Basicamente é um jogo de substituições. Não pretendo discorrer sobre a função toda, senão a resposta vai ficar imensa (posso mudar de idéia depois), mas seguem os passos principais para dar uma idéia:
Você tem partes conhecidas, basta trocá-as até o código ficar legível.
Por exemplo, a função fdhtrhou8434 basicamente troca @
por coisa nenhuma, então podemos eliminá-la de todas as linhas que não tem @. Por exemplo
rbs309 = uckp9923(fdhtrhou8434("ÊÌâbd™à×Ϙ¨–žšŸadœš˜¦lb—™œbn×ÝÞÖ"))
é o mesmo que
rbs309 = uckp9923("ÊÌâbd™à×Ϙ¨–žšŸadœš˜¦lb—™œbn×ÝÞÖ")
Quanto à função uckp9923
, ela basicamente corre a string do fim para o começo, e subtrai os bytes da string "ijn34g", contida em kwjktixh825
umr8295 = asc(Mid(str,ogngfnwbr3141,1))
iael1408 = Asc(Mid(kwjktixh825,mpbx3317,1))
rbtac94 = rbtac94 & chr(umr8295 - iael1408)
Se você aplicar isto às variaveis embaralhadas, vai obter uma série de strings legíveis.
Essas strings vão te mostrar de onde é que a função Function BinaryGetURL(strURL)
vai baixar algum código, que pode ser um malware, por exemplo, e gravar o mesmo no seu HD usando a função SaveBinaryData
.
O código está meramente ofuscado, só para dar trabalho e sua intenção não ficar visível na primeira lida, mas é técnica típica de script kiddies basicamente.
Veja só como o código parece muito mais normal trocando apenas algumas variáveis de nome, o que pode ser feito facilmente com um "procurar e substituir" de qualquer editor de código:
Function uckp9923(Str)
resultado = ""
tamanhoChave = Len( chave )
iChave = 1
tamanhoEntrada = Len(Str)
str = StrReverse(Str)
For i = tamanhoEntrada To 1 Step -1
letraEntrada = Asc( Mid( Str, i, 1 ) )
letraChave = Asc( Mid( chave, iChave, 1))
resultado = resultado& chr(letraEntrada - letraChave)
um = 1
iChave = iChave + um
um = 1
If iChave > tamanhoChave Then
iChave = um
Next
resultado = StrReverse(resultado)
uckp9923 = resultado
End Function
É exatamente a mesma função, só troquei o nome das variáveis para facilitar a leitura.