Анализ открытку Эксплойт Page

Последние троянский Ecard.exe распространяется через веб-страниц, обслуживаемых зараженных машин. Когда пользователь получает по электронной почте открытку (типичный тему: "Спасибо электронной карты"), и нажимает на ссылку в нем, он попадает на страницу, которая embed тег, который будет отображаться с Windows Media Player объекта на Windows.

Существует также связь, чтобы вручную загрузить троянский файл. Этот анализ будет сосредоточена на содержание страницы, с полного анализа запутывание и зашифрованный JavaScript, которые вызывают атаки.

Если вы просмотрите исходный веб-страницы электронную открытку, вы увидите кусок JavaScript, который начинается со следующим:

Функция xor_str (plain_str, xor_key) (VAR xored_str = ""; для VAR (я = 0; я
xored_str + = String.fromCharCode (xor_key plain_str.charCodeAt ^ (я)); возвращение xored_str;)

VAR plain_str = "xb1x9cx9bx9cx9bx9c (...)

Что это скрипт делает это взять переменную с именем plain_str и расшифровывает его с помощью простой расшифровки XOR (с ключом 145 в данном случае). В результате еще одно JavaScript, что начинается с 78 строки (вероятно, чтобы затруднить для отображения расшифровать код, используя оповещения JS () диалогового окна). После строк вы обнаружите новый код JavaScript:

Vа ^ з = Unescape ("..."); делать (S + = S;) а (s.length <0x0900000);

S + = Unescape ([длинную строку Unicode])

(...)

Отправить комментарий