Pesquisar na Comunidade
Mostrando resultados para as tags ''exploit''.
Encontrado 1 registro
-
Código muito suspeito em javascript - Recebi de um amigo um link muito suspeito para o site iinet.com, me chamou a atenção porque utiliza o protocolo HTTP. Na página principal deste site, outro link remete à página do site easystreet.com, que também utiliza o protocolo HTTP. Realizei uma pesquisa no whois.net e o domínio iinet.com foi localizado, mas o domínio easystreet.com não foi localizado. Foi então que decidi inspecionar o código da página inicial de cada um do domínios e me chamou a atenção o código abaixo, encontrado na página inicial do domínio easystreet.com: <!doctype html> ... <link rel="pingback" href="http://easystreet.com/xmlrpc.php"> ... <script data-avast-pam="y" type="text/javascript" name="AVAST_PAM_submitInjector"> (function _submitInjector() { var f = document.querySelectorAll("form")[0]; // eslint-disable-line no-undef if (!f._avast_submit) { f._avast_submit = f.submit; } try { Object.defineProperty(f, "submit", { get: function get() { return function (prev_submit) { prev_submit.call(this); if (this._avast_inside_submit) { return; } this._avast_inside_submit = true; var evt = document.createEvent("CustomEvent"); evt.initEvent("scriptsubmit", true, true); // bubbling & cancelable this.dispatchEvent(evt); delete this._avast_inside_submit; }.bind(this, this._avast_submit); }, set: function set(submitFunc) { this._avast_submit = submitFunc; } }); } catch (ex) { // ignored } })(); </script> ... </html> Eu fiquei surpreso quando fiz uma pesquisa acerca da existência de algum arquivo do Avast denominado PAM e encontrei um arquivo C:\ProgramData\AVAST Software\Avast\pam\pam.json contendo dados como abaixo: { "json_version": 14, "update_frequency": 432000, "services": [ { "version": 8, "icon_url": "https://pamcdn.avast.com/pamcdn/icons/facebook_com.png", "popular": 1, "url": "facebook.com", "login_url": "https://www.facebook.com", "name": "Facebook" }, { "version": 8, "icon_url": "https://pamcdn.avast.com/pamcdn/icons/instagram_com.png", "popular": 1, "url": "instagram.com", "login_url": "https://www.instagram.com/accounts/login/", "name": "Instagram" }, { "version": 12, "icon_url": "https://pamcdn.avast.com/pamcdn/icons/imdb_com.png", "popular": 0, "url": "imdb.com", "login_url": "https://www.imdb.com/registration/signin", "name": "IMDB" }, ... (centenas de outros) } Eu não possuo conhecimento aprofundado de javascript, mas a existência do pingback (<link rel="pingback" href="http://easystreet.com/xmlrpc.php">) me levantou a suspeita de que este seja um exploit destinado à um ataque DDoS ou coisa pior como a coleta de credenciais de acesso dos usuários que cliquem nos links que levem às páginas do domínio easystreet.com, por isto eu venho aqui pedir a ajuda dos amigos que possuem um maior conhecimento de javascript. Desde já eu agradeço por qualquer colaboração. Lobo "Sempre aprendendo..."
