Bence zararlı kodu bulmak daha kolay olur. Belli bir yerdedir zaten, js dosyalarında oluyorlar genelde. Base64 ile şifrelenmiş halde oluyorlar.