您正在查看 "反病毒相关" 分类下的文章
2009-02-21 23:55
今天晚上边吃饭边看新闻联播，报道未成年人健康成长和净化网络网吧环境的时候，突然出现了灰鸽子客户端的画面，是个VIP 2007 BETA2版，持续了1秒左右。
节目显然不是在批判灰鸽子，不知CCTV用意何在，是推荐灰鸽子做网吧管理软件呢，还是推荐灰鸽子做未成年人电脑课程呢？想不明白。这上意揣摩不透，基层工作就不好办了，以后见到鸽子，是杀呢，还是放呢……
想要求证的，可以查看央视网站上的原始视频，在2:23。
|
2009-01-12 17:03
2009-01-11 20:25
2008-12-15 10:04
应该屏蔽掉。
5qzone.net
cga.com.cn
733.hk
3xiangyang.cn
h3ew.cn
googlesyndixation.cn
googlesyndization.cn
f1ah.com.cn
zlwrnm13.cn
baidu-bai6.cn
ardoshanghai.com
snsphp.cn
hfdy2828.net
baidu-baidudou4.cn
jha2.cn
wm006.cn
zjz-001.com
fgh6.cn
chiani.cn
xinlang1.cn
baidu-baiduzi6.cn
asdwyt.net
vvode.cn
wytdsa.net
baidu-dudouai2.cn
bbtu01.cn
h3hs2.cn
bbtu02.cn
baidu-dudouai9.cn
sllwbd8.cn
baidu-baiguo7.cn
toyouo130.cn
zjz-002.com
baidu-baiguo11.cn
ghd3.cn
rrrrrrryyy.cn
sllwrnm2.cn
bbtu05.cn
2004wyt.com
czm1.com.cn
4s3w.cn
kcy-0009.cn
baidu-baiduyi2.cn
baidu-baiduyi.cn
tyuopr.cn
sllwrnm4.cn
baidu-baiduyi6.cn
dxwyt1.com
wwwwyyyyy.cn
baidu-baiduyi3.cn
baidu-baiduyi4.cn
cc4y7.cn
ww-03.cn
bbtu06.cn
asg3.cn
j6tjkjk.cn
zjz-aaa.cn
hhhh8886.cn
baidu-baiduyi1.cn
googlesandication.cn
kcy-0008.cn
cc4y6.cn
hjg3.cn
sllwrnm5.cn
h3hs3.cn
cc4y9.cn
cc4y8.cn
baidu-baiduyi5.cn
googlesemdication.cn
dideco.cn
fyesn.cn
zjz-003.net
wa-01.cn
rtyewsa.cn
jcl-0006.cn
justcctv5.cn
justcctv7.cn
sllwrnm6.cn
qqqqttrr.cn
baidu-opop.cn
dsfsp.cn
jcl-0007.cn
justbt1.cn
justcctvbbn.cn
thahau.cn
justcctvmama.cn
baidu-opop1.cn
baidu-opop5.cn
jytfdss.cn
baidu-opop4.cn
jdwdh.cn
vufopkey.cn
121.12.173.218
justcctvgan.cn
sllwrnm7.cn
touba2.cn
justcctv6.cn
wieyou.com
liaocp.com.cn
jjhao123.cn
justcctvdns.cn
justcctvjieshao.cn
justcctvbb.cn
just2w.cn
justcctvfeifan.cn
jcl-00008.cn
zjz-004.com
dsfgr.cn
readymoney.cn
h3hs4.cn
sbmms.cn
333aini000.cn
9529online.cn
cznutchuei.cn
sdvty.cn
sllwrnm8.cn
sothink4.cn
f8a-007.cn
tzsh365.cn
jcl-0009.cn
abcrot.cn
cookie4.cn
kkkkppp.cn
wa-02.cn
cookie7.cn
qqsafe-qqservicesyydswfhuw8ysjftwf.com
633r.com
|
2008-03-28 09:34
昨天安装了Baidu Hi，出于职业习惯，研究了一下通过Baidu Hi传播的蠕虫的技术可能性。
首先，发现Baidu Hi的默认设置是拒绝接收可执行文件的。几下测试后发现，它和MSN一样，完全依靠扩展名来判断，不过有3种扩展名忘了屏蔽——bat, cmd, pif。exe程序扩展名改成上述3种，都可以正常运行，既然Windows支持这么做，建议Baidu Hi还是把它们也都屏蔽了吧。
其实对于IM蠕虫来说，不能直接发送可执行文件并不会严重影响它们的传播，即使它们把自己放进一个zip压缩包中，相当比例的用户也会好奇地先把它们解压出来，再运行。MSN蠕虫们已经一遍又一遍地为我们证明了这一点。
所以，我的注意力主要集中在了如何利用程序控制Baidu Hi聊天窗口上。目的有2个：如何自动发送消息，如何自动发送文件。根据分析QQ蠕虫的经验，很快代码就写好了——可以给所有聊天窗口自动贴条信息并自动发送出去；可以向所有聊天窗口自动发送任意文件。这说明，以往我们见过的所有QQ蠕虫，发消息的和发文件的，都可以很容易地在Baidu Hi这个平台上重现。至于那种自动给所有在线好友发消息的MSN蠕虫，因为Hi没有像MSN那样公开编程接口，在获取好友列表上还存在难点，暂时还没有想到好办法实现。
可以预见，当Baidu Hi公开发布，用户规模达到一定程度时，出现Baidu Hi蠕虫几乎是一定会的。这不是在责备Baidu，实际上任何一款IM软件，想在技术上杜绝蠕虫都是非常困难的。只是作为用户，最好从现在就做好准备，建立起安全意识。
|
2008-02-01 09:50
Immunity在他们的Immunity CANVAS产品中提供了MS08-001漏洞的利用代码，并发布了一段flash，演示如何利用这个漏洞去攻击并完全控制存在漏洞的计算机。
现在MS08-001的利用代码还没有公开发布，不过既然已经有了，泄漏出来是迟早的事。
因为没有拿到PoC，不好对攻击效果给评价。要是真像我们从flash里面看到的那样稳定的话，久违的自主传播蠕虫家族很快就要有新成员了。最好不要在春节假期出个“x x 波”，呵呵。
btw: thanks to xiaomo for the notice :)
|
2007-04-18 14:27
昨天看到isc.sans.org的文章：New Rinbot scanning for port 1025 DNS/RPC，提到有蠕虫利用目前没有补丁的微软DNS Server服务漏洞传播。换来样本（thanks 小陌, anyway）看了一下，除了shellcode之外，基本照抄这个漏洞公开代码。
小陌给我提到了一个关于DNS RPC攻击的统计文章，数据显示，目前位于中国的攻击数量排在老美之后，居第二位。
下午，微软再次更新了关于这个漏洞的Advisory 935964，内容概述如下：
1、补丁什么时候发还没定，争取不晚于5月8号；
2、补丁程序正在做，各种平台的加起来一共133份，而且还得仔细测试；
3、这段时间请管理员先照以前提供的方法禁用DNS RPC功能，而且要及时升级杀毒软件等。
|
2007-04-14 11:33
昨天是今年的第一个黑色星期五，病毒作者们给我们的礼物是 Worm/BlackDay (别名: Worm.YadBlac)，这是一个会破坏正常文件，感染网页文件，通过MS06-014和MS07-017漏洞传播的Delphi蠕虫。详细报告请参考这里。
这是作者在第一个变种里面的留言：
今天早上发现，它更新了，多了下面一段话：
修改了几处拼写和语法错误后，Google自动翻译的结果如下：
我不能更改我血腥本性,从不. 我感觉到泪在脸上. 杀死自己是最好的,也许. 所以请. 我的名字:wswhacker. 我的年龄:17. 当我不是在监狱,我感到自由. 你能理解我的话?
17岁的青春期躁动的孩子，说出什么让人无法理解的话，都是可以理解的，呵呵。如果是高三学生的话，就更容易理解，甚至是同情了。昨天帮一个小兄弟拿了北京新干线学校免费赠送的高考模拟试卷，看了看题目，汗颜。虽然学校的宣传页面被挂了“麦英”蠕虫，好在病毒域名已经被封，建议wswhacker去看看也无大碍。
|
2007-04-12 17:44
翻最近收到的网站被黑报告，发现因为用了心情网络投票系统被挂恶意脚本的还真不少。
其中，hxxp://d.thec.cn/knell/js.js的作者，应该算是代表。这位仁兄似乎只靠黑投票系统来挂马，而且对政府网站比较偏爱，下面是一些被他挂的网址：
hxxp://cbf.qhagri.gov.cn/vote/votedy.asp
hxxp://jly.cq.gov.cn/admin/vote/votedy.asp
hxxp://www.cqta.gov.cn/admin/vote/votedy.asp
hxxp://www.jdz.gov.cn/vote/votedy.asp
hxxp://www.lndca.gov.cn/vote/votedy.asp
hxxp://www.ytepb.gov.cn/toupiao/votedy.asp
hxxp://cdb.teda.gov.cn/ballot/votedy.asp
hxxp://www.jnrsj.gov.cn:8080/wsdc/votedy.asp
hxxp://www.fm1033.cn/dgct_amht/amht_vote/votedy.asp
hxxp://vote.zgys.org/votedy.asp
hxxp://it.inhe.net/toupiao/index.htm
[已清除]hxxp://www.sdny.gov.cn/vote/votedy.asp
[已清除]hxxp://www.ytwm.com/default.shtml
[已清除]hxxp://www.nccate.com/vote/votedy.asp
就目前收集到的报告看，hxxp://d.thec.cn/knell下还有几个恶意网页，会下载执行
hxxp://www.rzguanhai.com/ddos.exe
hxxp://www.rzguanhai.com/server.exe
hxxp://www.tscbs.com/images/down.exe
ddos.exe已经失效了，其余2个还在。虚拟机里抓了下包，似乎都是鸽子。控制端分别是：
abc74231.3322.org:8181
202.102.135.87:8181
都是山东的IP，后者的域名目前是shm.com.cn——一个正规的烟台新闻网站，有点意思。
|
2007-04-09 23:26
ANI 0day漏洞是过去10天来的热门话题，直到微软MS07-017提前发布，热度才渐渐冷却下来。我对最近10来天该漏洞的利用情况，以及恶意ANI文件的感染率做了一个简单统计，结果如下：
1、MS07-017成为国内网站挂马第二流行的漏洞，但和“挂马王”MS06-014仍有不小的差距。
可以看到，挂马网站使用MS07-017漏洞的比例大体在10% - 20%，使用MS06-014的比例在80%左右。二者的比例之和约占97% - 98%。MS07-017成功的从MS06-014那里抢来了不少百分比，稳坐常用挂马漏洞的第二把交椅。
2、恶意ANI文件感染率
利用MS07-017漏洞的恶意ANI文件感染率是一个快速上升的趋势，短短10天时间，就拥有了超过4%的感染率，即每25台染毒计算机中就有1台检测出恶意ANI文件。
从上面的统计结果来看，ANI漏洞并没有随着它的媒体曝光率下降而真的淡出，这个严重漏洞对众多网民的威胁才刚刚开始。别的不多说了，再说一句绝对不是废话的废话：没打补丁的快打补丁去吧。
|
|
| 
