Olegas 11 фев 2010 в 16:25

Интересная техника сокрытия кодов JS «вируса»

2 мин

6.4K

Антивирусная защита *

+81

Комментарии 44

hannimed 11 фев 2010 в 17:50

Интересно. А почему они делают window['eval'], а не просто eval(var2) — какая-то особенность?
И да, прикрепите код, интересно всё-таки.

Olegas 11 фев 2010 в 17:57

Думаю что-бы дополнительно скрыться от антивирусов и их эвристических анализаторов. Изначально не видно что будет eval, он получается в процессе работы.

Код прикрепил в UPD2

garex 11 фев 2010 в 18:57

Интересное кино.

А с этим window.eval = function(arg) — это грамотно получилось.

Daedmen 11 фев 2010 в 19:31

Для фф есть аддон Javascript Deobfuscator https://addons.mozilla.org/en-US/firefox/addon/10345 который умеет показывать какой сейчас js компилится и какой выполняется. Скорее всего им тоже можно было расшифровать.

Olegas 11 фев 2010 в 20:07

Да, это расширение могло бы решить проблему. Но скрипт бы все же выполнился, что нежелательно (т.к. он сконструирован на лету ему пришлось бы пройти через eval чтобы быть «скомпилированным»).

vilgeforce 11 фев 2010 в 20:37

Есть Malzilla, но не всегда хорошо работает. Если Javascript Deobfuscator сможет нормально вскрывать сложные скрипты, тогда отключение от сети или работа в виртуалке спасет :-)

Olegas 11 фев 2010 в 20:39

Ну он поможет только получить код. Т.е. сделать то, для чего (в данном конкретном случае) я использовал отладчик и замену window.eval = function()

vilgeforce 11 фев 2010 в 20:44

Надо будет поиграться на досуге…

dmitryrublev 11 фев 2010 в 21:58

Можно отключиться от интернета — тогда ничего угрожать при деобфускации и выполнении скрипта не будет.

dima117 12 фев 2010 в 11:03

вроде firebug показывает весь выполненный js код тоже

vilgeforce 11 фев 2010 в 20:36

window['eval'] вроде не видел.

force 11 фев 2010 в 20:45

Добавлю ещё, может кому интересно будет, что сервер с вирусами находится на этом IP: 91.213.174.12, можете посмотреть, там много доменов непонятного назначения, видимо чтобы дольше не банили? А автор походе Bondarenko Dmitriy Vladimirovich, если данные не левые.

ЗЫ: Если желания хватит, то расскажу, как мы этот троян быстренько грохнули, чтобы потом выяснять, откуда он вообще взялся.

force 11 фев 2010 в 22:12

Написал пост, иначе история была бы не полной © :)

yevgeny 11 фев 2010 в 20:50

Такое в jQuery 1.3 использовалось для обработки нестандартного джейсона (JSON по спецификации должен везде иметь двойные кавычки):

 if ( type == "json" ) data = window["eval"]("(" + data + ")");

egorinsk 11 фев 2010 в 21:09

Ха. теперь вирусописатели будут проверять typeof(window.eval), или как там.

Olegas 11 фев 2010 в 21:14

Безтолку. В обоих случаях он function. Да и зачем? Ну узнал вирус что eval заменен, оригинальный та негде получить уже.

myiworm 11 фев 2010 в 21:26

узнать что заменён и не выполнить — с целью запутать.

Olegas 11 фев 2010 в 21:28

А как еще он сможет свои деструктивные функции выполнить кроме как через eval? Эффект достигнут (с)

myiworm 11 фев 2010 в 21:31

почему деструктивные? зачастую там простой ифрейм, который прячут. определили что подменён евал — дали другой урл, реверсер ушел по неверному пути.

Olegas 11 фев 2010 в 21:35

Тогда код должен быть в чистом виде, не закодированный.

egorinsk 11 фев 2010 в 22:18

Определить подмену можно, так как одно ждело функция а другое — native code-функция.

Olegas 11 фев 2010 в 22:19

А расскажите пожалуйста как, интересно.
typeof() в обоих случаях честно говорит 'function'

egorinsk 11 фев 2010 в 23:19

1) window.eval.toString()
2) Посмотреть window.eval.prototype и .constructor

razetdinov 13 фев 2010 в 11:15

fakeEval = function () { debugger; };

fakeEval.prototype = eval.prototype;

fakeEval.toString = function () { return 'function eval() { [native code] }' };

eval = fakeEval;

egorinsk 13 фев 2010 в 21:17

Function.toSource() забыли :)

А если так сделать: var decodeKey = eval('… '); и этим decodeKey расшифровывать тело вируса? Если вы подмените eval, он например, неправильно расшифруется и ничего не произойдет.

А еще можно, например, для расшифровки использовать куски ДОМа, который исседователь при расшифровке не скопирует :) А еще выкачивать вирус по кускам АЯКС-запросами :)

tenshi 12 фев 2010 в 01:32

создать ифрейм и взять эвал из него

egorinsk 14 фев 2010 в 00:04

Да вы тут все вирусописатели я смотрю!

aspect 11 фев 2010 в 21:20

на подопечном сайте был встроен троян который был обфускейчен не меньше десяти раз, через алерты прогнал — оказался банальный iframe

myiworm 11 фев 2010 в 21:26

Вы на это извращение гляньте:
pastebin.com/f3cc7e96d

Olegas 11 фев 2010 в 21:30

Да… мне достался совсем даже не закодированный экземпляр =)

esenin 11 фев 2010 в 22:02

Жесть, рульный «Hello World!»

ColorFlow 11 фев 2010 в 21:33

> определял браузер, установленные плагины и прочую интересную для дальнейших
> действий информацию (включена ли Java, язык системы (?)).
> Далее, в соответствии с полученными данными, формировался URL
> для получения дальнейшего скрипта, который, в свою очередь, рендерил
> на страницу наиболее подходящий для данной конфигурации эксплойт

user_pref(«Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_6_1; en-us) AppleWebKit/531.9 (KHTML, like Gecko) Version/4.0.3 Safari/531.9»);
спасёт отца русской демократии от злодейского «определителя»

-2

Olegas 11 фев 2010 в 21:42

Нет, не так, а вот так: «navigator.plugins», так «window.navigator.javaEnabled», так «navigator.mimeTypes[»video/x-ms-wmv"].enabledPlugin" и вот так «opera.buildNumber()»

ColorFlow 11 фев 2010 в 21:51

чего-чего?!

НЛО прилетело и опубликовало эту надпись здесь

ColorFlow 11 фев 2010 в 22:02

ок. а куда и как эти «navigator.plugins», так «window.navigator.javaEnabled» писать?

Olegas 11 фев 2010 в 22:06

Их заполняет сам user-agent (и сами плагины). И никто со стороны им этим заниматься не запретит.

Olegas 11 фев 2010 в 21:56

Это куски кода, которые занимались определением того, какой эксплоит подсунуть данному пользователю.

Или имелось ввиду, что надо работать на Mac под Safari и тогда никакие вирусы не страшны =)?

tipok 12 фев 2010 в 10:45

Блин, даже дырку WindowsMediaPlayer под Firefox используют.

BaBL 11 фев 2010 в 21:36

Значит надо как-то запустить неформатированный код и при этом ничего вредного не словить. Как?

под линуксом?

Olegas 11 фев 2010 в 21:45

Да, можно. Но хотелось прямо здесь и сейчас =)
Можно просто отключить сеть на самом деле.

А еще хотелось под IE, т.к. изначально коллега словил вирус под ним.