http://rucnitkani.cz/files/onedrvs.exe - 大人の自由研究

大人の自由研究 ホーム » 未分類 » http://rucnitkani.cz/files/onedrvs.exe

http://rucnitkani.cz/files/onedrvs.exe


 また、怪しいメールが届いた。

 件名:発注書を作成しましたのでお送りします
 内容:
----------------------------------------------------------------------
お世話になっています。

ご連絡が遅れまして申し訳ございません。
発注書を作成しましたのでお送りします。
こちらの内容でお間違いがございませんでしたら、お手数ですがご返信をお願い致し
ます。


ご確認の程、よろしくお願い致します。

----------------------------------------------------------------------

 添付は例のごとくzip形式のファイル
 「01.17_0704215133312288667PDF.zip」
 中身は、
 「01.17_0293538409856340968.pdf.js」
 というJSファイルです。

 早速、テキストエディターで中身を覗いてみる事に。

var qyfunuvri0 = ['qikerka', WScript][1][["xcaxyf", "baqitvy", "octanalc", ["ucfijga", "ybgyfa", "ltaw", "obe", "Cre"][4], "vatytbu", "ujokd", "ysipyl", "ejbyvwo", "iryb", "ije", "umer", "ptyqozw", "nryfb", "ifwa", "xvuqo", "afzovfibq", "avexoq", "bowsax"][3] + ["mgovirry", "bubveld", "esuk", "wkija", "ulwixex", "errocy", "pkyrfuzk", "ltarsa", ["enkigu", "yfozzolv", "cliky", "pxidd", "ate"][4], "ubguxric", "uzqoz", "ifawg", "alekevr", "yxxehhyr", "bmywb", "eqi", "ata", "zehexj", "woso", "yqkyn"][8] + ["ycpuciz", "pif", "ogzichic", "xlumemi", "siqy", "vywhejdu", "ecun", "dvobd", "mrupy", "egmuny", "gok", "kwepu", "afralegq", "upyvj", "piwz", "kici", "ttexynxe", "ondez", ["iqymzi", "mow", "Obj"][2], "utdamw"][18] + ["ejiza", "wbagr", "quntyqz", "inu", "zxovokwe", ["thydwimz", "ozxi", "ofqaty", "ect", "yfgy"][3], "ojle", "ykba", "ofide", "lahetxe", "oso", "ovxocyg", "ysa", "itewqek", "hygijk", "klyl", "uxatry"][5]](["fawiqba", "wupqybbo", "tsoszykte", "egu", "irdyfx", "otji", "ivub", "cumymnu", "yjyfq", "hact", "ukume", "uranhyf", "ifpu", "kuqaqp", ["Sc", "kirucw"][0], "tzepw", "ene"][14] + ["nugba", "cjek", "xype", "bjofuxk", "guh", "iry", "ffartula", "ypa", "waxk", "adqovom", "vvuswo", "oxpizke", "itri", "tmijfo", "edsu", "agna", "xik", "rihsasda", "ugac", ["xqubyzo", "ri", "udym"][1], "nolcu"][19] + ["yqdyxy", "ysdegxuqx", "ninby", "nimlu", "ellajvotw", "ixytigw", "ivgy", "lyts", "kotro", "boxqug", "pebev", "mfaxuqqy", "itdyrka", "jydvo", "ukqogfy", "eciback", "ugut", "isarja", ["evcuru", "ego", "pt"][2]][18] + [["edco", "tsifzi", "ihumaws", "rxibbarw", "in"][4], "alexle", "bupo", "icifabh", "bseh", "momh", "ukhysesh", "etixo", "ensub", "umazu", "thoqis", "jevxo", "zumylse", "ywa", "immuqqogn", "ivymi", "gocqode", "ngovykge"][0] + ["uxgadu", ["upmikmep", "g."][1], "fwujiwz", "vakhy", "ukxobisj", "fxit", "ohroxm", "asadci", "fkuh", "axri", "ahni", "ksovcott", "hukjito", "qehbo", "dosem", "mjaqp", "egopnadt", "ysradj"][1] + ["bumzutra", "yzahogr", "melbyso", "piqfirhu", "rumex", "nygmotf", "ndila", "qucazro", "omykt", ["zbypu", "Fi"][1], "rgulaka", "ycycro", "licu", "kocrawi", "dudr", "conyp", "inaqru", "zedxipa", "qapjemu", "dqikxe", "aciql"][9] + ["poh", "ksutk", ["le", "apgikmiz", "ycanne", "faxf", "jorfyn"][0], "lezy", "ury", "mmetji", "belsy", "edbuv", "kwejm", "ukolu", "chub", "ydyxegc", "kpodve", "magedo", "uko", "yqozf", "kyjykh"][2] + ["ubxu", "osru", "utibp", "eryrb", "ujnycni", "ucfovoj", "igfi", "zqemwo", "izeduzl", "isexovm", "oxoxta", "myh", "azefnudq", "xully", "aspy", "gxycyq", "ulija", "gxaxu", "soqmyjfi", ["Sy", "gaksuq"][0]][19] + ["ewjyseg", "uzgi", "elyg", "ojuvotv", ["eke", "prori", "st", "ftybb"][2], "ecsosva", "engy", "ekowi", "metam", "efimza", "xdasaf", "dexgyw", "gyrz", "yjbustulr", "wnaxz", "bisidi", "icavymf", "alvuq"][4] + ["iqahkyr", "dseke", "tysiri", "ygoq", "ebgylw", "ddop", "wwesg", "irta", "jogsi", "mxalwoco", "uto", "mkyxr", "zoml", "ysgojy", "nsegobo", "abridabp", "endot", "gfof", "exe", ["icpy", "ennuqet", "htywu", "fwyzn", "em"][4], "ukezof"][19] + ["vnej", "aqzudov", "pyq", "tanu", "cufed", "emcy", "ina", "okugmu", "qurw", ["igyku", "Ob"][1], "nilowva", "iqvebuh", "bmojma", "hifjyqi", "etgumbo", "azizk", "ocvebv", "nusmy", "qpung", "ntew", "cmepr"][9] + ["yvxyj", "jvotmof", "uccabby", "uxuh", "psonde", "ydnyqo", "qsiqf", "byt", "puvsy", "uwipah", "qzubu", "qalb", "ykohca", "apyfwuw", "uvset", "usizland", "ahxuvent", "abxegxa", "huk", "ilixe", ["verzylr", "je", "wxer"][1], "ffyzy"][20] + ["iqiqa", "qfoxjaqw", "spuf", "zykbop", "erwib", "hgiva", "uhvu", "urja", "nkaljaqi", "zutipe", "klegus", "epky", "txoc", "zdebpa", "ifak", "tnafxi", "ijalemv", "ltaxm", "rafjidva", ["ikobalg", "ecsux", "ct", "zuzce"][2]][19]);




 こりゃまた、読みにくいソースだ(笑)
 とても、全部解析する気にはなれない。。。ちょっとだけ見ると。。。

 var qyfunuvri0 = ['qikerka', WScript][1]
 Wscript という文字が見える

 「+」で文字列を結合しているので、そこまでで、いったん区切って、どんな文字列を作っているか見てみることにw


 怪しい文字列がドンドン生成されていくよw
 CreateObject(Scripting.FileSystemObject
 CreateObject(WScript.Shell);何を実行するんだか。。。
 CreateObject(MSXML2.XMLHTTP)とか、もう通信するき満々。
 どうやら、http://rucnitkani.cz/files/onedrvs.exe こいつを GET しているようだ。

 そして、cmd.exe /c で 落としたファイルを実行。。。


 あったあった
 https://myonlinesecurity.co.uk/purchase-orders-japanese-language-malspam-continues-to-deliver-ursnif-banking-trojan/

 トロイの木馬ですねぇ


 ちょっとし試そうかと思ったら、NOD32が反応しちゃう(汗)


 こちら、e1とe2は同じ事をやっていますw


var a = "CreateObject";
var b = "Scripting.FileSystemObject";
var c = [WScript][0];

d = c[a](b);

var e1 = d.GetSpecialFolder(2)

var e2 = d[["obeg", "ufhupybg", "cuqrabe", "ekoken", "dqowixp", "lomxigt", "nac", "rjefvuk", "wjago", "igi",
"ivcokyn", "omejpo", "seznyvj", ["stezlyqy", "eljyvfypx", "Ge"][2], "caxkekw", "fevvon", "lpexujvy", "kegx",
"afwoxcu"][13] + [["ydeqo", "kazuds", "tS", "bliqk", "adilu"][2], "susni", "iblagozt", "yjeditt", "obagl",
"utbabxo", "kan", "hexgu", "aregak", "ehare", "umygwy", "bajh", "idomwonw", "xfolli", "ikaqc", "ery", "pcivyzo",
"ategqo", "uja", "hpiqwyw", "itlordyt"][0] + ["mmasi", ["iwtaxn", "qdiwe", "mygci", "pe", "zywtipk"][3], "ywfysyst",
"qnax", "ywly", "iji", "ophuboq", "jyp", "fiko", "ymalqas", "qatk", "ftifurqe", "ppapepd", "azmukwogs", "fazsott",
"udqy", "ygsah", "ygijkox", "fvizb"][1] + ["ohotq", "racasu", "asemolc", "hocd", "lunuhm", "ocynm", "hxylvo", "vyhovt",
"aqfus", "wvokbo", "jil", "mirnor", "sepa", "iwmevqa", "uvde", "tjeta", "snyfult", ["ci", "wjyb", "rjirate"][0],
"ykpes"][17] + ["tdynyrg", "ipbojqus", "bwirg", "teky", "acpujd", "ejyjt", "ingun", "jydazu", "alejf", "one",
"cgyrfuju", "olsa", ["emi", "aji", "al", "pwez", "lit"][2], "yfatexc", "sulxo", "inbetky", "ajhubsopv", "ugkev",
"kzuvm"][12] + ["cydo", "inifo", ["Fo", "eqawi", "qexo", "pzyjq"][0], "ewzivde", "evmyzz", "qubf", "dwowzydce", "awyvw",
"agxu", "gawa", "wzyg", "exat", "wsyfv", "ygycuc", "ehogub", "vsuwogo", "iphacgy", "rudu", "utni", "ushidy", "okiww",
"mipa"][2] + ["qwyfzu", "yjcibde", "jnaqt", "spidqohqu", "nvybb", "cysqufm", "jegn", "uwe", ["ld", "ahel", "hcufqed"][0],
"wsicnogfu", "ebehuvb", "nugsyfp", "byt", "xrexasco", "adibk", "roqymo", "era", "qgekhydx", "itdy", "eqkevw",
"izsa"][8] + [["acyhn", "ujazu", "ofov", "er"][3], "jxyb", "ewezob", "xoddajc", "ybubqaz", "xexyjy", "yfygyf", "amry",
"msucquzo", "ohinj", "suf", "azmuht", "apid", "nfywkirry", "vfomkyme", "gqedl", "biscutr", "xivwa"][0]](["laquggo",
"upodxo", "yrgu", "jxyko", "upo", "usuqe", ["gbob", "aqepvo", "ovo", "2", "ojkoja"][3], "bovy", "agmemjowc", "yvryx",
"avor", "lteptam", "uflujgupw", "iby", "qafyji", "xuspyjpo", "qzyvv", "ypuxan", "etwugk", "abaq"][6]);


WScript.echo( e1);
WScript.echo( e2);


スポンサーサイト
コメント
非公開コメント

トラックバック

http://ukkey3.blog33.fc2.com/tb.php/703-fdc45971