收到一封奇怪的邮件，里面就一个 js 文件

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

推荐关注

› Meteor

› JSLint - a JavaScript code quality tool

› jsFiddle

› D3.js

› WebStorm

推荐书目

› JavaScript 权威指南第 5 版

› Closure: The Definitive Guide

这是一个创建于 3060 天前的主题，其中的信息可能已经有所发展或是发生改变。

链接 http://www.mtkan.cc/unpaid_188.zip

奇怪

邮件

链接

文件

19 条回复 • 2016-06-29 09:13:35 +08:00

msg7086

2016-06-28 02:24:37 +08:00

除了是病毒以外想不到别的解释。

des

2016-06-28 08:40:22 +08:00

勒索软件，点开你就 gg 了
不过我的 js 文件关联的是 notepad++

m939594960

2016-06-28 09:09:32 +08:00

这个代码混淆的有点强啊
我弄了半天最后终于看不下去了

m939594960

2016-06-28 09:18:28 +08:00

大概研究成果如下
https://imgur.com/delete/7ymtlsGD8FFpSnI
会在这个链接 http://sherlock.uvishere.com/2ujlndd
进行下载 exe 并运行

m939594960

2016-06-28 09:18:47 +08:00

http://imgur.com/d7OTkX3

murmur

2016-06-28 09:20:26 +08:00

@m939594960 是么大概扫了一眼不就是[]里的符号直接 join 就可以

pasturn

2016-06-28 10:07:53 +08:00

只是去掉了没用的字符，各种混淆不想还原了 https://jsfiddle.net/925d7foL/

xuzicn

2016-06-28 10:29:48 +08:00

WScript...一看就是要干坏事

hiboshi

2016-06-28 10:31:37 +08:00

chrome 提示是病毒

xqin

2016-06-28 10:39:00 +08:00

进一步还原一下, 便于阅读的版本: https://xqin.net/temp/v2.txt

从代码上来看, 基本上就是用 xmlhttp 下载文件, 然后对下载到的文件进行一些解码, 然后保存为最终要执行的 exe 文件,
并在执行的时候传入 321 这个参数.

要下载的文件有三个地址.
var UIUr7 = ["http://babycotsonline.com/hiy96z", "http://3141592.ru/rvhijql", "http://sherlock.uvishere.com/2ujlndd"];
目前我这边可以下载成功的是第三个文件, 下载到的文件是经过编码的(或者说是加密的), 然后在 js 里完成解码(解密), 然后再保存至 TEMP 目录, 并调用它.