Skip to main content
adicionou 734 caracteres ao conteúdo
Fonte Link
Largato
  • 92,9mil
  • 18
  • 190
  • 261

Basicamente é um jogo de substituições. Não pretendo discorrer sobre a função toda, senão a resposta vai ficar imensa (posso mudar de idéia depois), mas seguem os passos principais para dar uma idéia:

Você tem partes conhecidas, basta trocá-as até o código ficar legível.

Por exemplo, a função fdhtrhou8434 basicamente troca @ por coisa nenhuma, então podemos eliminá-la de todas as linhas que não tem @. Por exemplo

rbs309 = uckp9923(fdhtrhou8434("ÊÌâbd™à×Ϙ¨–žšŸadœš˜¦lb—™œbn×ÝÞÖ"))

é o mesmo que

rbs309 = uckp9923("ÊÌâbd™à×Ϙ¨–žšŸadœš˜¦lb—™œbn×ÝÞÖ")

Quanto à função uckp9923, ela basicamente corre a string do fim para o começo, e subtrai os bytes da string "ijn34g", contida em kwjktixh825

  umr8295   = asc(Mid(str,ogngfnwbr3141,1))
  iael1408  = Asc(Mid(kwjktixh825,mpbx3317,1))
  rbtac94   = rbtac94  &  chr(umr8295 - iael1408)

Se você aplicar isto às variaveis embaralhadas, vai obter uma série de strings legíveis.

Essas strings vão te mostrar de onde é que a função Function BinaryGetURL(strURL) vai baixar algum código, que pode ser um malware, por exemplo, e gravar o mesmo no seu HD usando a função SaveBinaryData.

O código está meramente ofuscado, só para dar trabalho e sua intenção não ficar visível na primeira lida, mas é técnica típica de script kiddies basicamente.

Veja só como o código parece muito mais normal trocando apenas algumas variáveis de nome, o que pode ser feito facilmente com um "procurar e substituir" de qualquer editor de código:

Function uckp9923(Str)
 resultado      = "" 
 tamanhoChave   = Len( chave )
 iChave         = 1
 tamanhoEntrada = Len(Str) 
 str            = StrReverse(Str) 

 For i = tamanhoEntrada To 1 Step -1
    letraEntrada = Asc( Mid( Str, i, 1 ) )
    letraChave   = Asc( Mid( chave, iChave, 1))
    resultado    = resultado&  chr(letraEntrada - letraChave)
    um = 1
    iChave = iChave + um
    um = 1

    If iChave > tamanhoChave Then 
      iChave = um
    Next
    resultado = StrReverse(resultado)
    uckp9923  = resultado
End Function

É exatamente a mesma função, só troquei o nome das variáveis para facilitar a leitura.

Basicamente é um jogo de substituições. Não pretendo discorrer sobre a função toda, senão a resposta vai ficar imensa (posso mudar de idéia depois), mas seguem os passos principais para dar uma idéia:

Você tem partes conhecidas, basta trocá-as até o código ficar legível.

Por exemplo, a função fdhtrhou8434 basicamente troca @ por coisa nenhuma, então podemos eliminá-la de todas as linhas que não tem @. Por exemplo

rbs309 = uckp9923(fdhtrhou8434("ÊÌâbd™à×Ϙ¨–žšŸadœš˜¦lb—™œbn×ÝÞÖ"))

é o mesmo que

rbs309 = uckp9923("ÊÌâbd™à×Ϙ¨–žšŸadœš˜¦lb—™œbn×ÝÞÖ")

Quanto à função uckp9923, ela basicamente corre a string do fim para o começo, e subtrai os bytes da string "ijn34g", contida em kwjktixh825

  umr8295   = asc(Mid(str,ogngfnwbr3141,1))
  iael1408  = Asc(Mid(kwjktixh825,mpbx3317,1))
  rbtac94   = rbtac94  &  chr(umr8295 - iael1408)

Se você aplicar isto às variaveis embaralhadas, vai obter uma série de strings legíveis.

Essas strings vão te mostrar de onde é que a função Function BinaryGetURL(strURL) vai baixar algum código, que pode ser um malware, por exemplo, e gravar o mesmo no seu HD usando a função SaveBinaryData.

O código está meramente ofuscado, só para dar trabalho e sua intenção não ficar visível na primeira lida, mas é técnica típica de script kiddies basicamente.

Basicamente é um jogo de substituições. Não pretendo discorrer sobre a função toda, senão a resposta vai ficar imensa (posso mudar de idéia depois), mas seguem os passos principais para dar uma idéia:

Você tem partes conhecidas, basta trocá-as até o código ficar legível.

Por exemplo, a função fdhtrhou8434 basicamente troca @ por coisa nenhuma, então podemos eliminá-la de todas as linhas que não tem @. Por exemplo

rbs309 = uckp9923(fdhtrhou8434("ÊÌâbd™à×Ϙ¨–žšŸadœš˜¦lb—™œbn×ÝÞÖ"))

é o mesmo que

rbs309 = uckp9923("ÊÌâbd™à×Ϙ¨–žšŸadœš˜¦lb—™œbn×ÝÞÖ")

Quanto à função uckp9923, ela basicamente corre a string do fim para o começo, e subtrai os bytes da string "ijn34g", contida em kwjktixh825

  umr8295   = asc(Mid(str,ogngfnwbr3141,1))
  iael1408  = Asc(Mid(kwjktixh825,mpbx3317,1))
  rbtac94   = rbtac94  &  chr(umr8295 - iael1408)

Se você aplicar isto às variaveis embaralhadas, vai obter uma série de strings legíveis.

Essas strings vão te mostrar de onde é que a função Function BinaryGetURL(strURL) vai baixar algum código, que pode ser um malware, por exemplo, e gravar o mesmo no seu HD usando a função SaveBinaryData.

O código está meramente ofuscado, só para dar trabalho e sua intenção não ficar visível na primeira lida, mas é técnica típica de script kiddies basicamente.

Veja só como o código parece muito mais normal trocando apenas algumas variáveis de nome, o que pode ser feito facilmente com um "procurar e substituir" de qualquer editor de código:

Function uckp9923(Str)
 resultado      = "" 
 tamanhoChave   = Len( chave )
 iChave         = 1
 tamanhoEntrada = Len(Str) 
 str            = StrReverse(Str) 

 For i = tamanhoEntrada To 1 Step -1
    letraEntrada = Asc( Mid( Str, i, 1 ) )
    letraChave   = Asc( Mid( chave, iChave, 1))
    resultado    = resultado&  chr(letraEntrada - letraChave)
    um = 1
    iChave = iChave + um
    um = 1

    If iChave > tamanhoChave Then 
      iChave = um
    Next
    resultado = StrReverse(resultado)
    uckp9923  = resultado
End Function

É exatamente a mesma função, só troquei o nome das variáveis para facilitar a leitura.

Fonte Link
Largato
  • 92,9mil
  • 18
  • 190
  • 261

Basicamente é um jogo de substituições. Não pretendo discorrer sobre a função toda, senão a resposta vai ficar imensa (posso mudar de idéia depois), mas seguem os passos principais para dar uma idéia:

Você tem partes conhecidas, basta trocá-as até o código ficar legível.

Por exemplo, a função fdhtrhou8434 basicamente troca @ por coisa nenhuma, então podemos eliminá-la de todas as linhas que não tem @. Por exemplo

rbs309 = uckp9923(fdhtrhou8434("ÊÌâbd™à×Ϙ¨–žšŸadœš˜¦lb—™œbn×ÝÞÖ"))

é o mesmo que

rbs309 = uckp9923("ÊÌâbd™à×Ϙ¨–žšŸadœš˜¦lb—™œbn×ÝÞÖ")

Quanto à função uckp9923, ela basicamente corre a string do fim para o começo, e subtrai os bytes da string "ijn34g", contida em kwjktixh825

  umr8295   = asc(Mid(str,ogngfnwbr3141,1))
  iael1408  = Asc(Mid(kwjktixh825,mpbx3317,1))
  rbtac94   = rbtac94  &  chr(umr8295 - iael1408)

Se você aplicar isto às variaveis embaralhadas, vai obter uma série de strings legíveis.

Essas strings vão te mostrar de onde é que a função Function BinaryGetURL(strURL) vai baixar algum código, que pode ser um malware, por exemplo, e gravar o mesmo no seu HD usando a função SaveBinaryData.

O código está meramente ofuscado, só para dar trabalho e sua intenção não ficar visível na primeira lida, mas é técnica típica de script kiddies basicamente.