警惕 东方卫士杀毒软件主页被挂马

警惕 东方卫士杀毒软件主页被挂马

太平洋电脑网

作者：DSW Avert

　　今日，DSW Lab Avert小组监测到国内知名安全网站，东方卫士主页被挂木马，在东方卫士主页上，通过查看页面源代码，可以看到网页底部被插入一条“

　　用户被攻击后，会执行一个名为：Trojan-Downloader.Win32.small.kk下载器，该下载器运行后，连接到532.li (IP：60.215.129.100)下载一个木马执行。



被挂马了



看源代码

　　一、木马基本信息：

　　[文件信息]

　　病毒名: Trojan-Downloader.Win32.small.kk

　　大 小: 0x142D (5165), (disk) 0x142D (5165)

　　SHA1 : F76F4E9A21C38432500BD33818ACA2FCBAB5DA16

　　壳信息: 未知

　　危害级别：中

　　病毒名: Backdoor.Win32.Hupigon.dzy

　　大 小: 0x5D200 (381440), (disk) 0x5D200 (381440)

　　SHA1 : FF359B600CE0B1ECF7C4AACBE76EA6264DE1005C

　　壳信息: 未知

　　危害级别：中

　　二、病毒行为：

　　Trojan-Downloader.Win32.small.kk下载了Backdoor.Win32.Hupigon.dzy后，执行该后门，后门文件解析读取lxn2wyf8899.3322.org上面的一个ip.txt文件，根据IP内容，木马反弹连接到攻击者控制主机接受控制。

　　同时两个木马分别添加了注册表启动项目和系统服务：

　　键路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

　　键名：wdfmgr32

　　键值："C:WINDOWS\system32\wdfmgr32.exe"

　　系统服务名称：Net work nois

　　显示名称：Net work nois

　　服务描述：Net work nois

　　对应文件路径：C:\windows\svchost.exe

　　三、解决方案：

　　1、推荐安装超级巡警监测查杀以上木马。

　　2、请广大用户及时升级系统补丁，预防更多的VML漏洞攻击。

　　3、为了最快保障广大用户不受木马侵害，在事件解决前请暂时不要访问东方卫士网站。

防止ASP木马在服务器上运行

如果您的服务器正在受ASP木马的困扰，那么希望这篇文章能帮您解决您所面临的问题。

目前比较流行的ASP木马主要通过三种技术来进行对服务器的相关操作。

一、使用FileSystemObject组件

FileSystemObject可以对文件进行常规操作，可以通过修改注册表，将此组件改名，来防止此类木马的危害。

把HKEY_CLASSES_ROOT/Scripting.FileSystemObject/改名为其它的名字，如：改为FileSystemObject_ChangeName 。自己以后调用的时候使用这个就可以正常调用此组件了。

也要将clsid值也改一下，HKEY_CLASSES_ROOT/Scripting.FileSystemObject/CLSID/项目的值也可以将其删除，来防止此类木马的危害。

注销此组件命令：

RegSvr32 /u C:/WINNT/SYSTEM32/scrrun.dll

禁止Guest用户使用scrrun.dll来防止调用此组件。

使用命令：

cacls C:/WINNT/system32/scrrun.dll /e /d guests

二、使用WScript.Shell组件

WScript.Shell可以调用系统内核运行DOS基本命令，可以通过修改注册表，将此组件改名，来防止此类木马的危害。

HKEY_CLASSES_ROOT/WScript.Shell/及HKEY_CLASSES_ROOT/WScript.Shell.1/改名为其它的名字，如：改为WScript.Shell_ChangeName或WScript.Shell.1_ChangeName。自己以后调用的时候使用这个就可以正常调用此组件了，也要将clsid值也改一下。

HKEY_CLASSES_ROOT/WScript.Shell/CLSID/项目的值

HKEY_CLASSES_ROOT/WScript.Shell.1/CLSID/项目的值

也可以将其删除，来防止此类木马的危害。

三、使用Shell.Application组件

Shell.Application可以调用系统内核运行DOS基本命令，可以通过修改注册表，将此组件改名，来防止此类木马的危害。

HKEY_CLASSES_ROOT/Shell.Application/

及HKEY_CLASSES_ROOT/Shell.Application.1/

改名为其它的名字，如：改为Shell.Application_ChangeName或Shell.Application.1_ChangeName。自己以后调用的时候使用这个就可以正常调用此组件了，也要将clsid值也改一下：

HKEY_CLASSES_ROOT/Shell.Application/CLSID/项目的值

HKEY_CLASSES_ROOT/Shell.Application/CLSID/项目的值

也可以将其删除，来防止此类木马的危害。

禁止Guest用户使用shell32.dll来防止调用此组件。

使用命令：

cacls C:/WINNT/system32/shell32.dll /e /d guests

注：操作均需要重新启动WEB服务后才会生效。

四、调用Cmd.exe

禁用Guests组用户调用cmd.exe，

cacls C:/WINNT/system32/Cmd.exe /e /d guests

通过以上四步的设置基本可以防范目前比较流行的几种木马，但最有效的办法还是通过综合安全设置，将服务器、程序安全都达到一定标准，才可能将安全等级设置较高，防范更多非法入侵。

ASP网站漏洞解析及黑客入侵防范方法

如何更好的达到防范黑客攻击，本人提一下个人意见!第一，免费程序不要真的就免费用，既然你可以共享原码，那么攻击者一样可以分析代码。如果在细节上注意防范，那样你站点的安全性就大大的提高了。即使出现了SQL Injection这样的漏洞，攻击者也不可能马上拿下你的站点。

由于ASP的方便易用，越来越多的网站后台程序都使用ASP脚本语言。但是， 由于ASP本身存在一些安全漏洞，稍不小心就会给黑客提供可乘之机。事实上，安全不仅是网管的事，编程人员也必须在某些安全细节上注意，养成良好的安全习惯，否则会给自己的网站带来巨大的安全隐患。目前，大多数网站上的ASP程序有这样那样的安全漏洞，但如果编写程序的时候注意一点的话，还是可以避免的。

1、用户名与口令被破解

攻击原理：用户名与口令，往往是黑客们最感兴趣的东西，如果被通过某种方式看到源代码，后果是严重的。

防范技巧：涉及用户名与口令的程序最好封装在服务器端，尽量少在ASP文件里出现，涉及与数据库连接的用户名与口令应给予最小的权限。出现次数多的用户名与口令可以写在一个位置比较隐蔽的包含文件中。如果涉及与数据库连接，在理想状态下只给它以执行存储过程的权限，千万不要直接给予该用户修改、插入、删除记录的权限。

2、验证被绕过

攻击原：现在需要经过验证的ASP程序大多是在页面头部加一个判断语句，但这还不够，有可能被黑客绕过验证直接进入。

防范技巧：需要经过验证的ASP页面，可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。

3、Inc文件泄露问题

攻击原理：当存在ASP的主页正在制作且没有进行最后调试完成以前，可以被某些搜索引擎机动追加为搜索对象。如果这时候有人利用搜索引擎对这些网页进行查找，会得到有关文件的定位，并能在浏览器中查看到数据库地点和结构的细节，并以此揭示完整的源代码。

防范技巧：程序员应该在网页发布前对它进行彻底的调试;安全专家则需要加固ASP文件以便外部的用户不能看到它们。首先对.inc文件内容进行加密，其次也可以使用.asp文件代替.inc文件使用户无法从浏览器直接观看文件的源代码。inc文件的文件名不要使用系统默认的或者有特殊含义容易被用户猜测到的名称，尽量使用无规则的英文字母。