המלצה | זהירות תוכנה זדונית!! פורסמה בפורום!!

[המלאך]

@חובבן-מקצועי לפני זה לא.
אחרי שפרסמתי כאן..

[הדור הבא]

@אברהם-גלסר

Spoiler

@אברהם-גלסר כתב בהמלצה | זהירות תוכנה זדונית!! פורסמה בפורום!!:

ועם מוניטין -3. מוכשר:)

אתה רוצה לדעת מה זה מוכשר? תסתכל כמה מוניטין יש ל @הראש-הישר

[SHIMI 0]

@הדור-הבא || כניראה מישהו רב איתו סתם הורידו לו ||

[cfopuser]

@המלאך לא נראה שהתוכנה עושה משהו זדוניבמובן הקלאסי של הדבר,
נראה שזה פשוט מביא ל@yochai כסף על ידי זה שהלינק של הסקרים הוא שלו,
גם לגבי היצירת משתמשים לא נראה שזה משומש בקוד
(וגם אם זה משומש זה לא יפגע בכם אישית אלא בפרומים עצמם בכך שיספים אותם).

זה תוכנה שנועדה לעשות ממכם כסף עלי ידי לינקים לhttps://sekernet.co.il/
שהוא ירוויח על זה כסף
דרך התוכנית של חבר מביא חבר

Spoiler

(http://www.sekernet.co.il/Register.aspx?ReffereID=696489)

יש את זה בעוד מספר אתרים שיש להם תוכניות חבר מביא חבר דומות.

ה"תוקף" לא מקבל מידע / תקשורת מהמחשב שלכם.

https://www.virustotal.com/gui/file/d75651d9f75fa771ac44f6e6b21b60083bcb9956cd1477a9daf62349b4282d78

אולי יש כאן עוד פונקציות נסתרות אבל לא עיינתי יותר מידי.

[המלאך]

@cfopuser התוקף לא מקבל מידע זה ברור.
כל העניין הוא ההספמה בפורומים.
מה שמונע פתיחה של ניק חדש על ידי אותה כתובת מייל.
אתה בטוח שזה לא משומש בקוד?

[cfopuser]

@המלאך זה לא משומש בקוד אוטמטית אלא כאשר אתה לוחץ על המילוי אוטמטי.

[משתמש מקצוען]

לא הבנתי איך התוכנה מבצעת את הרישום לאתרים על שמם?
הרי האתרים שולחים מייל אימות

[כככככ]

@משתמש-מקצוען או מספר טלפון כמו פה במתמחים אגב לכל אלה שאמרו שהתוכנה רשמה את המשתמש שלו עצמו איך הרי זה מצריך אימות טלפוני [סמיילי]

[המלאך]

@cfopuser כתב בהמלצה | זהירות תוכנה זדונית!! פורסמה בפורום!!:

זה לא משומש בקוד אוטמטית אלא כאשר אתה לוחץ על המילוי אוטמטי.

בקובץ המאין JS הראשי (לא עברתי מספיק אבל ג'מיני האיר את עיני בזה).

preload: path.join(__dirname, 'preload.js')

הוא טעה?
ובכל מקרה מניתוח של הג'סון השני נראה שיש פה עוד כמה דברים שלא ראיתי לפני.
לדוגמא הוא מקדם את האתר שלו,

"variables": {
  "קישור": "https://kidumi.co.il",
  "תיאור אתר": "תיאור אתר",
  "מילות מפתח": "מילות מפתח"
}

זה משתמש בIP של המשתמש (וכאן יש תשובה לשאלה שלי למה הוא גנב את הIP).
הוא גם נרשם לקידומי אתרים מתוך מטרה לקדם את האתר שלו.

"variables": {
  "קישור": "https://kidumi.co.il",
  "תיאור אתר": "תיאור אתר",
  "מילות מפתח": "מילות מפתח"
}

הוא גם מצא פירצה באתר הזה כדי להטמיע את הקוד, אני לא כל כך בטוח מהי אבל הוא מזריק את המספר 37 לתוך הקוד?!?
החלק החולני, הרשמה לספאם:

"lp.vp4.me": {
  "url": "https://lp.vp4.me/8i49",
  "fields": {
    "uf__fd_gUForm__01c2d6cb57264987ac9209191d840661_last_name": "name",
    "uf__fd_gUForm__01c2d6cb57264987ac9209191d840661_email": "title",
    "uf__fd_gUForm__01c2d6cb57264987ac9209191d840661_mobile": "keywords"
  }
}

@משתמש-מקצוען כתב בהמלצה | זהירות תוכנה זדונית!! פורסמה בפורום!!:

לא הבנתי איך התוכנה מבצעת את הרישום לאתרים על שמם?
הרי האתרים שולחים מייל אימות

@כככככ כתב בהמלצה | זהירות תוכנה זדונית!! פורסמה בפורום!!:

או מספר טלפון כמו פה במתמחים אגב לכל אלה שאמרו שהתוכנה רשמה את המשתמש שלו עצמו איך הרי זה מצריך אימות טלפוני [סמיילי]

עצוב!
אבל זה פותח את המייל בדפדפן הפנימי..
אבל!
זה גם אומר למשתמש שהמערכת צריכה לאמת את הזהות ב"פלטופרמת השתפים שלנו" או משהו כזה.
כלומר המשתמש עצמו מאמת את זה..
ועוד משהו מעניין.
זה גם ..

document.querySelectorAll('input, textarea, select').forEach(input => { ... });

כל אתר שבנוי בסגנון הפורומים האלה המערכת מכניסה לרשימה, כולל תפוז וכו'..
@cfopuser טעיתי במשהו?

[אהל יהודה]

פוסט זה נמחק!

[בנימין מחשבים]

פוסט זה נמחק!

[המלאך]

כתב בהמלצה | זהירות תוכנה זדונית!! פורסמה בפורום!!:

הוא גם מצא פירצה באתר הזה כדי להטמיע את הקוד, אני לא כל כך בטוח מהי אבל הוא מזריק את המספר 37 לתוך הקוד?!?

דרך אגב זה באמת מעניין.
לנוכל הזה כידוע יש אתר, האתר שלו בשם: קיצור לינק 126,
זה אתר מוזר, בחיים לא ראיתי כזה..
משום מה נראה שהוא מתכנן בקוד למלא את האתר המקביל קידומי, בספאם.
זה יגרום לאתר שלו לעלות יותר מהר בSEO.
יש סיכוי שזה הפוך אבל זה נראה כך.
כך או כך בעל האתר קידומי התרשל בהגנה נגד בוטים, הוא גילה שהקוד הוא 37 וכעת הוא משתמש בו.
כדאי אם מישהו מכיר לעדכן בכך את בעל האתר הזה.

[אהל יהודה]

נכנסתי לאתר שלו והוא ממש מצחיק.
כל הקישורים לגיטהב ולשאר המקומות שכאילו הוא מפנה ליצירת קשר מפנים אוטמטי למפות.

[המלאך]

@אהל-יהודה זה העניין.
זה אחד האתרים הכי מוזרים שראיתי.
ובכל זאת הוא עושה לזה SEO?
יש לו כמובן עוד תוכנות.
צוות פיקוח מחק את הנושאים כמובן, אבל הורדתי את התוכנות.
אני מחר אולי אעבור אליהם ואראה מה יש שם..

[מתכנת חובב]

@המלאך תגיד מה הוא עשה לך שאתה ככה יורד עליו?
התוכנה לגיטימית לגמרי
סך הכל יש לו בקוד שאריות מתוכנות אחרות
אין פה שום שעושה פעולה שהמשתמש לא ביקש (רישום לאתרי הסקרים)
אשמח אם תאיר את עיני אולי פספסתי פה משהו

[המלאך]

@מתכנת-חובב למה כוונתך, שאריות מתוכנות אחרות?
כי ממה שאני ראיתי יש לזה שימוש בפועל.
הוא לקח תשתית.
אין כזה דבר מישהו שבונה תוכנה ומשאיר שאריות, שבמקרה גם מזריקות קוד פעיל.

[מתכנת חובב]

@המלאך הפורומים הם חלק מתוכנה אחרת שהייתה לו כנראה
להלן מה שראיתי
הוא מרנדר לתצוגה את הערכים שב sites לאלמנט בשם view

    function renderSites() {
      const box = document.getElementById("sitesBox");
      box.innerHTML = "";
      for (let name in sites) {
        const btn = document.createElement("button");
        btn.innerText = name;
        btn.onclick = () => { document.getElementById("view").src = sites[name]; };
        box.appendChild(btn);
      }
    }

אחר כך הוא עובר רק על האלמנטים שם וממפה אותה לשדות שמוגדרים אצלו

    function autoFill() {
      const view = document.getElementById('view');
      const domain = new URL(view.src).hostname;
      const mapping = formMappings[domain]?.fields;
      if (!mapping) return alert("אין מיפוי לאתר זה");

      const script = `
        (function() {
          const mapping = ${JSON.stringify(mapping)};
          const vars = ${JSON.stringify(variables)};
          document.querySelectorAll('input, textarea, select').forEach(input => {
            const key = input.name || input.id;
            if (mapping[key] && vars[mapping[key]]) {
              input.value = vars[mapping[key]];
              input.dispatchEvent(new Event('input', { bubbles: true }));
            }
          });
        })();
      `;
      view.executeJavaScript(script);

אם כן על הערכים שב formMappings הוא עובר רק אם נמצאים ב view
איפה ראית משהו אחר?

[מתכנת חובב]

@המלאך כתב בהמלצה | זהירות תוכנה זדונית!! פורסמה בפורום!!:

אין כזה דבר מישהו שבונה תוכנה ומשאיר שאריות, שבמקרה גם מזריקות קוד פעיל.

זה מה שאני מבקש
תראה לי איפה ההרצה של הקוד הזה
אולי טעיתי וחמק ממני אבל באמת שעברתי טוב ולא מצאתי

[המלאך]

@מתכנת-חובב לדוגמא הautoFill.
זה מזריק סיסמאות ישיר.
וחוץ מזה שאם זה שאריות קוד למה הפונקציה הזו: renderSites רצה ויוצרת כפתורים של הפורום הזה ושל עוד כמה פורומים..
שארית לא מייצרת כפתורים בפועל על המסך.
סתם שאלה.
שארית של איזה תוכנה?
איזה תוכנה צריכה קוד שאין לו עוד ייעוד מעבר להזרקת קוד לפורומים כמו FXP ופרוג?

[מתכנת חובב]

@המלאך סליחה על השאלה אבל אתה יודע לקרוא קוד?
הפוקנקציה autoFill לא "מזריקה" סך הכל מתאימה את הנתונים למערך מוגדר מראש ורק לאתרי הסקרים
renderSites עוברת בפירוש רק על המפתחות שב sites - שהם רק אתרי הסקרים

    "sites": {
        "סקרנט": "http://www.sekernet.co.il/Register.aspx?ReffereID=696409",
        "panel4all": "https://www.panel4all.co.il/?inviterID=5f0e8498a769fe2a61adb429debf59b4",
        "panelview": "https://panelist.panelview.co.il/Join.aspx?ref=907977056",
        "ipanel": "https://panelists.ipanel.co.il/join?referral_id=729168"
    },

ואין שום כפתורים שמצויירים על המסך
אולי הוא עשה תוכנה שרושמת להרבה פורומים בבת אחת ועל גביה יצר את התוכנה הזאת אבל התוכנה הזאת לא מממשת שום רישום נסתר לפורומים
חבל שככה הכפשת אותו
@צוות-פיקוח