大砲開講

Boss 工商搜尋首頁被植入惡意連結，又是 Lineage 的變種，請各位暫時不要瀏覽這個網站，等我們確認他們已經修復後，會在此更新訊息 (此惡意程式會偷帳號與密碼)。(感謝 Jimau)

**請幫忙通知他們，謝謝**





惡意連結是放置在首頁及 nn_pc.js 檔案中：



惡意程式碼的一部份為：



執行之後，有下面的行為：

[Added process]
C:\Documents and Settings\Administrator\Local Settings\Temp\t4nk.com

[DLL injection]
C:\WINDOWS\system32\wydll.dll (注入某些執行程序如檔案總管、瀏覽器等)

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temp\t4nk.com
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\FoxHelp[1].exe
C:\WINDOWS\logo.dat
C:\WINDOWS\system\rundll32.exe
C:\WINDOWS\system32\wydll.dll

[Added COM/BHO]
{8CC497C0-A1DF-11CE-8098-00AA0047BE5D} (沒有連結到檔案)
{8CC497C1-A1DF-11CE-8098-00AA0047BE5D}
{8CC497C2-A1DF-11CE-8098-00AA0047BE5D}
{8CC497C3-A1DF-11CE-8098-00AA0047BE5D}
{8CC497C4-A1DF-11CE-8098-00AA0047BE5D}
{8CC497C5-A1DF-11CE-8098-00AA0047BE5D}
{8CC497C9-A1DF-11CE-8098-00AA0047BE5D}

[Added registry]
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run||Value=Lwy||Data=C:\WINDOWS\system\rundll32.exe



到目前為止，下面的防毒軟體可以偵測到這些惡意檔案：

FoxHelp[1].exe:
[ Trend ], "Possible_Infostl"
rundll32.exe:
[ Trend ], "Possible_Infostl"
t4nk.com:
[ Trend ], "Possible_Infostl"
wydll.dll:
[ Trend ], "TSPY_LINEAGE.CRB"
index.htm:
[ Kaspersky ], "Trojan-Downloader.VBS.Psyme.de"
[ Fortinet ], "VBS/Psyme.DE!tr.dldr"
[ Ewido ], "Downloader.Psyme.de"