[LostHighway]

#ciekawostki #malware #security Przykładowe dane w #js za pomocą których skrypt generuje kod potrzebny do rozpoczęcia ataku.

var realizeDroveHoweverScientificQuarter = {
 planned: "4",
 copy: "Never",
 weightLeg: "i",
 who: "Football",
 disease: "r",
 saveAs: 677,
 family: 506,
 shade: "Slept",
 uncle: "5",
 letAttached: "12003",
 loose: 251,
 basket: "a",
 routeFierce: 295,
 conversationTwo: "W",
 loadFear: "6"
 },
 silkFieldIndependentYearSmooth = [246, "30000", "Consist", "{", "D", "Conversation", 664, "Rose", "-", "Honor", "U", "z", "Given", 117],
 properlyChooseBendEarlierAttempt = {
 regionThroughout: 860,
 theory: "m",
 stoppedOfficer: "Either",
 againShoulder: "Final",
 realize: "1"
 }

Całość: https://pastebin.com/GPBfc7sb

[N....._]

@LostHighway: O ile nie wczytywałem się jakoś strasznie w źródło to jednak myślę że to jest po prostu element obfuskacji, a nie właściwa część droppera ;]

[N....._]

@LostHighway: Np z twojego fragmentu jedyne użyte klucze to disease, basket, loadFear, uncle, reszta jest po to żeby utrudnić pracę researcherom :p

[LostHighway]

@Naz__: Nie siedzę w temacie ale czasami zajrzę sobie do takiego pdfa z zaległą fakturą :) Wiadomo, że przeszło to procedurę zaciemnienia kodu i właśnie zdziwiło mnie, że już takie sposoby funkcjonują.
Jak dla mnie sprytne ale co z tego, skoro gmail już zablokował wysyłanie JS w załącznikach, nawet tych spakowanych.

[N....._]

Nie siedzę w temacie ale czasami zajrzę sobie do takiego pdfa z zaległą fakturą :)

Mam nadzieję, że na jakiejś porządnej vmce, 0-dayów nie brakuje ;]

Jak dla mnie sprytne ale co z tego, skoro gmail już zablokował wysyłanie JS w załącznikach, nawet tych spakowanych.

Znajdzie się sposób, zaszyfrowany zip, może jakiś zewnętrzny link. Naiwnych nie brakuje :P