Payload x1

swizzer

仔细地追溯了一下，发现这里的样本是https://bbs.kafan.cn/thread-2218396-1-1.html里面的样本生成的。
运行那个帖子里面的样本后会在Startup文件夹下有相关lnk生成，lnk指向的文件也就能被powershell运行了。

但是具体为什么直接提取出来的文件不能被Powershell加载尚不清楚。可能是样本生成的另外的scr前缀的ps1做了前置的解密作业从而使得随后的payload被成功加载？力不能及，望专业人士解答。