Кто поможет расшифровать зашифрованный PHP-код?

Question

[Sanctuary]

В папке с плагином для WP нашел сей "фрукт".
pastebin.com/QkEXXtRi

Answer 1

[Sanctuary]

Я в этом профан и совершенно не понимаю, что Вы предлагаете мне сделать. :) А то, что создает таблицу, я и так понял. Хочется поконкретнее, ведь там видны зашифрованные интернет-адреса и прочее.

Comments

[Антон Робуль]

Приветствую, не смог ответить вам вовремя на заявку в вк, подскажите где лежал этот скрипт (путь) ?

[Sanctuary]

Плагин называется Ether Content Builder (http://onether.com). Путь до файла: /wp-content/plugins/ether-builder/admin/media/images/social.png. В файле ether-builder.php (wp-content/plugins/ether-builder) в конце файла была запись <?php include('admin/media/images/social.png'); ?>. Больше нигде вхождений я не нашел. Странно, что так и не смог найти сайт, где скачал это плагин, хотя вспомнил все, где бывал, но, скачав оттуда, этого файла в архиве не обнаружил.

[Антон Робуль]

Sanctuary: содержимое таблицы options или #__options не удалось найти ? Мне бы там инфа очень бы пригодилась для дешифровки и понять логику, у меня код на 70% уже расшифрован...

[Sanctuary]

Нет, таких таблиц не было. Я довольно часто захожу туда.

[Sanctuary]

Было только один раз такое: сайт стал грузится по 20 секунд или не открываться вовсе; копии не помогли. В технической поддержке сказали, что "connect(4, {sa_family=AF_INET, sin_port=htons(80), sin_addr=inet_addr("87.119.222.122")}, 16) = -1 EINPROGRESS (Operation now in progress)
poll([{fd=4, events=POLLOUT|POLLWRNORM}], 1, 9997". Они меня тогда достали окончательно и я перенес на другой хостинг. Не знаю, связано это как-то.

[Антон Робуль]

Sanctuary: жаль, все верно это http и email ddos bot, получает команды от других зомби серверов и спамит, так же может выступать в роли сервера и отправлять команды другим зомби...очень хотелось посмотреть на эту таблицу, там интересные данные хранятся, команды и список серверов откуда он их получает... Конечно бот до безобразия идиотский, спамит двумя функциями curl_exec в бесконечном whil и mail(), такого бота легко вычислить и обезвредить, но дело в том что оказывается так легко залить вирус благодаря открытости wordpress и joomla, просто беда. Я готовлю статью на хабр, хочу миру показать что такие открытые движки с автоматической установкой очень узявимы, и модерировать их не реально

[Sanctuary]

А код можно куда-нибудь выложить. Хочется поглядеть на этот "фрукт".

[Антон Робуль]

Sanctuary: вы действительно считаете уместным выкладывать работающий исходник децентрализованного ddos бота на всеобщее обозрение ? )) просто я не знаю что вы там хотите найти...ip шники сервера ? их там много, и я уверен что это такие же зараженные зомби, которые друг с другом общаются и синхронизируются... Какой-то конкретный кусок кода скинуть могу если интересно

[Sanctuary]

Не на всеобщее, конечно. Ладно, мне не принципиально. Просто на память хотел оставить. Интересно было бы статью на Хабре почитать.

Answer 2

[NIKNNN]

Думаю никак.... Если ключем зашифрован, то нужно знать ключ. В общем считаю бесполезной тратой времени... ну а там думайте сами конечно.

Answer 3

[Александр Зеленин]

а собственно что расшифровывать? он не закодирован ничем. Просто названия функций, переменных, классов названы несловарно.
Берем PHPStorm, делаем реформат, потом начинаем смотреть функции, понимаем примерное значение, делаем рефакторинг функции, называя ее словарно. Думаю, часа примерно хватит, чтобы вникнуть в суть.
Вкратце: внедряется в ВП и Джумлу, создает таблицу, наверняка что-то откуда-то подгружает и спамит у вас на сайте левыми новостями.