【原创版权独家所有，如欲转载，请注明出处“赛迪网”和文章作者“T木”！违者，赛迪网将保留追究其法律责任的权利！】
【编者按：为安全起见，文中“http”均被替换为“hxxp”，“<>”均被替换为“[]”，特此说明。】
前两天有网友反映国内知名的安全网站东方卫士再次被挂载木马，这已经是东方卫士第二次暴露出存在安全隐患。
回顾
在此之前就曾发生过一次东方卫士网站首页（hxxp://www.i110.com）存在恶意代码引用的事件，如果用户没有安装过微软的MS07-004补丁程序，并且使用IE浏览器访问上述页面的话，就会感染木马病毒。
技术分析：
1. 东方卫士网站首页代码中，包含了一处对恶意网页的引用语句：
|
如图1：
2.这个被引用的恶意网页中包含了利用MS07-004漏洞的代码，使得系统能够自动下载hxxp://***.ch/xia.exe（Trojan-Downloader.Win32.agent.ddz）到本地，并运行。
3.xia.exe是个木马下载器，该木马复制自身到%system32%目录下，命名为wdfmg1r32.exe，运行后下载灰鸽子病毒hxxp://***.li/2.exe（Backdoor.Win32.Hupigon.cpb）。
4.2.exe是灰鸽子病毒最新变种，采用RootKit技术编写，隐藏进程。它复制自身到%system32%目录下，命名为system32.exe，该病毒运行后会释放文件到 %WinDir%\svchost.exe，文件大小为381440字节，并创建下面服务：
|
另外还会下载hxxp://lxn2wyf8899.3322.org/ip.txt到本地系统临时目录下。ip.txt包含的内容为：
|
染毒电脑将被黑客远程完全控制，这些操作可能是任意文件操作、注册表操作、键盘记录、下载执行远程程序、任意网络操作甚至远程开机摄像头监控等。
再次被挂马
而这一次，在东方卫士主页上，通过查看页面源代码，可以看到网页中被插入一条“[ iframe src=”指令，该指令将隐藏打开一个新的页面，这个页面伪造了浏览器无法开的错误网页，并在后台隐藏打开三个页面，进行木马下载。
打开的隐藏页面代码：
|
在打开的伪造错误页面中会打开三个网页：
|
下载木马：
|
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
