网络信息安全是一个博大精深的技术体系，安天将自己的注意力专注于主要矛盾，即计算机网络病毒问题。
    根据有关机构统计，全球超过80%的安全事件均与病毒有关，网络病毒是信息社会面临的主要安全挑战之一，因此，安天人将“天下无毒”作为自己追求的安全境界。
    安天将网络安全工作者的宏观视野与反病毒工程师的成熟细腻有机结合。将反病毒技术与网络监控技术、计算机犯罪取证技术、安全评估技术等进行了有机的结合，形成了自身的产品内涵。
  当前位置：首页 - 安全响应中心 -> 病毒预警

安天监控到北京大学外国哲学研究所挂马
出处：安天实验室 时间：2009年12月29日
 

    2009年12月29日，安天实验室发现，北京大学外国哲学研究所(http://www.ifp.pku.edu.cn/)，被黑客植入恶意代码，用户如果访问该网站，系统会自动从恶意网站上下载并运行恶意程序。被感染病毒的用户系统可能被远程控制，盗取用户敏感信息。甚至导致死机。
北京大学外国哲学研究所被挂马页面：

安天防线2009拦截图：

挂马层次结构：
[wide]http://www.ifp.pku.edu.cn/ （被挂马网站）
    [script]http://a.ll***.cn （恶意跳转链接）
        [iframe]http://8***.ss.la/445/ad.htm （集成网马页面）
            [iframe]http://8***.ss.la/445/gvff.htm （MS08-041）
            [iframe]http://8***.ss.la/445/gv14.htm （MS06-014）
            [iframe]http://8***.ss.la/445/gvgg.htm （联众世界）
                [script]http://8***.ss.la/445/ruixing.js
            [iframe]http://8***.ss.la/445/gvbf.htm （暴风影音）
                [script]http://8***.ss.la/445/baozi.js
            [iframe]http://8***.ss.la/445/gv122122.htm
            [iframe]http://8***.ss.la/445/gv122121.htm （RealPlayer）
            [iframe]http://8***.ss.la/445/gvxxz.htm （MS09-002）
            [iframe]http://8***.ss.la/445/gvfl.htm （Adobe Flash）
                [iframe]http://8***.ss.la/445/gv11.html
                    [script]http://8***.ss.la/445/swfobject.js
                    [flash]http://8***.ss.la/445/./gg115.swf
                    [flash]http://8***.ss.la/445/./gg47.swf
                    [flash]http://8***.ss.la/445/./gg16.swf
                    [flash]http://8***.ss.la/445/./gg45.swf
                    [flash]http://8***.ss.la/445/./gg64.swf
                    [flash]http://8***.ss.la/445/./gg28.swf
                [iframe]http://8***.ss.la/445/gv22.html
                    [script]http://8***.ss.la/445/swfobject.js
                    [flash]http://8***.ss.la/445/./vv115.swf
                    [flash]http://8***.ss.la/445/./vv28.swf
                    [flash]http://8***.ss.la/445/./vv16.swf
                    [flash]http://8***.ss.la/445/./vv45.swf
                    [flash]http://8***.ss.la/445/./vv64.swf
                    [flash]http://8***.ss.la/445/./vv47.swf
                [iframe]http://8***.ss.la/445/gv11.html
            [iframe]http://8***.ss.la/445/gvcx.htm （超星阅读器4.0）
                [script]http://8***.ss.la/445/cx.js
            [iframe]http://8***.ss.la/445/i7.htm （联众世界）
        [iframe]http://8***.ss.la/4/google.htm （集成网马页面）
            [iframe]http://8***.ss.la/4/ie7.htm
            [iframe]http://8***.ss.la/4/search.htm
                [script]http://8***.ss.la/4/google_ad.js
                    [iframe]http://8***.ss.la/4/cqqmp.htm （MS09-032）
                        [script]http://8***.ss.la/4/cqqskin.css
                        [script]http://8***.ss.la/4/show.jpg
                        [script]http://8***.ss.la/4/shows.jpg
                [script]http://8***.ss.la/4/google_ads.js
                    [iframe]http://8***.ss.la/4/ec1.htm （MS06-014）
                        [script]http://8***.ss.la/4/ec4.js
                    [iframe]http://8***.ss.la/4/fyfl.htm
                    [iframe]http://8***.ss.la/4/ecof.htm （MS09-043）
                        [script]http://8***.ss.la/4/off.css
                    [iframe]http://8***.ss.la/4/fydvd.htm （Qvod Player）
                    [iframe]http://8***.ss.la/4/fycry.htm （中国游戏中心）
                        [script]http://8***.ss.la/4/cry.css
                [script]http://8***.ss.la/4/google_adx.js
                    [iframe]http://8***.ss.la/4/cqq0.htm （MS09-002）
                        [script]http://8***.ss.la/4/cqq2s.css
                        [script]http://8***.ss.la/4/cqq2.css
                    [iframe]http://8***.ss.la/4/ecb.htm （暴风影音）
                        [iframe]http://8***.ss.la/4/ecbbb.htm
                            [script]http://8***.ss.la/4/ecfff.js
                    [iframe]http://8***.ss.la/4/fyr.htm （RealPlayer）
                        [script]http://8***.ss.la/4/rr.js
                            [iframe]http://8***.ss.la/4/evilr.htm
                                [script]http://8***.ss.la/4/evilrr.js
                            [iframe]http://8***.ss.la/4/fyre1.htm
                                [script]http://8***.ss.la/4/fyr1.js
                        [script]http://8***.ss.la/4/zz.js
                            [iframe]http://8***.ss.la/4/fylz.htm
                                [script]http://8***.ss.la/4/xxxxz.js
                    [iframe]http://8***.ss.la/4/ecfox.htm （Firefox 3.5）
                        [iframe]http://8***.ss.la/4/ecffx.htm
                            [script]http://8***.ss.la/4/ecfox.js
                [script]http://8***.ss.la/4/music.js （Adobe Reader PDF）
                    [iframe]http://8***.ss.la/4/sfpf.htm
                    [iframe]http://8***.ss.la/4/ax.htm
        [iframe]http://8***.ss.la/a.htm?62343879
            [iframe]http://ersyrt5h.7***.org/web/40/index.html （MS09-032）
                [script]http://ersyrt5h.7***.org/web/40/a.jpg
                [script]http://ersyrt5h.7***.org/web/40/c.jpg
                [script]http://ersyrt5h.7***.org/web/40/d.css
                [script]http://ersyrt5h.7***.org/web/40/e.jpg
                [script]http://ersyrt5h.7***.org/web/40/f.css
该挂马网页利用以下漏洞进行传播：
MS08-041漏洞
MS06-014漏洞
联众ConnectAndEnterRoom ActiveX控件栈溢出漏洞
暴风影音2009(mps.dll)ActiveX远程栈溢出漏洞
Real Networks RealPlayer 'rmoc3260.dll' ActiveX控件内存破坏漏洞
MS09-002漏洞
Adobe Flash Player SWF漏洞
超星阅读器4.0漏洞
联众世界GLWorld HanGamePluginCn18类ActiveX控件栈溢出漏洞
MS09-032漏洞
MS09-043漏洞
Qvod Player漏洞
中国游戏中心游戏大厅 (CGAgent.dll)ActiveX远程栈溢出漏洞
RealPlayer播放器IERPCtl.IERPCtl.1漏洞
Mozilla Firefox 3.5字体标签远程缓存溢出漏洞
Adobe Reader PDF漏洞

具体漏洞描述与解决方案请参见：
http://www.antiy.com/cn/security/2009/solution.htm

当用户访问挂马网站，系统会自动下载病毒文件：
    当用户访问北京大学外国哲学研究所(http://www.ifp.pku.edu.cn/)时，含有漏洞的系统会自动从恶意网站下载大量病毒文件，并在本机上运行，病毒文件主要以网络游戏盗号类木马为主，病毒的具体描述信息如下：
1、网页木马直接下载的病毒文件：
http://fuck.***.la/4.exe 病毒名：Backdoor/Win32.Delf.qio
病毒描述：
连接网络，读取病毒下载列表进而下载病毒文件，并在本机运行
衍生文件：
c:\Program Files\Common Files\System\admin.obj
c:\Program Files\Common Files\System\QQjiji.exe
c:\Program Files\IDM Computer Solutions\UltraEdit-32\ws2help.dll
c:\Program Files\7-Zip\ws2help.dll
c:\Program Files\WinRAR\WinRAR.exe
c:\Program Files\WinRAR\ws2help.dll
2、下载者木马读取下载列表地址
http://c.mm***.cn/a.jpg
3、由下载者木马下载的其他病毒文件：
http://1.wg*****.cn/1.bmp
http://1.wg*****.cn/2.bmp
http://1.wg*****.cn/3.bmp
http://1.wg*****.cn/ie.bmp

安天反病毒工程师建议：
1. 使用安天防线2009或锐甲可以有效防范此挂马网页。
2. 用安天防线2009可以查杀此挂马网页下载的病毒文件。
3. 请及时更新安天防线2009，以确保您的计算机安全，防止计算机病毒入侵。如未安装安天防线请点击此处（http://www.antiyfx.com/download.htm），免费下载最新版安天防线2009。