍵，而不是只是移除這些遭駭的內容。

**請幫忙通知他們，謝謝**

首頁：



遭置換網頁：



至於詳細的資訊，可以參考 zone-h。-----

台灣基督長老教會忠明教會網頁遭駭。這裡要注意的是這個網站是有可能被植入惡意連結或惡意程式碼，所以，他們的網管應該要找出問題的關鍵，而不是只是移除這些遭駭的內容。

**請幫忙通知他們，謝謝**

首頁：



遭置換網頁：



至於詳細的資訊，可以參考 zone-h。-----

SONY 社會關懷網網頁遭駭。這裡要注意的是這個網站是有可能被植入惡意連結或惡意程式碼，所以，他們的網管應該要找出問題的關鍵，而不是只是移除這些遭駭的內容。

**請幫忙通知他們，謝謝**

首頁：



遭置換網頁：



至於詳細的資訊，可以參考 zone-h。-----

國立成功大學資訊工程學系網頁遭駭。這裡要注意的是這個網站是有可能被植入惡意連結或惡意程式碼，所以，他們的網管應該要找出問題的關鍵，而不是只是移除這些遭駭的內容。

**請幫忙通知他們，謝謝**

首頁：



遭置換網頁：



至於詳細的資訊，可以參考 zone-h。-----

桃園縣政府文化局網頁遭駭。這裡要注意的是這個網站是有可能被植入惡意連結或惡意程式碼，所以，他們的網管應該要找出問題的關鍵，而不是只是移除這些遭駭的內容。

**請幫忙通知他們，謝謝**

文化局首頁：



遭置換的網頁：



至於詳細的資訊，可以參考 zone-h。-----

NISSAN TAIWAN 網頁遭駭。這裡要注意的是這個網站是有可能被植入惡意連結或惡意程式碼，所以，他們的網管應該要找出問題的關鍵，而不是只是移除這些遭駭的內容。

**請幫忙通知他們，謝謝**

公司簡介：

．2005年 7月 NICHE汽車連鎖維修中心正式成立
．2003年 3月 經銷美國HUNTER、歐洲CORGHI、CEMB、OMER、ELEKTRON等知名品牌汽車維修設備。
．2002年 2月 推出"NICHE"品牌汽車零配件行銷國內通路。
．1999年 6月 經銷日本KOKEN品牌手工具及強倫汽車維修設備於國內車廠。
．1998年 5月 自創"NICHE"品牌汽車油化品行銷國內通路。
．1997年 5月 代理日本MITSUBA公司在台灣採購業務。
．1996年 2月 代理日本NISMO汽車改裝件在台銷售。
．1995年 12月 公司英文名稱變更為NISSAN TAIWAN LTD.。
．1995年 7月 代理美國JUSTICE BROTHERS汽車化學品在台銷售。
．1995年 3月 公司增資，實收資本額由伍仟萬元增加至壹億玖仟萬元。
裕隆汽車製造股份有限公司 (持股66.50%)
日產自動車株式會社 (持股24.68%)
日產貿易股份有限公司 (持股 8.82%)
．1994年 7月 由裕隆汽車公司轉入國產車銷售業務。
．1993年 8月 由裕隆汽車公司轉接日產品牌進口車行銷及售後服務業務。
．1990年 3月 公司成立
由裕隆汽車製造股份有限公司與日產貿易股份有限公司(日本) 合資成立，登記資本額新台幣貳億元正，實收資本額新台幣伍 仟萬元正，主要業務為車輛及零組件進出口，英文名為CAPITAL WAY ENTERPRISE LTD.。
裕隆汽車製造股份有限公司 (持股66.5%)
日產貿易股份有限公司 (持股33.5%)

公司首頁：



當按下「最新消息」的網頁 (news.asp)，此網頁遭置換為：



news.asp 檔案內容加入下圖所示語法，所以，網頁被重導至攻擊者網頁：



至於詳細的資訊，可以參考 zone-h。

國立台東大學網頁遭駭。這裡要注意的是這個網站是有可能被植入惡意連結或惡意程式碼，所以，他們的網管應該要找出問題的關鍵，而不是只是移除這些遭駭的內容。

**請幫忙通知他們，謝謝**

電算中心首頁：



遭置換網頁：



至於詳細的資訊，可以參考 zone-h。-----

剛剛想看看 PCC-Club 論壇有什麼新聞，結果出現「HTTP 500 內部伺服器發生錯誤」，網站上不去。我想這個網站應該是由趨勢科技負責維護的吧！那看看他們的處理速度如何囉！

**請幫忙通知他們，謝謝**

剛剛想看看 PCZone 有什麼新的新聞，按下每個版面會出現「Not Found: The requested URL /vbb3/forum/28/ was not found on this server.」，怎麼常常當機呢？

**請幫忙通知他們，謝謝**