大砲開講

更新資訊：現在已經修復

1111 人力銀行社群討論區網頁被植入惡意連結，又是 Lineage 變種，幾乎沒有防毒軟體可以偵測到它。觀察論壇的上線人數紀錄，至少有 700 人 (應該不只這些人數)，這些使用者最好檢查一下自己的電腦。請各位暫時不要瀏覽這個網站，以免中毒，等確認他們已經修復後，會在此更新訊息。(此惡意程式會偷使用者帳號與密碼) (Credit: PC-Zone 網友 DarkSkyline)

**請幫忙通知他們，謝謝**



惡意連結是放置在 ad.asp 和 up.jsp 的檔案中：



惡意程式碼的一部分為 (利用 Malformed ASCII Bypassing 技術)：



惡意程式執行順序流程圖：



執行之後，有下面的行為：

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temp\update.exe
C:\Program Files\Common Files\search.dll
C:\WINDOWS\system32\winCreate.exe

[Added COM/BHO]
{6F4747B0-4094-4200-A251-866989504B17}-C:\Program Files\Common Files\search.dll

到目前為止，下面的防毒軟體可以偵測到這些惡意檔案：

update.exe:
[ Trend ], "TSPY_LINEAGE.BNA"
winCreate.exe:
[ Trend ], "TSPY_LINEAGE.BNA"
search.dll:
[ Trend ], "TSPY_LINEAGE.BNA"