大砲開講

**高度危險網站：常常被植入惡意連結或遭駭**

華視首頁又被植入惡意連結 (與「手機王網頁又被植入惡意連結」幾乎是一樣的情形)，已經不知道是第幾次了。 剛剛查看他們論壇的上線人數，超過 400 位網友在論壇上觀看文章，恐怕是凶多吉少，請儘速檢查自己的電腦吧！請各位暫時不要瀏覽這個網站，以免中毒，等確認他們已經修復後，會在此更新訊息 (此惡意程式會偷使用者帳號與密碼，很可能也會偷信用卡卡號)

**請幫忙通知他們，謝謝**



惡意連結是放置在 do(1).swf 的影音檔中，如下圖所示：



惡意程式碼的一部份為 (使用 malformed ascii bypassing 的技術，看起來像是毫無意義，實際上，它是可以被執行的)：



惡意連結執行流程為：



執行之後，有下面的行為：

[DLL injection]
C:\WINDOWS\Debug\UserMode\299E575.dll (注入某些執行程序如檔案總管等)

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temp\CiKE.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\taskmgr.exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\cike[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\test[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\cike[1].js
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\cike2[1].htm
C:\logex.txt
C:\WINDOWS\Debug\UserMode\299E575.dll
C:\WINDOWS\Debug\UserMode\299E575.exe

[Added COM/BHO]
{77D9BC5E-7942-499F-9AA0-D1BA226D2788}-C:\WINDOWS\debug\userMode\299E575.dll

注意：此惡意程式在執行時，會產生一個錯誤，如下圖所示：



到目前為止，下面的防毒軟體可以偵測到這些惡意檔案：

299E575.exe:
[ Trend ], "TROJ_Generic"
CiKE.exe:
[ Trend ], "TROJ_Generic"
test[1].exe:
[ Trend ], "TROJ_Generic"
299E575.dll:
[ Trend ], "TSPY_LINEAGE.EGH"
2006692151148920.gif:
[ Trend ], "TROJ_KILLAV.GI"
do(1).swf:
[ Kaspersky ], "PAK:Swf2Swc"

另外，友站的 OpenBlue 也已經分析過華視網站有安全漏洞，各位可以參考「(案例分析)手機王與華視網站遭駭被植入惡意程式」。