JavaScript_3

카테고리

[실습] 악성코드 분석

상태

완료

게시일

2024/07/21

태그

난독화 해제, whitespace stenganography

기존 코드

<html><body><script>function ShowtExt(s) {var r = new Array();var curr = 0;while(s.charAt(curr) != "\\r") {var tmp = 0;for (var i=6; i>=0 ; i-- ){if (s.charAt(curr) == " "){tmp = tmp | (Math.pow(2,i));}curr++;}r.push(String.fromCharCode(tmp));}return r.join("");}Function(ShowtExt("   	  	  				    		 		 					 		      			 	  		  	   	 	    		    			    				    	 		  	 		   	      	   		    	 	 			 	 		      			 	  		  	   	 	    		    			    				    	 		  	 		   	      	   		 					  	 		    		  	 					   	 		  	 			  		 	 	 					  	      			 	   		    			     	 	    		 	  	 		   	   	  		   	 					  	      		  		 					   	 		  	 			  		 	 	 					  	 		   	   	   	 		  		 	   	   	  		 		  		 	   		 			 					  	  	   		 	   				   	   	  	 		   	   	  		   	 					  	      		  		 					  			    	      	  	   	  	    	 	   	   	  	 		   			    				    	 		  	 		   	      	   		 					  			 	    		 	 					  	  	   				   	 	    	 		   	   	  		   	 					   	 		  	 			  		 	 	 					  	  	   		 	    		     		    				   		     		 	 	 					  		 		  	 		   		  	  		  	  	 		   			     	 	   	  		   	 			 					   	 		  	    	 					   	 	   	   	  		 		  		 	    		 	   		     	 		  				   	   	  		 			 	  			 					   	 	    		     	 	   				   	  		  	  		    		 	 					   	     	 		    	 		  	 				 					  			    	      	   	  		  	   	 	    		    	 		   	   	  		   	 					  				   	   	  		 			 					  				   	  	   			 	  	 		   		      	 	   	       	 	    		  	 					  	  		  				   	   	  		      	 	   				   		     		 	 	 	   		 					 	 	 		  	 			  		 	 	 					  	      			 	  		  	   	 	    		    			    				    	 		  	 		   	      	   		 					  	  	   	 		   		     	 			   	 			 					  			 	  		 	 	 					  		 	   	 		    	 		  	 			  		 	    		 		 					   	 	   	   	  	 		   	   	   	 		  		 	   	   	   	 		  	 		   	      	   	  				   	  			 					  	       		 		 					  	 		   	   	   	 		  		 	   	   	   	 		  	 		   	      	   	  				   	  			 						 	 			  				   	  		   	 		  	 			  	       	 	   		     	 				 					  	 		   	   	   	 		  		 	   	   	   	 			 					   	 	    		     	 	   				   	  		  	  		    		 	 					  	 		    		  	 					  			    	      	   	  	   	  	       	 		  		 	   		 			 	 		 	 	  			 					  				   	   	  		 			 					  	 		    		  	 					  				   			    			    	      	  	    				  	  		  	 		    		    	 			  		 	   		 			 					   	     	 		    	 		  	 				 					  			    	 		    		 	  			     	 	   	  	   	  		  	      			     	 	    	 		  	 		   	      	   		 						 	 			   	 		  				   	  		  	 	    	 		   	   	  		   	 					  				    		 	  	       	 	   	   	  		 			 					   	 		  	 			  		 	 	 					   		     	 	   			 	  	 	 	  		 	   			     	 			 	 		 	 	  			 					   	 		  	 			  		 	 	 					   	 	    		    		 	 	 					  	      		  		 					  	 	 	  				    		 	  		     	      	   		 						 	 			   	 		  		 	   			    	 			  	   	  	 		   			    				   	  			 					  	  		  				   	   	  		      	 	   				   		     		 	 	 					  	      		  		 					  				 	 					   				   		 	  	      		  	  		 	    		     		    	 		   	      	   		 	 		 	 	  			 					  				   	   	  		 			 					   	 		  	 			  		 	 	 					   	 	    		    		 	 	 					  	      		  		 					  				   	   		 					  				    		 	  		     	       	 			 						 	 			  	 		   	   	  		      		 	  	       	 	    					 					  	  		  				   	   	  		      	 	   				   		     		 	 	 	 		 	 					  	      		  		 					  	  		  	 		   	  	   	 		    	 		  		 	   		 			 					  			    	      	  	   	  	    	 	   	   	  	 		   			    				    	 		  	 		    	  	  		 	 	 					   	  	  				   	  		   	 	   		 	 	 					   	 		  	    	 					  	       	 	    	 		   		    	 		   		 		  		 	    		 	   		  	 	   		 			 		 	  		 		 	   			 	  	  		 	    	 	 			 	 				 	 			 	  			 	  	 	 	  		  	 	   		 	  					 				  							 			  	 			 		 	  		 		      			 	  		  	   	 	    		    			    				    	 		  	 		   	      	   		  		 		    	 	 			 	   	 		  	 			  		 	 	 					  	      			 	  		  	   	 	    		    			    				    	 		  	       		 		 					  	 		   	   	   	 		   		 	  	      		 		   	 	   			    		 	    		  	 					  	   	  		 	    	   	 					   				  	 		   		 	   			    		 	    		  	 					  	      		  		 					  			    	      		 		  		 	 	 					   	 		  	 			  				    	 			 					  				    		 	  		 	 	 					  	  	   		 	   				   	   	   	 			 					   	 		  	    	 					   				   		 	  	       	 		  		 	   			     	 			 					  				   	   	  		 			 					  		 		  		 	   		  	  		 	   	   	  		 			 					  				   		     				   	 		   	   	   		     	 			 					  		 		  		 	   			 	   	 	   		     		     	 		   	   	  		   	 					  				   	   	  		 			 					   		 	  		 	    	  	  		 	    		 	   		    		 	 	 	  	   		 	   	   	  		     	 		   	   	  		 	   		 	    		 	  	 		   	   	  		   	 	   		 						 			 		   	     	     	 			  	 		   	  		  		 	 	 	 				  			 	 	 		   				   	  		  		 	    		 	   	 			 	 				 			 	 		 		   	   	  		  	  	 		   	   	  	 		    	 		  		 	 	 					  	  		  	      	       				 	   		  	   	 			  	  	 		   	   	  		 			 					   	 		  	 			  		 	 	 					   	  	  				   	  		   	 	   		 	 	 					  	      		  		 					   	 		  	 			  		 	 	 					 		 	   			 	  	  		 	 					   	  	  				    		 	  	 		   				   			 	  	  		  		 	 	 			 		 	 		 	   	  \\r"))();</script></body></html>
HTML
복사

공백을 이용했기 때문에 초기에는 확인이 되지 않음!!

notepad++ 기준 보기 → 기호보기 → 공백과 탭 보기 선택하여 코드 확인

코드해석

function ShowtExt(s) {var r = new Array();var curr = 0;while(s.charAt(curr) != "\\r") {var tmp = 0;for (var i=6; i>=0 ; i-- ){if (s.charAt(curr) == " "){tmp = tmp | (Math.pow(2,i));}curr++;}r.push(String.fromCharCode(tmp));}return r.join("");}
JavaScript
복사

공백, 탭을 제외한 앞부분의 코드를 해석해면 공백 = 1, 탭 = 0으로 변환하고 있다.

CyberChef

1. 공백, 탭 변환

공백, 탭 부분만 복사 후 데이터 변환 필터 : find/replace 공백 = 1, 탭 = 0으로 변환한다

변환 후

Plain Text
복사

2. Binary 변환

해당 데이터를 한번 더 변환한다. 필터 : from binary (Byte Length : 7) 해당 데이터가 아스키 데이터로 인코딩 되었기 때문에 Byte Length를 7로 설정 1에서 변환된 데이터를 hex로 변환 시 아스키 범위를 넘지 않기 때문에 아스키 데이터라고 추측

결과

KEY : BEEUM90!@#

다른 방법

개발자 도구에서 더 간단하게 확인하는 방법도 있다.