PSLoaderDLL
DLL-загрузчик PowerShell с использованием WMI (вызов процесса create) для запуска PowerShell с обходом -executionpolicy -nop -w скрыто. Многочастный HTTP-запрос POST с камуфляжем User-Agent для macOS Chrome 102. Поддельное происхождение/реферер: null.jsbin.com. Создает пользовательские файлы .tpp0/.tpp1. Граница формы WebKit для загрузки файлов.
Профиль угрозы
Тип
Loader
Язык программированияC/C++
C2 ПротоколHTTP
Первое обнаружение2024
Цели
Kuresel
Назначение / Возможности
- Загрузчик/дроппер
Для этого семейства пока не обнаружено C2-серверов.
Исследовательские отчёты (1)
PSLoaderDLL 05c72e77 -- WMI PowerShell bypass nop hidden Execution HTTP Multipart POST macOS Chrome User-Agent null.jsbin.com Fake Origin tpp0 tpp1 Custom Extension | Yuksek
PSLoaderDLL 05c72e77 PE32 DLL x86 413KB. WMI process call create PowerShell -bypass -nop -hidden. HTTP POST multipart macOS Chrome UA. Origin: null.jsbin.com. .tpp0/.tpp1 extensions.
Читать отчёт →