Descodificación de un comando de PowerShell desde un proceso en ejecución | Operating systems, scripting, PowerShell and security

PowerShell

Contenidos

Ejecutar un script en PowerShell (que se ejecute durante un tiempo para poder ser detectado listando procesos)

powershell.exe -Command {
    $i = 1
    while ( $i -le 10 )
    {
        $i
        Start-Sleep -Seconds 60
        $i++
    }
}

powershell.exe -Command {

$i = 1

while ( $i -le 10 )

{

Start-Sleep -Seconds 60

$i++

}

$informacion = Get-CimInstance -ClassName Win32_Process | where CommandLine -Match "encodedCommand"

1	$informacion = Get-CimInstance -ClassName Win32_Process \| where CommandLine -Match "encodedCommand"

$encodedCommand = $informacion.CommandLine.split(" ")[3]

[System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String($encodedCommand))

$encodedCommand = $informacion.CommandLine.split(" ")[3]

[System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String($encodedCommand))