一、事件分析：

　　该页面（http://games.***.com.cn/zhoubian/realdoll.php？&page=1）被黑客以框架的形式嵌入了网页木马页面： http://www.souxse.cn/***/695.htm。695.htm页面内包含三个统计脚本和一个以框架的形式嵌入的页面14.htm。14.htm为加密后的网页木马，所利用的漏洞有：系统漏洞MS06014、暴风影音II mps.dll ActiveX栈溢出漏洞、PPStream堆栈溢出漏洞、联众游戏聊天室组件漏洞、超星阅览器Pdg2 ActiveX控件栈溢出漏洞、迅雷ActiveX控件DownURL2方式远程缓冲区溢出漏洞、RealPlayer ierpplug.dll ActiveX控件播放列表名称栈溢出漏洞、百度超级搜霸远程代码执行漏洞，几乎囊括了所有的流行应用程序漏洞。当计算机有漏洞的用户浏览到该页面时将触发漏洞，在后台自动下载木马并运行。

挂马页面源码截图：

解密后的网页木马截图：并根据其中的地址下载大量的木马并运行。所下木马大部分为Trojan-PSW.Win32.OnLineGames家族的木马。如：

　　木马程序 Trojan-PSW.Win32.QQPass.agd 文件： 1.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.efn 文件： 2.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.egi 文件： 4.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.dzp 文件： 5.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.ecl 文件： 6.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.dzz 文件： 7.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.ebf 文件： 8.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.edv 文件： 9.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.eeh 文件： 91.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.eii 文件： 92.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.eie 文件： 93.exe

　　木马程序 Trojan-Dropper.Win32.VB.te 文件： ii.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.ihw 文件： vv0.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.ipf 文件： vv1.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.isb 文件： vv11.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.ini 文件： vv12.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.hwu 文件： vv13.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.ioi 文件： vv15.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.iof 文件： vv17.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.ioe 文件： vv18.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.ipx 文件： vv19.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.htv 文件： vv20.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.isb 文件： vv3.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.ioo 文件： vv4.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.ikj 文件： vv5.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.iiv 文件： vv6.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.hqi 文件： vv7.exe

　　木马程序 Trojan-PSW.Win32.OnLineGames.hyl 文件： vv8.exe

　　以上木马运行后将监视用户系统，窃取用户的QQ账号/网游账号等。其中一部分木马做了免杀处理以逃避杀毒软件的查杀。

　　二、解决方案

　　1、推荐安装超级巡警监测查杀以上木马。

　　2、请广大用户及时更新常用应用软件，防止漏洞攻击。

　　3、建议用户不要使用IE内核的浏览器。

　　4、对于已经中毒用户，建议及时修改自己的QQ/网游账号密码。

　　5、建议用户使用超级巡警的恶意网站屏蔽功能屏蔽www.souxse.cn。

　　下载的木马地址为：http://www.souxse.cn/**.exe，此木马会链接网络获取http://www.souxse.cn/****.txt文件，