大砲開講

台灣貿易商務網被植入惡意連結 (登錄的資料，非常有可能已經被入侵者竊取，也許調查局應該要查查囉)，此惡意程式為 Maran 或 SMALL，最近有瀏覽這個網頁的網友，應該要盡速檢查自己的電腦。請各位暫時不要瀏覽這個網站，以免中毒，等確認他們已經修復後，會在此更新訊息。另外，此惡意程式是利用微軟所公佈的安全漏洞 (Vulnerability in Windows Animated Cursor Handling) (此為零時差攻擊)。對此有興趣的網友，可以在 VMWare 上測試一下，然後，回報修復的情形，而且，幫忙通知他們，謝謝。(Credit: MengChi)



惡意連結是放置在首頁 (其他頁面可能也有) 中的：



惡意程式碼的一部份為：



當執行此惡意程式後，會產生一個應用程式錯誤的訊息：



執行之後，有下面的行為：

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\456J8TAJ\update[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\6DEV01Y7\src[1].js
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\6DEV01Y7\stat[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\GDI3K1MF\t[1].exe
C:\ieinst12.exe
C:\WINDOWS\~tmp3389.exe

到目前為止 (2007/4/17 @ 11:05)，下面的防毒軟體可以偵測到這些惡意檔案：

~tmp3389.exe:
[ Trend ], "TROJ_SMALL.DSA"
[ Kaspersky ], "PAK:Petite"
[ Ikarus ], "Email-Worm.Win32.Netsky.R"
a.gif:
[ Trend ], "TROJ_ANICMOO.AX"
[ Symantec ], "Trojan.Anicmoo"
[ Kaspersky ], "Exploit.Win32.IMG-ANI.k"
[ McAfee ], "Exploit-ANIfile.c"
[ Sophos ], "Troj/Animoo-L"
b.gif:
[ Trend ], "EXPL_ANICMOO.GEN"
[ Symantec ], "Trojan.Anicmoo"
[ Kaspersky ], "Exploit.Win32.IMG-ANI.m"
[ McAfee ], "Exploit-ANIfile.c"
[ Sophos ], "Exp/Animoo-A"
t[1].exe:
[ Trend ], "TROJ_SMALL.DSA"
ieinst12.exe:
[ Sophos ], "Mal/EncPk-F"
[ Nod32 ], "Win32/Pacex.Gen virus"
[ Fortinet ], "suspicious"
[ HBEDV ], "TR/Drop.Ag.344576.B"
[ Ewido ], "Trojan.Maran"
update[1].exe:
[ Sophos ], "Mal/EncPk-F"
[ Nod32 ], "Win32/Pacex.Gen virus"
[ Fortinet ], "suspicious"
[ HBEDV ], "TR/Drop.Ag.344576.B"
[ Ewido ], "Trojan.Maran"