Kiken URL List

Kiken URL List

http:// IPアドレスから始まるURL ( 81.0.0.0 ～ 90.255.255.255 )

このページは危険と思われるURLでhttp:// IPアドレス から始まるURLを掲載していますが、
そのうち、http:// 81.0.0.0 から http:// 90.255.255.255 までを掲載しています。
他のサイトからこのページに来られた方は最初に Kiken URL List のトップページをよく読んでください。

Kiken URL List の見方

通し番号．

URL（数字→アルファベット順）
[確認日/掲載日]　鑑定結果/解説

　　← このようになっています。

通し番号はページ更新毎にURLの追加／削除があり、更新するたびに変動する、と思ってください。

http://81.29.241.160/in.php?1353043061

[2007/03/26] ウィルス名：EXPL_EXECOD.A

http://81.29.241.160/in.php?2856985855

[2007/06/02] 真っ白なページ。バスター無反応だが、他社製アンチウィルスソフトでは反応があると思われる。

http://81.29.241.160/st/dat/count.jar

[2007/06/02] ウィルス名：JAVA_BYTEVER.A＋JAVA_BYTEVER.AB＋JAVA_BYTEVER.AC

http://81.29.241.160/st/index.php

[2007/06/02]

真っ白なページの上のほうに「wait until page will be loaded.... 50%」と書かれているページ。
バスター無反応だが、他社製アンチウィルスソフトでは反応があると思われる。

http://81.29.241.180/user2/bond0018/service32.exe

[2006/12/25]

2006/12/09 にトレンドマイクロ社にファイルを提出。
今日、その結果の連絡があり、ウィルス名：TROJ_SMALL.DXF として検出するよう対応、とのこと。
実際に 2006/12/09 にDLしたファイルと、今日改めてDLしたファイルからウィルス名：TROJ_SMALL.DXF を検出することを確認。
2006/12/09 から今日までのファイルの置き換えは無いと推測される。

http://81.29.241.234/user1/neon0158/index.php

[2007/04/15] 真っ白なページ。バスター無反応だが、他社製アンチウィルスソフトではウィルス反応があると思われる。

http://81.95.146.147/

[2007/04/27] 「g.exe」なるファイルが落ちてくるが、ウィルス名：TROJ_GENERIC を検出。

http://81.176.73.169/bags/

[2005/09/18]

踏むと真っ白なページだが、ActiveXの実行あり。それと、下の 1. のURLを開こうとしている。
また、このURLに関連付けられているURLは下の 2. 3. 4. である。

//81.176.73.169/bags/indexcmd.html
//81.176.73.169/bags/cursor.anr
//81.176.73.169/bags/count.jar
//81.176.73.169/bags/openpass.exe

http://81.176.73.169/bags/cmd.exe

[2005/09/27]

exeは無いらしく、ソースチェッカーによると、Locationヘッダで下のURLに飛ぶ。
//81.176.73.169/bee/line900
踏むとタイトルが「MioPics」というページを表示するのだが、何度確認しても表示ウィンドウは最小化する。
直後にウィルス名：HTML_PHEL.AY を検出。そのまま放っておくとウィルス名：JAVA_BYTEVER.A を検出。さらに放っておくとウィルス名：TROJ_ANICMOO.T を検出。

http://81.176.73.169/bags/count.jar

[2005/09/18] ウィルス名：JAVA_BYTEVER.A

http://81.176.73.169/bags/cursor.anr

[2005/09/18]

バスター無反応だが、以下のアンチウィルスソフトで反応。
AntiVir → Exploit/MS05-002.Ani.A
BitDefender → Exploit.Win32.MS05-002.Gen
ClamAV → Exploit.W32.MS05-002
Dr.Web → Exploit.ANIFile
Kaspersky → Trojan-Downloader.Win32.Ani.c
NOD32 → Win32/TrojanDownloader.Ani.gen

http://81.176.73.169/bags/indexcmd.html

[2005/09/27] ウィルス名：HTML_PHEL.AY 。ソースを取得しようとしてもウィルス反応する。

http://81.176.73.169/bags/openpass.exe

[2005/09/18]

バスター無反応だが、以下のアンチウィルスソフトで反応。知られていないウィルスのようだが、Norman Virus Controlでの結果から察すると Malware なのであろう。
F-Prot Antivirus → unknown virus
NOD32 Found probably → NewHeur_PE
Norman Virus Control → Sandbox: W32/Malware; [ General information ]

http://81.176.73.169/bags/x.chm

[2005/10/02] コンパイル済み HTML ペルプファイルが落ちてくるが、ウィルス名：CHM_CODEBASE.AA を検出。

http://81.176.73.169/bee/line800/

[2005/09/16]	踏むと下の①のURLに飛び、少しの間、HDDが唸る。 ①、//content-loader.com/load3/?wmid=grado ソースを見ると、以下のURLをwindow openで 1. 2. 3. 4. を開き、IFRAMEタグで 1. 2. 3. 4. 5. を呼び出すようになっている。 //81.176.73.169/bee/line800/redirect/dir1.php //81.176.73.169/bee/line800/redirect/dir2.php //81.176.73.169/bee/line800/redirect/dir3.php //81.176.73.169/bee/line800/redirect/dirVXI.php //81.176.73.169/bee/line800/redirect/index.php?accr=line800 何故、①に飛ぶかは 5. によるものである。5. は踏むと①に飛ぶようになっている。
[2005/09/18]	再確認。[2005/09/16] の時とソースが若干ながら変更されている。踏むとタイトルが「MioPics」というページだが、HDDが唸り出し、ウィルス名：VBS_PSYME.AN を検出。その後、ウィルス名：JAVA_BYTEVER.A を２回に分けて検出。ダイアログも出る。これは表示しなかった。ソースを見ると以下のURLがwindow open 、IFRAMEタグの両方で新たに呼ばれている。 //81.176.73.169/bee/line800/redirect/dir0.php
[2005/09/18]	他の方の結果では、アンチドートでウィルス＆懐疑ファイル検出。 ClamWinで以下の反応があるらしい。 Exploit.W32.MS05-002 、Exploit.HTML.MHTRedir.2n 、Trojan.Downloader.Psyme-3 、Exploit.W32.MS05-002 、Exploit.MS05-001.gen
[2005/09/21]	－踏まれた方のレスを記載－「Windows起動するたびに毎回毎回ウイルスバスターが反応するようになってしまった。」
[2005/10/23]	「Ｆセキュア(アンチウイルスソフト)にて複数のウイルスを検知、踏んだところ、IEが無応答状態に陥り、CPUへ高い負荷がかかっています。」「VBがウィルス名：JS_MHTREDIR.AP を検出。」
[2005/10/24]	他の方の2chでの結果は以下の「」内。「当方の環境のせいかもしれませんが何も表示されません。ウイルスも検出されません。ただし、ソースを見る限り踏まないほうがいいと思われます。確証はありませんが要注意です。」

http://81.176.73.169/bee/line800/redirect/dir0.php

[2005/09/18]

ActiveXの実行あり。その後、ウィルス名：JAVA_BYTEVER.A を検出。これも表示する。
ソースを見るとIFRAMEタグで下のURLを呼び出しているので、そちらのURL解説も参照。
//81.176.73.169/bags/

http://81.176.73.169/bee/line800/redirect/dir1.php

[2005/09/16]

踏むといきなりこれを表示。
「はい」を選ぶとそれで終わり。「いいえ」を選ぶとタスクバーに残り、それを最大化してみると真っ白なページ。
ソースを見るとIFARMEタグで //85.255.113.4/dl/adv730.php を呼んでいる。
この //85.255.113.4/dl/adv730.php は、直踏みでは「Internal Server Error」になるが、view-source: を付けてソースを見るとちゃんとソースが存在する。しかもコード変換されたソースである。

[2005/10/21]

踏むとウィンドウサイズが最小化する。最大化することも出来るが、最大化してみると真っ白なページ。

http://81.176.73.169/bee/line800/redirect/dir2.php

[2005/09/16]

踏むとウィルス名：VBS_PSYME.AN を検出。何回か確認してみると、VBS_PSYME.AN を検出後にウィルス名：JAVA_BYTEVER.A を稀に検出する。
そしてこれを表示。
ソースを見るとIFARMEタグで //205.252.250.226/zator/adv3061/ を呼んでいる。

http://81.176.73.169/bee/line800/redirect/dir3.php

[2005/09/16] ダイヤラーを落としてくる。

http://81.176.73.169/bee/line800/redirect/dirVXI.php

[2005/09/16] ウィルス名：JAVA_BYTEVER.A を検出。そしてこれを表示。
ソースを見るとIFARMEタグで //allcount.net/lo/x12.php を呼んでいる。

http://81.211.105.37/579/ar3.jar

[2004/08/10] ウィルス名：JAVA_BYTEVER.A-1

http://81.222.131.44/out_main.exe

[2005/04/01] ウィルス名：TROJ_SMALL.BU

http://81.222.131.59/dl/adv659/sploit.anr

[2005/05/25]

バスター無反応だが、以下のアンチウィルスソフトでウィルスを検出。
AntiVir → TR/Exploit.MS05-002.Ani.A
BitDefender → Exploit.Win32.MS05-002.Gen
ClamAV → Exploit.W32.MS05-002
Dr.Web → Exploit.ANIFile
Kaspersky → Trojan-Downloader.Win32.Ani.c
NOD32 → Win32/TrojanDownloader.Ani.C
VBA32 → Trojan-Downloader.Win32.Ani.c

http://81.222.131.59/dl/adv659/x.chm

[2005/05/25]

バスター無反応だが、以下のアンチウィルスソフトでウィルスを検出。
BitDefender → Exploit.Html.Codebase.Exec.Gen
ClamAV → Exploit.HTML.Codebase.Exec.gen-2
Kaspersky → Trojan-Downloader.Win32.Small.aod, Exploit.HTML.CodeBaseExec
NOD32 → Exploit.CodeBase, probably unknown NewHeur_PE
VBA32 → Trojan.Downloader.Harnig.4, Exploit.HTML.CodeBaseExec

http://81.223.40.244/download/fotos18042009.exe

[2009/08/04] ファイルサイズ：197 KB 。ウィルス名：TROJ_DLOADER.YDU

http://82.98.235.173/ex3/i.exe

[2009/08/04] ファイルサイズ：35.0 KB 。ウィルス名：TROJ_SMALL.TIT

http://82.179.166.2/7dafac97/test2/iejp.htm

[2005/07/12]

HDDがガリガリ唸り出し、唸り終わるとウィルス名：TROJ_SMALL.AMI を検出。同時にIEが落ちる。
ソースは暗号化されていて、読みにくくされている。

http://82.179.166.69/20647/
http://82.179.166.69/20647/arr3.jar

[2005/07/29] ウィルス名：JAVA_BYTEVER.A-1

http://82.179.166.69/dia152/

[2005/09/10]

このURLのある相手サーバーが非力らしい。繋がったり、繋がらなかったりする。
繋がった場合は /arr3.jar を落としてくるため、ウィルス名：JAVA_BYTEVER.A-1 を検出する。
このURLのソースは一部JScriptで暗号化されている。

http://82.179.166.69/dia152/arr3.jar

[2005/09/10] ファイルサイズ：19.3 KB。ウィルス名：JAVA_BYTEVER.A-1
落ちてこない場合がある。その割合は半々くらい。

http://82.179.166.69/dia218/
http://82.179.166.69/dia218/arr3.jar

[2005/03/08] ウィルス名：JAVA_BYTEVER.A-1

http://82.179.166.145/index2.php?aid=x19

[2005/05/05] //82.179.166.145/x19.php をobject実行しようとしている。

http://82.179.166.145/x19.php

[2005/05/05]

「x19.hta」という名のファイルが落ちてくる。バスター無反応だが以下のアンチウィルスソフトでウィルスを検出。
AVG Antivirus → Dropper.Inor
F-Prot Antivirus → JS/StartPage.S
Kaspersky Anti-Virus → Trojan.JS.StartPage.a
mks_vir → Trojan.HTML.JScript/VBS.Esepor.Dropper
Norman Virus Control → VBS/GenDrp.C

http://82.179.170.11/1085/

[2005/07/12] 真っ白なページだが、ウィルス名：JAVA_BYTEVER.A-1 を検出。一部JScriptで暗号化されている。

http://82.179.170.11/35167/

[2005/07/12] ウィルス名：JAVA_BYTEVER.A-1 。ソースの約半分はjscript.encodeされて読めないようになっている。

http://82.179.170.11/100005/

[2005/06/17] ウィルス名：JAVA_BYTEVER.A-1 。ソースの約半分はjscript.encodeされて読めないようになっている。

http://82.179.170.11/100005/arr3.jar

[2005/06/17] ウィルス名：JAVA_BYTEVER.A-1

http://82.179.170.11/dap035/
http://82.179.170.11/dap035/arr3.jar

[2005/06/03] ウィルス名：JAVA_BYTEVER.A-1

http://82.179.170.11/dia358/

[2005/04/13] /arr3.jar をAPPLET実行する。ただし、実行されずにウィルス発症しない時もある。

http://82.179.170.11/dia552/

[2005/10/10] 踏むと真っ白なページだが、少し経ってからウィルス名：JAVA_BYTEVER.A-1 を検出。
ソースを見ると一部jscript.encodeされている。

http://82.179.170.11/dia552/arr3.jar

[2005/10/10] ウィルス名：JAVA_BYTEVER.A-1

http://82.179.170.11/dia358/arr3.jar

[2005/04/13] ウィルス名：JAVA_BYTEVER.A-1

http://82.196.67.62/f.html

[2004/10/10] ウィルス名：JAVA_BYTEVER.A＋JAVA_BYTEVER.A-1

http://82.211.81.100/Hallmark/E-Card.php

[2009/03/15] 「E-Cards.exe」ファイルが落ちてくるが、ウィルス名：TROJ_AGENT.AMRL を検出。

http://83.17.250.238/webalizer/.dsd/chargescombr.exe

[2007/03/14]

2007/01/26 にトレンドマイクロ社にファイルを提出。
2007/02/09 にその結果の連絡があり、ウィルス名：TSPY_BANCOS.CDW として検出するよう対応、とのこと。
実際に 2007/01/26 にDLしたファイルと、今日改めてDLしたファイルからウィルス名：TSPY_BANCOS.CDW を検出することを確認。
2007/01/26 から今日までのファイルの置き換えは無いと推測される。

http://83.103.59.84/bsto/gr/game.exe

[2006/08/18]

2006/08/12 にトレンドマイクロ社にファイルを提出。
今日、その結果の連絡があり、ウィルス名：DIAL_RAS.GU として検出するよう対応した、とのこと。
2006/08/12 にDLしたファイルからウィルス名：DIAL_RAS.GU を検出することを確認。
また、今日改めて当該URLからDLしてみてもウィルス名：DIAL_RAS.GU を検出することを確認。

http://83.103.59.84/cale/gioca.exe

[2009/08/04] ファイルサイズ：27.0 KB 。ウィルス名：TROJ_DIALER.AN

http://83.240.230.53/webmail/data/cartao.exe
http://83.240.230.53/webmail/data/registro.exe

[2008/07/26] ウィルス名：TSC_GENCLEAN＋TROJ_MALM2M.A

http://84.16.247.29/maldef09/install.php

[2009/03/23] 「MalwareDefender2009.exe」ファイルが落ちてくる。ファイルサイズ：68.5 KB 。
このファイルからウィルス名：TROJ_FAKEAV.LEA を検出。

http://84.20.251.223:7777/dt/setup.exe

[2009/08/04] ファイルサイズ：42.6 KB 。ウィルス名：TROJ_KRYPTIK.GP

http://84.108.90.132/dt/

[2009/03/15]

こんな感じのサイトで、ウィルス名：HTML_KOOBFACE.BA を検出。
検出先は「dt.htm」だが、これがどこにあるのかは不明。
また、画面上でクリックすると「setup.exe」ファイルが落ちてくるが、ウィルス名：WORM_KOOBFACE.BE を検出。

http://84.108.90.132/dt/setup.exe

[2009/03/15] ファイルサイズ：30 KB 。ウィルス名：WORM_KOOBFACE.BE

http://85.17.166.232/form/index.dll?setid=irq4&affid=164573&uid=F12497C0820D11DD9EE5164573CFFFFF&rid

[2009/02/12]

「index」という名前の拡張子不明のファイルが落ちてくる。ファイルサイズ：123 KB 。
2008/12/17 にDLしたファイルにはウィルス名：TROJ_VUNDO.EII として対応済。
しかし、今日改めて当該URLからDLしてみるとバスター無反応。
しかし、Windows Defender がトロイの木馬：Trojan:Win32/Vundo.IB を検出。
不定期的にファイルの置き換えが行われている可能性が高い。

http://85.255.113.10/?to=bundy4&from=in&type=in

[2005/08/16]	Locationヘッダで //www.wearehosters.com/v497/wow.html に飛ぶので、こちらのURL解説を参照。
[2005/09/12]	再確認。以下のURLに飛び、ウィルス名：EXPL_IFRAMEBO.A を検出。 //www.wearehosters.com/v497/wow.html

http://85.255.113.10/?to=nan40&from=in

[2006/03/04] Location ヘッダで以下のURLに飛ぶ。
//85.255.113.83/users/fill/web/count.php?id=nan40

http://85.255.113.10/?to=nan94&from=in

[2006/11/11]

踏むと下のURLに飛び、何かを呼び出している挙動を確認するが、バスターは無反応。ソースはコード変換されている。
//85.255.117.174/users/mexx/web/count.php?id=nan94
他の方の結果では、Kaspersky で Trojan-Downloader.JS.Inor.a を検出するらしい。

http://85.255.113.10/?to=npablo&from=in

[2005/07/12] //www.daily-search.com/toplist.html に飛ぶ。

http://85.255.113.10/?to=thangall&from=in

[2006/03/05]

以下のURLに飛ぶ。しかし、２回目以降の確認では何度確認しても「ページを表示できません」であった。
//85.255.113.83/users/fill/web/count.php?id=thangall

http://85.255.113.18/inc/bundy4.html

[2005/08/16]	ウィルス名：EXPL_IFRAMEBO.A＋JAVA_BYTEVER.A //85.255.113.10/?to=bundy4&from=in&type=inを呼んでいるので、こちらのURL解説を参照。
[2005/09/12]	再確認。ウィルス名：EXPL_IFRAMEBO.A＋JAVA_BYTEVER.A IFRAMEタグで以下のURLをheight="0px"width="0px"の大きさで呼ぶ。 //85.255.113.10/?to=bundy4&from=in&type=in

http://85.255.113.18/inc/npablo.html

[2005/07/12] //85.255.113.10/?to=npablo&from=in に飛ぶ。

http://85.255.113.22/inc/nan40.html

[2006/03/04]

HDDが唸りだし、「res.wmf」ファイルをDLしろ、と言ってくる。同時にウィルス名：EXPL_WMF.GEN を検出。更に唸り続け、ウィルス名：JAVA_BYTEVER.A を検出。
ソースでは、IFRAMEタグで以下のURLを呼ぶようになっている。
//85.255.113.10/?to=nan40&from=in

http://85.255.113.22/inc/nan49.html

[2006/04/14]	ウィルス名：TROJ_NASCENE.Y＋EXPL_WMF.GEN 。「xpl.wmf」ファイルもDLしろ、と言ってくる。
[2006/04/25]	他の方の結果は以下の「」内。「Win32/Exploit.WMF 、Win32/TrojanDownloader.Ani.gen 検出です。」

http://85.255.113.22/inc/thangall.html

[2006/03/05] 真っ白なページだが、IFRAMEタグで以下のURLを呼び出している。
//85.255.113.10/?to=thangall&from=in

http://85.255.113.82/users/good/web/count.php?id=nan80

[2005/11/05] ウィルス名：JS_INOR.AB 。ソースの大部分はコード変換されている。

http://85.255.113.83/users/fill/web/count.jpg

[2006/11/02] ウィルス名：TROJ_DNSCHANGE.A 。正しい拡張子はexe。

http://85.255.113.83/users/fill/web/count.php?id=nan40

[2006/03/04]

短期間でソースを更新している模様。[2006/03/01]時点では以下の ① を呼ぶようになっていた。
今日改めて確認したところ、１回目の確認では、② に飛んだのを確認。
２回目以降は、飛ばずにこんな感じに表示、左上のほうに何かを呼び出している形跡がある。
①、//85.255.113.83/users/fill/web/xxx.wmf
②、//traff-store.com/gallery20075/l2/

http://85.255.113.83/users/fill/web/count.php?id=thangall

[2006/03/05]

踏むとHDDが唸り出し、こんな感じに表示する。
何かを呼び出しているようで、ソースを調べると、ソースのほとんどがコード変換されている。
何を呼び出しているのかは不明。バスターは無反応であった。

http://85.255.113.83/users/fill/web/xxx.wmf

[2006/03/04]	ウィルス名：EXPL_WMF.GEN＋TROJ_NASCENE.Y
[2006/03/04]	他の方の結果では「wmfファイルの処理に関する脆弱性をついたトロイです。有害です。が、ウィルス対策ソフトが入ってれば殆ど大丈夫、WindowsUpdateをちゃんとやってれば大丈夫。」

http://85.255.113.83/users/fill/web/xxx.wmfWin32/Exploit.WMF

[2006/03/01] 直踏みではこんな感じの画面を表示。
バスター無反応だが、他アンチウィルスソフトで反応があるらしい。

http://85.255.113.214/1/gdnFR2218.exe

[2006/08/18]

2006/08/12 にトレンドマイクロ社にファイルを提出。
今日、その結果の連絡があり、ウィルス名：DIAL_RAS.GP として検出するよう対応した、とのこと。
2006/08/12 にDLしたファイルからウィルス名：DIAL_RAS.GP を検出することを確認。
しかし、今日改めて当該URLからDLしてみるとウィルス未検出。
恐らく、新しいファイルに随時置き換えられるURLと推測される。

http://85.255.113.242/adv/012/

[2005/10/16]

踏むと真っ白なページだが、ウィルス名：JAVA_BYTEVER.A を検出。
ソースのほとんどがこのようにコード変換されている。
その中に以下の４つのファイルと関連していることが分かる。
//85.255.113.242/adv/012/sploit.anr
//85.255.113.242/adv/012/count.jar
//85.255.113.242/adv/012/win32.exe
//85.255.113.242/adv/012/targ.chm

http://85.255.113.242/adv/012/count.jar

[2005/10/16] ウィルス名：JAVA_BYTEVER.A

http://85.255.113.242/adv/012/sploit.anr

[2005/10/16]

バスター無反応だが、以下のアンチウィルスソフトで反応。ちなみにIEで開いても何も無い。
AntiVir → Exploit/MS05-002.Ani.A
BitDefender → Exploit.Win32.MS05-002.Gen
ClamAV → Exploit.W32.MS05-002
Dr.Web → Exploit.ANIFile
Fortinet → W32/Dloader.KH-dldr
Kaspersky → Trojan-Downloader.Win32.Ani.c
NOD32 → Win32/TrojanDownloader.Ani.gen
VBA32 → Trojan-Downloader.Win32.Ani.c

http://85.255.113.242/adv/012/targ.chm

[2005/10/16]

バスター無反応だが、以下のアンチウィルスソフトで反応。
BitDefender → Trojan.Codeba.A, Trojan.Downloader.Small.AMA
Dr.Web → Exploit.CodeBase, Trojan.DownLoader.2489
NOD32 → Win32/TrojanDownloader.Small.APD, a variant of Win32/TrojanDownloader.Small.AWA
VBA32 → Trojan.Downloader.Small.25

http://85.255.113.242/adv/012/win32.exe

[2005/10/16]

バスター無反応だが、以下のアンチウィルスソフトで反応。
AntiVir → Trojan/Dldr.Small.agq.4
BitDefender → Trojan.Downloader.Small.AMA
Dr.Web → Trojan.DownLoader.2489
F-Prot Antivirus → unknown virus
NOD32 → a variant of Win32/TrojanDownloader.Small.AWA
VBA32 → Trojan.Downloader.Small.25

http://85.255.113.242/adv/047/

[2005/12/16] 踏むと真っ白なページ。暫く放っておくとウィルス名：JAVA_BYTEVER.A＋JAVA_BYTEVER.AB＋JAVA_BYTEVER.AC を検出。

http://85.255.113.242/adv/053/new.php

[2006/01/05]

こんな感じのページ。踏むとまず、ウィルス名：TROJ_NASCENE.GEN を検出。数秒してウィルス名：JAVA_BYTEVER.A＋JAVA_BYTEVER.AB＋JAVA_BYTEVER.AC を検出。

http://85.255.113.242/adv/120/count.jar

[2006/01/03] ウィルス名：JAVA_BYTEVER.A＋JAVA_BYTEVER.AB＋JAVA_BYTEVER.AC

http://85.255.113.242/adv/120/new.php

[2005/12/31]

ウィルス名：TROJ_NASCENE.GEN 。IFRAMEタグで以下のWMFファイルを呼び出している。
//85.255.113.242/adv/120/xpl.wmf

[2006/01/03]

改めて確認。ソースが大幅に変更されている。
確認時のこのURLのソースはこれ。コード変換してある部分がほとんどで、分かりにくいように工夫している。
それを復号化したものがこれ。これでも一部読みにくくなっている。
要は以下の４つのURLが呼び出される。　４つ全てウィルスを検出するので注意。
//85.255.113.242/adv/120/xpl.wmf
//85.255.113.242/adv/120/sploit.anr
//85.255.113.242/adv/120/count.jar
//85.255.113.242/adv/120/win32.exe

http://85.255.113.242/adv/120/sploit.anr

[2006/01/03]

バスター無反応だが、以下のアンチウィルスソフトで反応。実行してみたが、出来なかった。
AntiVir → Exploit/MS05-002.Ani.A exploit
AVG Antivirus → Exploit.MS05-002
BitDefender → Exploit.Win32.MS05-002.Gen
ClamAV → Exploit.W32.MS05-002
Dr.Web → Exploit.ANIFile
Fortinet → W32/Dloader.KH-dldr
Kaspersky Anti-Virus → Trojan-Downloader.Win32.Ani.c
NOD32 → Win32/TrojanDownloader.Ani.gen
VBA32 → Trojan-Downloader.Win32.Ani.c

http://85.255.113.242/adv/120/win32.exe

[2006/01/03]

バスター無反応だが、以下のアンチウィルスソフトで反応。実行してみたが、実行の途中で、止まってしまった。
AntiVir → Trojan/Dldr.Small.agq.4
BitDefender → Dropped:Generic.Malware.SY.8106CB7F
Dr.Web → Trojan.DownLoader.2489
F-Prot Antivirus → unknown virus
Kaspersky Anti-Virus → Trojan-Downloader.Win32.Tibs.bg
NOD32 → probably a variant of Win32/TrojanDownloader.Small.AWA
VBA32 → MalwareScope.Downloader.Small.1

http://85.255.113.242/adv/120/xpl.wmf

[2005/12/31] ウィルス名：TROJ_NASCENE.GEN

http://85.255.114.166/1/rdgAR2404.exe
http://85.255.114.166/1/rdgAU2404.exe
http://85.255.114.166/1/rdgBE2404.exe
http://85.255.114.166/1/rdgBR2404.exe
http://85.255.114.166/1/rdgBS2404.exe
http://85.255.114.166/1/rdgCA2404.exe
http://85.255.114.166/1/rdgCA2405.exe
http://85.255.114.166/1/rdgDE2404.exe
http://85.255.114.166/1/rdgDE2405.exe
http://85.255.114.166/1/rdgDK2404.exe
http://85.255.114.166/1/rdgDK2405.exe
http://85.255.114.166/1/rdgFI2404.exe
http://85.255.114.166/1/rdgFR2535.exe
http://85.255.114.166/1/rdgFR2538.exe
http://85.255.114.166/1/rdgGB2405.exe
http://85.255.114.166/1/rdgLT2405.exe
http://85.255.114.166/1/rdgMX2404.exe
http://85.255.114.166/1/rdgNL2511.exe
http://85.255.114.166/1/rdgNL2538.exe
http://85.255.114.166/1/rdgPL2404.exe
http://85.255.114.166/1/rdgPL2405.exe
http://85.255.114.166/1/rdgSE2405.exe
http://85.255.114.166/1/rdgTH2404.exe
http://85.255.114.166/1/rdgUS2404.exe

http://85.255.114.166/1/rdgUS2405.exe

[2006/07/25]

2006/07/12 にトレンドマイクロ社にファイルを提出。
2006/07/20 に返事があり、「ウイルスパターンファイル 3.569.00 にてウィルス名：TROJ_OBFUSCATE.R として対応」とのこと。
しかし、実際にDLしてみると、バスター無反応であったので、トレンドマイクロ社に再調査依頼。
今日、返事があり、ウイルスパターンファイル 3.589.00 にてウィルス名：TROJ_DLOADER.DFW として対応とのこと。
しかし、実際にDLしてバスター無反応であった。恐らく、随時、新しいファイルに置き換えられるURLと推測される。

[2006/07/25]

ANTIDOTE では全て Trojan-Downloader.Win32.Obfuscated.n を検出するらしい。

http://85.255.116.203/5/inp/inp2.php

[2006/12/10] 真っ白なページだが、ウィルス名：JS_DLOADER.GIH＋EXPL_WMF.GEN を検出。
コマンドプロンプト画面も４枚表示する。

http://85.255.116.203/5/sns/index.exe

[2007/01/16]

2006/12/28 にトレンドマイクロ社にファイルを提出。
今日、その結果の連絡があり、ウィルス名：TROJ_ZLOB.FWY として検出するよう対応、とのこと。
実際に 2006/12/28 にDLしたファイルと、今日改めてDLしたファイルからウィルス名：TROJ_ZLOB.FWY を検出することを確認。
2006/12/28 から今日までのファイルの置き換えは無いと推測される。

http://85.255.116.204/5/s1s/index.chm

[2007/01/23] ウィルス名：CHM_DLOADER.BEE

http://85.255.116.206/5/newe/assemble1.htm

[2006/12/10] ウィルス名：JS_DLOADER.GIH＋EXPL_WMF.GEN
真っ白なページだが、何かを呼び出している形跡がある。コマンドプロンプト画面も４枚表示する。

http://85.255.116.206/5/newe/css.wmf

[2006/12/10] ウィルス名：EXPL_WMF.GEN

[2007/01/02] 「Exploit-MS05-053」というマイクロソフト社製品の脆弱性 MS05-053 を利用する不正なWMFファイル。

http://85.255.116.206/5/newe/index.ani

[2006/12/28]

2006/12/10 にトレンドマイクロ社にファイルを提出。
今日、その結果の連絡があり、ウィルス名：TROJ_ANI.AI として検出するよう対応、とのこと。
実際に 2006/12/10 にDLしたファイルと今日改めてDLしたファイルからウィルス名：TROJ_ANI.AI を検出することを確認。
2006/11/26 から今日まではファイルは置き換えられていないと推測される。

http://85.255.116.206/5/newe/prepare.htm

[2006/12/10] 真っ白な画面の左上に「Please wait」とだけ書かれたページだが、ウィルス名：JS_DLOADER.GIH を検出。
コマンドプロンプト画面も表示する。

http://85.255.116.206/5/nw/

[2006/12/28]

真っ白なページだが、ウィルス名：JS_DLOADER.GIH を４つ検出する。
ソースを見ると、IFRAMEタグで以下のURLを４つ呼び出す記述がある。これが原因。
//85.255.116.206/5/nw/prepare.htm
コマンドプロンプトも４つ起動する。

http://85.255.116.206/5/nw/prepare.htm

[2006/12/28]

真っ白なページの左上のほうに「Please wait」とだけ書かれたページだが、ウィルス名：JS_DLOADER.GIH を検出。
コマンドプロンプトも起動する。

http://85.255.116.234/8.htm

[2007/05/05] 海外アダルトリンクページだが、ウィルス名：EXPL_ANICMOO.GEN を検出。

http://85.255.116.234/51.htm

[2007/05/05] 海外アダルトリンクページだが、ウィルス名：EXPL_ANICMOO.GEN を検出。

http://85.255.117.38/_cnt2.htm

[2006/03/06]	踏むと以下のURLに飛び、ウィルス名：HTML_HTHELP.A を検出。 //85.255.117.38/cnt2_c7bd6gf.htm
[2006/03/10]	他の方の結果では「Win/32Exploit.WMF Download.Trojan を検出。」
[2006/04/22]	「VB2006は「HTML_HTHELP.A」として検出しましたが何か違うような気が… 踏んだ時の挙動が前にcreateTextRange()メソッドの脆弱性を利用した exploit code を試した時に似ています。 4/12付けのWindowsUpdate済ませていないなら有害物を仕掛けられている可能性も有ります。」

http://85.255.117.38/cnt2_c7bd6gf.htm

[2006/03/06]

こんな感じのページを表示するが、ウィルス名：HTML_HTHELP.A を検出。
また、「cnt2.hta」なるファイルをDLしろ、と言ってくる。
「cnt2.hta」にはバスター無反応だが、以下のアンチウィルスソフトで反応。
AntiVir → Java-Script/Dlr.Small.BF.1 script-virus
ArcaVir → VBS.Wipup
BitDefender → Exploit.ADODB.Stream.O
Fortinet → VBS/Psyme.AY-tr
Kaspersky → Exploit.JS.ADODB.Stream.b
NOD32 → VBS/TrojanDownloader.Psyme.BV

http://85.255.117.38/site.htm?lng=1&trg=rc

[2006/03/05]	海外アダルトサイトでウィルス名：HTML_HTHELP.A を検出。スクリプトエラーもある。但し、２回目以降の確認ではウィルス未検出で、スクリプトエラー警告も無し。 FRAME構成のサイトで、以下の２つのURL先から怪しいURLが呼び出されている模様。 //85.255.117.38/_cnt2.htm //free-spy-cam.net/rc_portal1/index.htm
[2006/03/05]	他の方の結果は以下の「」内。「Kaspersky 反応あり。Trojan-Downloader.Win32.Agent.acd 検出。 wmf の脆弱性を狙った挙動確認。オンラインスキャンなどをしたほうがいいと思います。」

http://85.255.117.50/pa/7/newe/css.wmf

[2006/08/11] ウィルス名：EXPL_WMF.GEN

http://85.255.117.131/users/maxx/web/xxx.jpg

[2007/05/20]

2007/01/26 にトレンドマイクロ社にファイルを提出。
2007/02/09 にその結果の連絡があり、ウィルス名：TROJ_DNSCHANG.LX として検出するよう対応、とのこと。
実際に 2007/01/26 にDLしたファイルからウィルス名：TROJ_DNSCHANG.LX を検出することを確認。
しかし、今日改めてDLしてみると、ウィルス名：TROJ_Generic を検出する。

[2007/05/23]

2007/04/06 にトレンドマイクロ社にファイルを提出。
2007/04/11 にその結果の連絡があり、ウィルス名：TROJ_DNSCHANG.EW として検出するよう対応、とのこと。
しかし、2007/04/06 にDLしたファイルと、今日改めてDLしたファイルからはウィルス名：TROJ_GENERIC を検出。

http://85.255.121.162/download/1011.exe

[2008/07/26] ウィルス名：TSC_GENCLEAN＋TROJ_DNSCHANG.AM

http://87.230.22.208/src/n/Proposta.exe

[2009/08/04] ファイルサイズ：20.0 KB 。ウィルス名：TROJ_DLOAD.QS

http://89.187.49.18/IE-7.0.exe

[2008/08/16]

2008/08/14 にDLした時点ではバスター無反応であった。
しかし、今日改めて　2008/08/14 にDLしたファイルを見てみるとウィルス名：TROJ_DLOADER.JP を検出。
2008/08/14 から今日までの間に対応したと思われる。
また、今日改めて当該URLからDLしようとすると 404 になっていた。

http://89.187.49.18/install.exe

[2008/08/27] ウィルス名：TSC_GENCLEAN＋TROJ_FAKEAV.GL

http://89.187.49.18/madonna.avi.exe

[2008/08/27] ２重拡張子。ウィルス名：TSC_GENCLEAN＋TROJ_FAKEALE.BP

http://89.187.49.18/setup.exe

[2008/08/27] ウィルス名：TSC_GENCLEAN＋TROJ_FAKEALE.BP

http://89.187.49.18/video-paris-hilton.avi.exe

[2008/08/27] ２重拡張子。ウィルス名：TSC_GENCLEAN＋TROJ_FAKEALE.BP

[2006/12/10]	ウィルス名：EXPL_WMF.GEN
[2007/01/02]	「Exploit-MS05-053」というマイクロソフト社製品の脆弱性 MS05-053 を利用する不正なWMFファイル。