Come identificare il contenuto codificato in una pagina di phishing [chiuso]

Solo alcune piccole cose, non ho capito completamente la cosa. Sentiti libero di espanderlo e commentarlo.

Dopo aver abbellito il codice, otteniamo: link

Vediamo:

var C4 = new Array(0x3c, 0x73, 0x63, 0x72, 0x69, 0x70, 0x74...

E poi una funzione

function DC() {
    var Wb = C4.length,
        _yu = new Array(Wb),
        i;
    for (i = 0; i < Wb; i++) _yu[i] = String.fromCharCode(C4[i]);
    document.open();
    document.clear();
    document.write(_yu.join(""));
    document.close();
};

Quindi, questo esegue solo HEX - > Conversione ASCII e scrive la stringa decodificata nel documento. Questo a sua volta valuta

<script>
    function _ii(Cc) {
        var Dc, yx, _099, _ln, o, _x02, _jh;
        Dc = new Array(4);
        _jh = XF();
        _ln = _jh.length;
        yx = _r0(Cc, _s88n(_jh[_ln - (0x4c ^ 0x4e)]), 0x03e8);
        _099 = ZZ(_xsii(_jh[_ln - (0x2b ^ 0x2f)]), yx);
        _x02 = ZZ(_xsii(_jh[_ln - (0x98 ^ 0x9B)]), yx);
        o = JJ(_jh, _099, _x02, Dc);
        if ((Dc.join("")) == _jh[_ln - 1]) {
            document.write(o.join(""));
            document.close();
        } else {
            msg.innerHTML = "&nbsp;";
            alert('Senha inválida!');
        };
        _ip = false;
    };
</script>

È qui che diventa interessante, perché vengono chiamate altre funzioni offuscate. Qui è dove viene utilizzata la matrice magica restituita da "XF ()":

function XF() {
    return new Array('0cd0a85cd816....6ec24dde78ca48', 'd6860accfa237d675ba73acc5e486168', 'f81845c6e66b62e5fc758da50dc73d68', 'a96751384baa020ef306acaed4e7851683989674', 'eb3494af236b53ec970b830e308ff41d');
};

Poiché abbiamo solo bisogno di afferrare la stringa decifrata che è di nuovo scritta in document , possiamo invece modificare facilmente il codice per produrre la stringa.

Ma per questo abbiamo bisogno dell'oggetto "cc" che è usato all'interno di _ii() . Vediamo che esiste una funzione che chiama _ii() :

function A0(Cc) {
    if (!_ip) {
        msg.innerHTML = ms2;
        window.setTimeout(function() {
            _ii(Cc);
        }, 0);
        _ip = true;
    };
};

Ma allora, chi chiama A0 invece e con quale argomento? Guardiamo l'HTML e vediamo

<form name="F1" onsubmit="A0(document.F1.P1.value)" action="javascript:A0(document.F1.P1.value)">

E anche

<a href="javascript: A0(document.F1.P1.value);">

Quindi, abbiamo bisogno del valore della forma F1 e del subobject P1 per quello

Tuttavia, non ho ancora capito l'argomento giusto per questo. Forse un valore hardcoded ovunque all'interno. Quando eseguo la versione modificata della funzione con l'argomento "abc" sothat la stringa ouput che viene scritta nel documento, in questo momento ottengo solo garbage

Seindividuiamol'argomentogiusto,questoprobabilmentedecodificheràcorrettamentesuunnuovomalware.IlcodicechehovistofinoadoraèHashing(MD5oSHA1)erobadicrittografia.Ilveromalwaredevetrovarsiall'internodell'arrayconlafunzioneXF().

(Funzionemodificata:)

function_ii(Cc){console.log("inside");
    var Dc, yx, _099, _ln, o, _x02, _jh;
    Dc = new Array(4);
    console.log("good");
    _jh = XF();
    console.log("outside");

    _ln = _jh.length;
    console.log("good");
    yx = _r0(Cc, _s88n(_jh[_ln - (0x4c ^ 0x4e)]), 0x03e8);
    _099 = ZZ(_xsii(_jh[_ln - (0x2b ^ 0x2f)]), yx);
    _x02 = ZZ(_xsii(_jh[_ln - (0x98 ^ 0x9B)]), yx);
    o = JJ(_jh, _099, _x02, Dc);
    console.log(o.join(""));
    /*if ((Dc.join("")) == _jh[_ln - 1]) {
        document.write(o.join(""));
        document.close();
    } else {
        msg.innerHTML = " ";
        alert('Senha inválida!');
    };*/
    _ip = false;
};

Il modulo è sicuro da aprire, nessuna delle immagini collegate esiste più. Abbiamo la seguente pagina:

Iltestolasciatoallacaselladitestosembradire"Prego inserire la password". Quindi, sembra proprio che dobbiamo conoscere la password per decifrare il testo. Ma qual è la password? Pensavo fosse una truffa? Fino a quando non lo so, la password sembra non essere inviata ad alcuni server di terze parti. Solo la password corretta decodifica qualcos'altro (o non riesco a decifrare il codice e fa qualcos'altro)