eles devem colocar oendereco de e-mail para receber os dados capturados.So quetambem inseriu de uma forma relativamente oculta essa funcao de enviar ume-mail pra ele todas as vezes que algum dado fosse capturado. Osmenos avisados ou com menor conhecimento de PHP fazem download docodigo, alteram para o endereco de e-mail deles na funcaoprincipal, hospedam em algum lugar e esperam os resultados. Sem saberque para cada e-mail que eles recebem o outro tambem vai receber, ouseja, e o caixa 2 do golpe.Essa euma caracteristica comum de codigos maliciosos que saodisponibilizados para download, o codigo pode ate ser gratuito mastambem pode ter funcoes ocultas.Poremnesse caso vimos que os enderecos de e-mails tanto do codigoprincipal quanto daquele mais oculto sao os mesmos. Isso pode serporque esse atacante tenha descoberto esse esquema e assim tambeminseriu o e-mail dele la.Voltandoao codigo PHP principal...Aposenviar os dois e-mails e feito um redirecionamento para a paginadone.php atraves da linha abaixo:header("Location:../done.php?cmd=_login&dispatch=5885d80a13c0db1f8e26...");Vemostambem que caso os dados digitados no formulario nao passem nasvalidacoes, ha um codigo que salva em um TXT algumas informacoesja capturadas no golpe. Isso deve ser para garantir que pelo menos ousuario e senha digitados sejam capturados.FinalizandoPor fim,o redirecionamento anterior levou a execucao para a paginadone.php. Essa tem a finalidade de passar um pouco mais de credibilidade ao golpe,exibindo algumas mensagens de sucesso e informacoes de data e hora.Ela por sua vez redireciona automaticamente apos 4 segundos para umaoutra pagina atraves dessa linha:<METAhttp-EQUIV="refresh" content="4; URL=../dir.php">E e nadir.php que entendemos o uso daquele diretorio Limit. Segue ocodigo:Eexibida a mensagem que esta processando e enquanto isso o diretorioLimit e renomeado. Recebera o incremento de um em seu nome eno nosso caso chamara Limit10. E por fim e feitoredirecionamento para o site do PayPal verdadeiro.Consigoenxergar duas funcionalidades para essa mudanca de nome: a primeirae que de certa forma o numero do diretorio serve como um contadorde vitimas, e a segunda e que a URL dos arquivos do golpe sempreestara mudando, se ela for colocada em uma blacklist como Limit9,quando passar para Limit10 ja estara livre da blacklist.InformacoesAdicionaisNoservidor onde estava hospedado esse phishing havia outros codigosmaliciosos, hacker tools e paginas de defacement. O index principalera o defacement abaixo:Parece queo site foi desfigurado por esse grupo de Bangladesh e depois vieramoutros e fizeram a festa copiando tools e hospedando phishing. Poremisso so e possivel afirmar com certeza se for feita uma periciaforense no computador.Tambemhavia outras copias do mesmo phishing nesse servidor, um tipo depasta so armazenava o PHP inicial que faz o redirecionamento e ooutro tipo armazena os arquivos principais do golpe.Interessanteque em algumas dessas outras pastas havia um endereco de e-maildiferente para onde os dados eram enviados:m4st3r007@hotmail.comE aspastas Limit tambem possuem numeracoes diferentes, a maisalta que encontrei foi 100.E issoai, qualquer duvida ou sugestao so deixar um comentario. Paranovidades tambem podem seguir o blog no twitter @crimescibernet.[Post atualizado em 16/10/2012]Para quem gostou da analise e queira reproduzi-la, estou disponibilizando todos os arquivos originais desse phishing. Ressalto que os arquivos sao maliciosos e podem causar danos em seu computador ou de terceiros. Faca download estando ciente disso e APENAS utilize para estudos, se essa nao