Wat doet dit script?

[kantersjojo]

Hoi,

We hebben een cryptolocker virus gehad.
Alles is ondertussen al opgelost d.m.v. backups.

Nu viel mij alleen het volgende op. Elke map had een .txt en .html met uitleg hoe je je bestanden kon decrypten blablabla

Wat ik graag wil weten is:

Wat doet dit script in die HTML pagina?

<script type="text/javascript">  
 
 function getRandomInt(min, max) {  	
 return Math.floor(Math.random() * (max - min + 1)) + min;  }  
 
 function randomString(length, chars) {  	
 var mask = '';  	
 if (chars.indexOf('a') > -1) mask += 'abcdefghijklmnopqrstuvwxyz';  	
 if (chars.indexOf('A') > -1) mask += 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';  	
 if (chars.indexOf('#') > -1) mask += '0123456789';  	
 if (chars.indexOf('!') > -1) mask += '~`!@#$%^&*()_+-={}[]:";\'<>?,./|\\';  	
 var result = '';  	for (var i = length; i > 0; --i) result += mask[Math.round(Math.random() * (mask.length - 1))];  	
 return result;  }   
 
 function onclick_handler(e)  {  	e = e || window.event;  	
 if(e.preventDefault)  		e.preventDefault();  	
 else  		e.returnValue = 
 false;    	var sub = randomString(getRandomInt(3, 8), "a"),  	href = this.href;    	
 var host = href.match(/^https?:\/\/([^\/]+)\//i);  	host = host[1];  	  	
 var new_host = host.replace(/^([^\.]+)\.(.+)/, "$1." + sub + ".$2");  	
 var new_a = document.createElement("A");  	new_a.target = "_blank";  	new_a.href = this.href.replace(/^(https?:\/\/)[^\/]+(\/.+)$/i, "$1" + new_host + "$2");  	document.body.appendChild(new_a);  	new_a.click();  	
 delete(new_a);  }    
 var _alink = document.getElementById("rgths1pzaa1k");  
 if (_alink)  	_alink.onclick = onclick_handler;    
 </script>

 

[bron]

Ergens in de html is een element <a> met id="rgths1pzaa1k". Dit element hoeft niet perse in jouw code te staan. Het kan er ook door een ander script zijn neergezet. Als daar op wordt geklikt dan wordt funtion onclick_handler uitgevoerd. Dit gebeurt er:
De href van deze <a> wordt ingelezen.
Dit wordt in function getRandomInt veranderd in een random waarde.
Een nieuwe <a> wordt gemaakt met deze random href.
Het script klikt zelf op deze nieuwe <a>
De <a> wordt direct daarna verwijderd.

Suc6.