CMDPSDropper
Переносчик CMD в PowerShell. Обфускация нежелательной строки Rgqvr в скрипте .cmd. Контакты vrstem.IO C2. Запускает PowerShell в свернутом виде. Встроенная полезная нагрузка с шифрованием Base64. Замена строки для конструкции InvokeExpression.
Профиль угрозы
Тип
Loader
Язык программированияCMD/PowerShell
C2 ПротоколHTTPS
Первое обнаружение2024
Цели
Küresel
Назначение / Возможности
- Дроппер/Загрузчик
C2 Серверы 1
| Адрес | Порт | Протокол | Статус | Действие |
|---|---|---|---|---|
vrstem.io
|
443 | HTTPS | INACTIVE |
⚠ Адреса C2 публикуются исключительно в целях киберразведки и защиты. Несанкционированный доступ к этим адресам является уголовным преступлением.
Исследовательские отчёты (1)
CMDPSDropper lods.cmd -- vrstem.IO C2 Indirme Sunucusu, Rgqvr Junk String CMD Obfuskasyon Teknigi, WindowsPowerShell Minimize Gizli Baslama, Buyuk Base64 Sifrelenmis PS Payload Gomulu | Yuksek
CMDPSDropper lods.cmd ZIP 201KB. vrstem.IO C2. Rgqvr junk-string CMD obfuskasyon. WindowsPowerShell minimize gizli baslama. Buyuk base64 sifrelenmis PS payload gomulu.
Читать отчёт →