Kodlanmış PowerShell komutları
PowerShell, -EncodedCommand ile bütün bir script'i UTF-16LE metnin base64 hali olarak alabilir; bu da script'i komut satırını okuyan herkesten gizler. Bir post-exploitation framework'ü ajanını sekiz makinede bu şekilde başlattı; bazen doğrudan, bazen aynı metni komut satırında taşıyan cmd.exe sarmalayıcılarıyla. Komut satırında kodlanmış komut taşıyan her süreci bulun. Temiz Windows 10 istemcisi de PowerShell'i gizli pencereyle çalıştırıyor ve kısa parametre alan başka programlar da var.
İpucu 1
PowerShell kısaltılmış parametre adlarını kabul eder: -e, -en, -enc ve -EncodedCommand hepsi çalışır.
İpucu 2
Kodlanmış metnin kendisi de eşleştirilebilir: wide ile base64offset, UTF-16LE base64 içinde düz bir metni bulur.
Kural bu tarayıcıda çalışır; geri döndüğünüzde bulmanız için burada saklanır.
Olaylar
2.351 olay. Arama yalnızca tabloyu süzer, sonucu etkilemez.