Analyse van een trojan loader

Iemand krijgt een mailtje met de bijlage payment_info_007278.zip, dubbelklikt dat en mogelijk ook

op een bestand daarin en besmet zijn computer met ransomware. Al zijn documenten worden versleuteld via een encryptiealgoritme en er worden op diverse plaatsen bestanden gedropt met instructies hoe het losgeld te betalen , via URLs in het TOR-netwerk in het topdomein .onion . De bijlage bevat een "trojan loader". Hierin zitten een bitmap en twee JavaScript-bestanden genaamd billing_f487c29.js en payment_details_005e4.js. De analyse van de twee JavaScript-bestanden wordt hier beschreven.

De trojan in de keygen

Achtergrond
Een spel gedownload uit nieuwsgroepen bevat een keygen.exe. De commentaren zijn positief: geen malware erin.

Ik heb keygen.exe geupload naar virustotal.com:  van 43 virusscanners geven 16 melding van malware: Trojan, Artemis, Mal_Xed-21. Foute boel.

Ik heb keygen.exe daarna uitgevoerd op een virtuele machine met Windows 7 , terwijl ik een oog open hield op Process Monitor , TCP View en