जावा / जेएस की शैली में डिटेक्टिव कहानी

चेतावनी: पोस्ट लिखते समय, साइट संक्रमित रहती है। हां, यह जावा (हो सकता है) में एक छेद के माध्यम से आपके विंडोज को संक्रमित कर सकता है ।

पिछली रात, Svyaznoy कंपनी की वेबसाइट को देखते हुए, मुझे संक्रमण के खतरे के बारे में एक Google चेतावनी मिली, निश्चित रूप से मैंने इसे अस्वीकार कर दिया और स्रोत को देखने के लिए मिला (ऐसा मत करो!)
पहली नज़र में, वहाँ कुछ भी खतरनाक नहीं था। मुझे गहरी खुदाई करनी पड़ी और मुझे कुछ दिलचस्प लगा!


धमकी jQuery (jquery.min.js) में छिपी हुई थी, फ़ाइल के बहुत ही अंत में निम्नलिखित कोड बड़े करीने से डाला गया था (मैं वास्तव में इसे निष्पादित करने की सलाह नहीं देता, iframe है !!)।


(कोड: pastebin.com/DSPzeDqd )

एन्क्रिप्टेड टेक्स्ट के "txt" वेरिएबल की शुरुआत से कट (कुछ अक्षर हटाए जाने के बाद), हमें वर्किंग कोड नहीं मिलेगा, जिससे हमें पता चलता है कि वहां क्या छिपा हुआ था।

वह "ट्रोजन" है जिसे Google ने देखा था। IFrame हमें निश्चित रूप से रूसी जड़ों वाली साइट पर ले जाता है - " bul0va। *** " (इसलिए आप मेरी कसम खाएं , आप बेहतर तरीके से वहां न जाएं! वहां ट्रोजन हैं!)

इस साइट के स्रोत कोड का थोड़ा विश्लेषण करने के बाद, हम यह पता लगाने में कामयाब रहे कि एक जावा फ़ाइल भी है। जावास्क्रिप्ट कोड को पार्स करने के लिए शुरू किए बिना, मैं जावा डिकंपाइलर की तलाश में चला गया।
पहली चीज़ जो मुझे मिली, वह थी - http://java.decompiler.free.fr/ ।
सब कुछ काम कर गया। मुझे इस जार फ़ाइल का स्रोत कोड कुछ दिलचस्प "बहुत स्मार्ट" चिप्स के साथ मिला।


(मुख्य वर्ग का कोड: http://pastebin.ru/317047 )

दुर्भाग्य से, मैं समझ नहीं पा रहा था कि वह क्या और कैसे कर रहा था।
मेरा सुझाव है कि आप एक छोटी सी खोज को समाप्त करें और समझें कि यह एंड-यूज़र मशीन को कैसे संक्रमित करता है।