Подозрительный скрипт на сайте.

[lynx_rus]

Позавчера вечером знакомый на своем сайте обнаружил java скрипт дописанный в конец индексных файлов. Прогнал его через virustotal, ни одного срабатывания. Попытался разобраться сам:
вначале вроде понятно

jQuery = eval('wIiRnLdFoIwF.FekvkaIlk'.replace(/[IkLFR]/g, ''));

превращается в

jQuery = eval('window.eval');

Т.е. основной код идет в строковом аргументе к jQuery. Сам аргумент тоже представляет собой скрипт с еще одним строковым аргументом, но этот аргумент я уже разобрать не смог. Попробовал отследить во что превращается код через замену

eval(w9O1E);

на

alert(w9O1E);

- на выходе получил полную ерунду, непонятно как это может быть вообще исполняемым кодом. Вчера очень похожий скрипт был найден на сайте cisco, но там хоть какое-то срабатывание антивирусов. Есть подозрения, что это загрузчик. Просто из любопытства интересно - как это можно расшифровать?

Добавлено через 6 минут

Файл сохранён как 081112_024411_v111_491a975ba40de.zip
Размер файла 3492
MD5 2dbe681b3636d44141eed08c18a27371

[AndreyKa]

Да, это загрузчик. Грузит с китайских сайтов трояны.
Например, такой: Trojan.PWS.LDPinch.4182

[lynx_rus]

А адреса сайтов с которых он загружает своих друзей, из скрипта как-нибудь достать можно?