PSLoaderDLL
PowerShell-Loader-DLL verwendet WMI (Prozessaufruf erstellen), um PowerShell mit ausgeblendetem -executionpolicy bypass -nop -w zu starten. HTTP-Multipart-POST mit macOS Chrome 102 User-Agent-Tarnung. Gefälschter Ursprung/Referer: null.jsbin.com. Erstellt benutzerdefinierte .tpp0/.tpp1-Dateien. WebKit-Formulargrenze für Datei-Uploads.
Bedrohungsprofil
Typ
Loader
ProgrammierspracheC/C++
C2-ProtokollHTTP
Erstmals gesehen2024
Ziele
Kuresel
Zweck / Fähigkeiten
- Lader/Dropper
Für diese Familie wurden noch keine C2-Server identifiziert.
Forschungsberichte (1)
PSLoaderDLL 05c72e77 -- WMI PowerShell bypass nop hidden Execution HTTP Multipart POST macOS Chrome User-Agent null.jsbin.com Fake Origin tpp0 tpp1 Custom Extension | Yuksek
PSLoaderDLL 05c72e77 PE32 DLL x86 413KB. WMI process call create PowerShell -bypass -nop -hidden. HTTP POST multipart macOS Chrome UA. Origin: null.jsbin.com. .tpp0/.tpp1 extensions.
Bericht lesen →