Sprawdzenie skryptu - keylogger?

[Nyrexx]

Witam, mógłby ktoś sprawdzić ten skrypt? Gdyż podejrzewam, że znajduje się tam keylogger.

 

https://pastebin.com/index/1H6LpNyy

[KaciPL]

Trudno stwierdzić, ale to i tak nie zadziała ze względu na to, że link z websocketu nie działa

[Reveres]

@KaciPL Owszem jako tako odpowiedzi HTTP nie ma, ale WebSocket działa.

F12 => Console => Prosty skrypt new WebSocket('ws://menogram.ct8.pl')
I łączymy się do serwera, nie odrzuca.

Ze skryptu wyczytałem "prawdopodobny request jaki wysyła ten skrypt"

Więc wysłałem jakieś fakeowe dane i otrzymałem odpowiedź {type: 'get', file:'loader'},

Po ponownym wysłaniu takiej odpowiedzi otrzymałem nowy kod:

https://pastebin.com/he8bb8GQ

 

Moja teoria jak to może działać:

1. Ładujemy ten skrypt pyta nas o jakieś hasło

2. Logujemy się (w moim przypadku nie wiem czy podałem dobrze dane w co wątpie, ale nie zwróciło błędu)

3. Otrzymujemy nowy skrypt który jest wywoływany.

 

Podsumowując:

Ten skrypt co podesłałeś wygląda na "klienta" i loadera skryptów tego autora, chciał się :? uchronić ? przed kopiowaniem ? Albo może ma jakąś bazę skryptów i żeby nie umieszczać wszystkich skryptów w jednym zrobił takiego loadera, nie wiem nie chce mi się dalej grzebać 😄

Dla chętnych zamieściłem skrypt powyżej który otrzymałem w odpowiedzi z serwera, więc powodzenia w szukaniu keyloggerów 😄

[jozukisa]

Sprawdziłem i działa, tylko jest jeden problem po przejściu przez mapę bot się wyłącza i trzeba odświeżyć strone