事情是这样的，某天小菜鸡在愉快的玩耍，看到同事大师傅在分析FIN7 组织的样本，就是下面这个：
这个是推特的大手子发的：传送门
这个是AnyRun 上面的样本：传送门
JS 麻，淦就完事了，下载。
然后我得到了这样的代码：

很”清晰”的代码，（强烈建议一会APT 组织攻击的时候能不能丢一个源码文件），文件大小为1.04M，MD5为：f1680aa55c88220bcf83e24d89628cc9F1680AA55C8822
OK，基本信息就是这样，总结一下就是一个小白满怀信心的准备分析它了。

刚开始的时候，我发现JS 代码是没有进行格式化的，并且里面的字符串都使用形如\x 的UTF-8 字符串进行了替换，所有要分析的话，首先需要对代码进行格式化并且将字符串显示为正常的，方便可读。
JS 代码格式化我使用的是代码在线格式化，然后UTF-8 字符串解析我使用的是推特大手子推荐的在线工具此处感谢源神私聊大手子得到后续的思路。
进行了上述的步骤后，我们得到了下面这样的代码（虽然可以看了，但是WTF 这是啥？？？当然，这里没有截取完整，可我还是看不懂）

这里，我们可以静态看一下，根据大手子的说法是现在很多恶意软件开发者喜欢使用JavaScript Obfuscator Tool对JS 代码进行混淆，所有在开始分析之前，我也写了一段JS 代码进行混淆。emmmmmmm 很恶心。

然后关于这个在后面在说，我们先将样本的JS 解混淆。
我们将JS 代码写入到HTML 文件中并使用谷歌浏览器进行调试。

也就是在这里，我发现了这个混淆的恶心之处，它进行了反调试（没有JS 调试经验的我第一次知道原来JS 也有反调试，查询资料发现在反爬虫的地方用的挺多的）。

在这里有一个debugger 的反调试，然后不知道怎么过去，一度陷入了胶着。

然后感谢源神问了一下推特大手子：

根据大手子的说法，在第二个变量（0x22598F）处，实际上就是用于获取被加密的JS 代码，在将这些数据拼接起来，就是完整的被加密的代码。所有我让JS 文件直接执行，然后定位到这个位置，在浏览器控制台打印获取被加密后的JS 代码。

在拿到这段代码后，我们大致看一下整个JS 代码的流程，首先是创建字典，然后获取解码函数的地址，然后利用解码函数获取被加密的JS 代码，也就是上面这段数据，接着生成解码执行流程数组（其实就是一个整型数组，里面存放的数据影响这后续代码执行流程），最后进行解码。

拿到这个数组后，程序就遍历数组，并且进入到选择语句，执行对应值的代码。

然后被进行第一次解密的代码就被插入到代码执行流程中，接着进入case 3 的代码块中进行下次解密，这里我整理一下后续的代码流程就是下面这样的：

我们将这个代码和上面一样编辑为HTML 格式进行执行。然后直接查看解析后的JS 的代码：

最后，我们得到的代码时下面这样的：

在代码开始处有一个eval() 方法，这个方法在上面也出现过，它的作用就是以JS 格式操作传入的字符串，和PowerShell IEX 函数功能类似。
所以，这意味着在eval 内的字符串我们可以执行，接着我们看到一个unescape() 方法，这个方法是对形如%xx 和 %uxxxx 的字符序列（x 表示十六进制的数字），用 Unicode 字符 \u00xx 和 \uxxxx 替换这样的字符序列进行解码。所以我们直接将eval() 内的字符串放到控制台执行，就可以执行unescape() 方法解析字符串得到最终清晰的JS 代码。

最终得到的JS 代码如下：

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)