Открыл обычный VBS, а внутри оказался PowerShell, AES и MSBuild

Значимый прорыв формирует отрасль ИИ: Vladislav_Podobed 17 минут назад Открыл обычный VBS, а внутри оказался PowerShell, AES и MSBuild Простой 6 мин 469 Реверс-инжиниринг * Информационная безопасность * PowerShell * Аналитика Мне в руки попался обычный файл с расширением . Открываю посмотреть, что там внутри, и сначала даже немного разочаровался. Какой-то VBScript, временные файлы, cmd.

Ну, думаю, очередной скрипт-загрузчик. Но потом заметил одну деталь. Скрипт читал сам себя.

Технические детали

И вот тут стало уже интереснее. Начинаем с VBSВ самом начале создаётся объект WScript. Shell и определяется %TEMP%:Dim v16173 : Set v16173 = CreateObject("WScript.

Shell Dim v39964 : v39964 = v16173. ExpandEnvironmentStrings("%TEMP% Дальше идут две небольшие функции, которые генерируют случайные имена файлов. Например, одна из них делает что-то вроде:d48321.

datа другая:t73921Ничего особенного. Но потом появляется вот это:stmIn. LoadFromFile WScript.

Отраслевые последствия

ScriptFullName v73756 = stmIn. ReadTextСкрипт открывает собственный файл и читает его содержимое. Через несколько строк ответ находится сам:pos = InStrRev(v73756, "'DATA: То есть внутри VBS после специальной метки лежит ещё что-то.

Вредоносный скрипт решил быть сам себе архивом. DATA внутри самого себяПосле DATA: содержимое очищается от переводов строк:v71891 = Replace(Replace(v71891, vbCrLf, " vbLf, " А потом строка делится:parts = Split(v71891, " И вот тут уже начинается нормальная матрёшка. Внутри находятся три части:part 0 part 1 part 2Первые две сохраняются как .

dat:Dim v67468 : v67468 = F33274("dat Dim v65772 : v65772 = F33274("dat А третья часть оказывается PowerShell-скриптом. То есть исходный файл выглядит примерно так:2. vbs | +-- VBScript | +-- DATA: | +-- данные №1 +-- данные №2 +-- PowerShellПричём PowerShell тоже не лежит в готовом виде.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.