javascript - 我的外部硬盘被病毒感染，我发现了这个非常可疑的 JavaScript 文件。有人可以帮我分析这个文件吗？

Question

我的 750 GB 外置硬盘被病毒感染。当我帮助我的 friend 为他的笔记本电脑获取 Visual Studio 的副本并将我的外部硬盘插入其中时，我的近 95% 的文件很快就被隐藏了，并被快捷方式文件(又称为 .lnk 文件)所取代(最重要的是，来自学校项目的 366 GB 数据)。在整个硬盘变成.lnk文件之前，我迅速拔掉了外置硬盘。我将外部设备重新插入电脑并运行 ff。命令提示符命令取消隐藏隐藏文件:

@echo off
attrib -h -s -r -a /s /d G:\*.*
PAUSE
@echo on
echo DONE!

这个G:位置是我的电脑在病毒攻击之前和期间识别我的外部硬盘驱动器的位置，运行上面的批处理命令后，我的电脑现在用E:识别我的外部硬盘驱动器。

当文件再次可见时，我看到所有丢失的文件夹都放入名为“Drive”的隐藏文件夹中，并且我很快移出了我记得最初位于此处的所有文件。我从硬盘里捞出来的是ff。文件:

• 一个 Windows 批处理文件，执行位于“G:\Drive\808\exmjxt.js”的 JavaScript 文件，我很确定我从未创建过该文件。
• 名为“exmjxt.js”的 JavaScript 文件

现在，我尝试使用notepad++打开上面提到的javascript文件，这是我在其中看到的代码(这段代码中只有4行，但由于某种原因，第一行“var a = .. .."行显然包含适合第一行的 84906 个字符):

(代码太长，超过 85,000 个字符，这里是一个 Pastebin 链接)

Pastebin link for the javascript virus code

如果您是懂 javascript 的人，请帮我分析一下这个 javascript 文件，了解一下这段代码的作用。

上次我感染了快捷方式病毒，该病毒从我浏览器中保存的 cookie 中挖掘了我的 yahoo 电子邮件地址，并将电子邮件发送到某个可疑网站，下一分钟，我就收到了相当多的 NSFW 和 future 6 个月以电子邮件形式转换 18 多个广告 -_-

Answer 1

感染硬盘的JS蠕虫是JS/BONDAT的变种。它的作用如下:将自身复制到启动文件夹，连接到命令和控制服务器，通过传播到外部驱动器的循环运行。