ืืื ืืขื ืึทืจืืืงื ืืืจ ืึธื ืืืืื ืึท ืกืขืจืืข ืคืื โโืืืืกืืืืขืก ืืืขืื ืืืืกืืื ืืึทืืืืึทืจืข. ืคืืืขืืขืกืก ืืึทืงืื ื ืืืืื, ืืืื ืืืงืื ื ืืื ืคืืืขืืขืกืก ืืึทืงืื ื ืืืืื, ืืืคึผืืงืื ื ืืฆื PowerShell ืืืืฃ Windows ืกืืกืืขืืขื ืฆื ืืืฉืืืงืข ืืืืคื ืงืึทืืึทื ืื ืฆื ืืืื ืคึฟืึทืจ ืืื ืขืงืกืืจืึทืงื ืืืขืจืืคืื ืืื ืืึทืื. ืืืืขืงืืื ื ืืขืงืขืจ ืืขืืืงืืื ืึธื ืืืืืข ืืขืงืขืก ืืื ืึท ืฉืืืขืจ ืึทืจืืขื, ืืืืึทื ... ืึทื ืืืืืืจืืก ืืื ืคืืืข ืื ืืขืจืข ืืืืขืงืฉืึทื ืกืืกืืขืืขื ืึทืจืืขื ืืืืืจื ืืืืฃ ืืกืืืข ืึทื ืึทืืืกืืก. ืึธืืขืจ ืื ืืืืข ื ืืึทืขืก ืืื ืึทื ืึทืืึท ืืืืืืืืืจื ืขืงืืืกืืืจื. ืืืฉื, , ืืืืืขืืืืืง ืคืื ืืืืขืงืืื ื ืืืืืข ืืขืืืงืืื ืืื ืืขืงืข ืกืืกืืขืืขื.
ืืืขื ืืื ืขืจืฉืืขืจ ืกืืึทืจืืขื ืจืืกืขืจืืฉืื ื ืื ืืขืืข ืคืื โโืืึทืืึทืก ืืึทืงืขืจื, , ืึธืืขืจ ืืืืื ืื ืืืฉืืจืื ืืื ืืืืืืืืืจื ืื ืืืฆื ืืืืฃ ืื ืงืึธืจืื ืก ืงืึธืืคึผืืืืขืจ, ืืื ืืื ืงืืื ืืขืืึทื ืง ืึทื ืืึธืก ืืืึธืื ืืึทืื ืืืขืจื ืึท ืคืึธืืงืก ืืืคึฟื ืคืื ืืึทืคืึทืื. ืืืืขืจืืืึทื ืคึผืจืึธืคืขืกืกืืึธื ืึทืืก ืึทื ืืึธืก ืืืขืจื ืึท ืืึทื ื, ืืื - ืืึทืฉืืขืืืงืื ื ืคืื ืืขื. ืืขืจืืืขืจ, ืืื ืืึทืฉืืึธืกื ืฆื ืืึทืื ืึท ืกืขืจืืข ืคืื โโืืืืกืืืืขืก ืืืืฃ ืืขื ืืขืืข.
ืื ืืจืืืก ืืื ืฉืืึทืจืง PowerShell
ืืื'ืืืข ืืขืฉืจืืื ืืืขืื ืขืืืขืืข ืคืื โโืื ืืขืืื ืงืขื ืคืจืืขืจ ืืื , ืึธืืขืจ ืืขืจ ืืืืืจื ืืืืฃ ืึท ืืขืึธืจืขืืืฉ ืืึทืืจืืฃ. ืฉืคืขืืข ืจ ืื ื ืื ื ืืขืืจืืค ื , ืืื ืืืจ ืงืขื ืขื ืืขืคึฟืื ืขื ืกืึทืืคึผืึทืื ืคืื ืืึทืืืืึทืจืข "ืืขืืืคื" ืืื ืื ืืืืื. ืืื ืืึทืฉืืึธืกื ืฆื ืคึผืจืืืืจื ื ืืฆื ืืขื ืคึผืืึทืฅ ืฆื ืืขืคึฟืื ืขื ืกืึทืืคึผืึทืื ืคืื ืคืืืขืก ืืึทืืืืึทืจืข. ืืื ืืื ืืื ืืขืจืึธืื. ืืืจื ืืขื ืืืขื, ืืืื ืืืจ ืืืืื ืฆื ืืืื ืืืืฃ ืืืื ืืืืืขื ืข ืืึทืืืืึทืจืข ืืืืขื ืขืงืกืคึผืขืืืืืึธื, ืืืจ ืืืขื ืืึธืื ืฆื ืืึทืงืืืขื ืืืขืจืึทืคืืื ืืืจื ืืขื ืคึผืืึทืฅ ืึทืืื ืืื ืืืืกื ืึทื ืืืจ ืืึธื ืื ืึทืจืืขื ืืื ืึท ืืืืึทืก ืืื ืืืืืข. ืืื ืึท ืืืืขืจืืืื ืืืึธืืืขืจ, ืืื ืืืจืืืขืืื ืืขื ืขืก ืึธื ืงืฉืื. ืืื ืืื ืืืืขืจ ืึทื ืืืจ ืงืขื ืขื ืืืื.
ืืื ืึทืืืฉืึทื ืฆื ืื ืกืึทืืคึผืึทืื ืืื, ืืืืฃ ืืขื ืคึผืืึทืฅ ืืืจ ืงืขื ืขื ืืขื ืืืึธืก ืื ืืืืื ืืึธื. ืืืืจืื ืึทื ืึทืืืกืืก ืืืืคื ืืึทืืืืึทืจืข ืืื ืืืื ืืืืืขื ืข ืืึทืืืงืึทืกืื ืืื ืืึธื ืืืึธืจืก ืกืืกืืขื ืงืึทืืืก, ืคืืืกื ืืืง ืคึผืจืึทืกืขืกืึทื ืืื ื ืขืฅ ืึทืงืืืืืืืขืื ืืื ืขืงืกืืจืึทืงื ืกืึทืกืคึผืืฉืึทืก ืืขืงืกื ืกืืจืื ืืก. ืคึฟืึทืจ ืืื ืึทืจืืขืก ืืื ืื ืืขืจืข ืขืงืกืขืงืืืึทืืืข ืืขืงืขืก, ื.ืข. ืืื ืืืจ ืงืขื ืขื ื ืืฉื ืืคืืื ืงืืง ืืื ืื ืคืึทืงืืืฉ ืืืื-ืืืจืื ืงืึธื, ืืืืืจืื ืึทื ืึทืืืกืืก ืืืกืืืื ืฆื ืื ืืืืืืืืืจื ืืื ืืืืืข ืึธืืขืจ ื ืึธืจ ืกืึทืกืคึผืืฉืึทืก ืืืืืจื ืืืืฃ ืืืึทื ืจืื ืืืืข ืืขืืืงืืื. ืืื ื ืึธื ืืขื ืืขืจ ืืืกืืขืจ ืืื ืฉืืื ืขืืืึทืืืึทืืขื.
ืืื ืืขื ืคืึทื ืคืื PowerShell ืืื ืื ืืขืจืข ืืืกืืขืจ ืกืงืจืืคึผืก (ืืืืกืืึทื ืืึทืกืืง, ืืืฉืึทืืืึทืกืงืจืืคึผื, ืืื"ื ื), ืืื ืืื ืืืืืืช ืฆื ืืขื ืื ืงืึธื ืืื. ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืื ืืขืคึฟืื ืขื ืืขื PowerShell ืืืึทืฉืคึผืื:
ืืืจ ืงืขื ื ืืืื ืืืืคื PowerShell ืืื Base64 ืงืึธืืืจืื ื ืฆื ืืืกืืืืื ืืืืขืงืฉืึทื. ืืึทืืขืจืงืื ื ืื ื ืืฆื ืคืื ื ืึธื ืื ืืขืจืึทืงืืืืืข ืืื ืคืึทืจืืึธืจืื ืคึผืึทืจืึทืืขืืขืจืก.
ืืืื ืืืจ ืืึธื ืืืืขื ืขื ืืืื ืึทืจืืืงืืขื ืืืืฃ ืึทืืคืึทืกืงืืืฉืึทื, ืืืจ ืืืืกื ืึทื ืื -e ืึธืคึผืฆืืข ืกืคึผืขืฆืืคืืฆืืจื ืึทื ืืขืจ ืืื ืืึทืื ืืื ืืืืกืข64 ืงืึธืืขื. ืืืจื ืืขื ืืืขื, ืืืืืจืื ืึทื ืึทืืืกืืก ืืืื ืืขืืคึผืก ืืื ืืขื ืืืจื ืืืงืึธืืืื ื ืึทืืฅ ืฆืืจืืง. ืืืื ืืืจ ืืืืื ืฆื ืคึผืจืืืืจื ืืืงืึธืืืื ื Base64 PowerShell (ืืขืจื ืึธื ืจืืคืขืจื ืฆื ืืื PS), ืืืจ ืืึทืจืคึฟื ืฆื ืืืืคื ืืขื ืืึทืคึฟืขื:
[System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($EncodedText))ืืื ืืืคืขืจ
ืืื ืืขืงืึธืืขื ืืื ืืืขืจ ืคึผืก ืฉืจืืคื ืืื ืืขื ืืืคึฟื, ืืื ืื ืืื ืืขืจ ืืขืงืกื ืคืื ืื ืคึผืจืึธืืจืึทื, ืืึธืืฉ ืึท ืืืกื ืืึทืืึทืคืืื ืืืจื ืืืจ:
ืืึทืืขืจืงืื ื ืึทื ืื ืฉืจืืคื ืืื ืืขืืืขื ืืืื ืฆื ืื ืืึธื 4 ืกืขืคืืขืืืขืจ 2017 ืืื ืืจืึทื ืกืืืืืขื ืกืขืกืืข ืงืืืืขื.
ืืื ืืขืฉืจืืื ืืืขืื ืืขื ื ืืกื ืคืื ืืึทืคืึทืื ืืื , ืืื ืืืึธืก ืื base64 ืงืึธืืขื ืฉืจืืคื ืืื ืืึธืืื ืคืขืื ืืืง ืืึทืืืืึทืจืข ืคึฟืื ืื ืื ืืขืจ ืคึผืืึทืฅ, ื ืืฆื ืื .ื ืขื ืคืจืึทืืขืืืึธืจืง ืืืืืืึธืืขืง ืก ืืืขืืงืืืขื ื ืืืืคืขืฅ ืฆื ืืึธื ืื ืฉืืืขืจ ืืืคืืื ื.
ืืืึธืก ืืื ืขืก ืืึธื?
ืคึฟืึทืจ ืืืืขืจืืืื ืืืืืืืืืจื ืกืงืึทื ืื ื Windows ืืขืฉืขืขื ืืฉ ืืึธืืก ืึธืืขืจ ืคืืจืขืืืึทืืืก, Base64 ืงืึธืืืจืื ื ืคึผืจืืืืขื ืฅ ืื ืฉืืจืืงื "WebClient" ืคืื ืืืืขืงืืึทื ืืืจื ืึท ืงืืึธืจ ืืขืงืกื ืืืกืืขืจ ืฆื ืืึทืฉืืฆื ืงืขืื ืืืื ืึทืืึท ืึท ืืืขื ืืขืื. ืืื ืืื ื ืึทืืข ืื "ืืืื" ืคืื ืื ืืึทืืืืึทืจืข ืืื ืืึทืื ืืึธืืืื ืืื ืืืจืืืขืืื ืืขื ืืื ืืื ืืืขืจ PowerShell, ืืขืจ ืฆืืืึทื ื ืึทืืึทืื ืืื ืื ืฆื ืืึธืจ ืืืกืืืืื ืืืืขืงืฉืึทื. ืึธืืขืจ ืืขืกืขืจ, ืืึธืก ืืื ืืืึธืก ืืื ืืขืืึทื ืง ืืื ืขืจืฉืืขืจ.
ืขืก ืืืจื ืก ืืืืก ืึทื ืืื Windows PowerShell Advanced Logging ืขื ืืืืึทืื (ืืขื ืืืื ืึทืจืืืงื), ืืืจ ืืืขื ืงืขื ืขื ืฆื ืืขื ืื ืืึธืืืื ืฉืืจื ืืื ืื ืืขืฉืขืขื ืืฉ ืงืืึธืฅ. ืืื ืืื ืืื ) ืืื ืืจืึทืืื ืืืืงืจืึธืกืึธืคึฟื ืืึธื ืืขืื ืืขื ืืืจืื ืคืื ืืึธืืื ื ืืืจื ืคืขืืืงืืึทื. ืืขืจืืืขืจ, ืืื ืขืงืกืืขื ืืขื ืืึธืืื ื ืขื ืืืืึทืื, ืืืจ ืืืขืื ืืขื ืืื ืื Windows ืืขืฉืขืขื ืืฉ ืงืืึธืฅ ืึท ืืขืขื ืืืงื ืืจืืคืงืืคืืข ืืขืื ืคึฟืื ืึท ืคึผืก ืฉืจืืคื ืืืื ืืขื ืืืึทืฉืคึผืื ืืืจ ืืืกืงืึทืกื ืืืืื. ืืขืจืืืขืจ, ืขืก ืืืื ืืื ืขื ืฆื ืึทืงืืึทืืืืื ืขืก, ืืึธื ื ืื ืฉืืืืขื?
ืืึธืืืจ ืฆืืืขืื ื ืึธื ืกืื ืขืจืืึธืื
ืืึทืงืขืจื ืงืืขืืืขืจืื ืืึทืืึทืืื PowerShell ืื ืคืืื ืืื ืืืงืจืึธืกืึธืคื ืึธืคืคืืกืข ืืึทืงืจืึธืก ืืขืฉืจืืื ืืื ืืืืกืืึทื ืืึทืกืืง ืืื ืื ืืขืจืข ืกืงืจืืคึผืืื ื ืฉืคึผืจืึทืื. ืืขืจ ืืขืืึทื ืง ืืื ืึทื ืื ืงืึธืจืื ืืืงืืื ืึท ืึธื ืืึธื, ืืืฉื ืคืื ืึท ืขืงืกืคึผืจืขืก ืืื ืกื, ืืื ืึท ืฆืืืขืืืืื ืืึทืจืืื ืืื .ืืึธืง ืคึฟืึธืจืืึทื. ืืืจ ืขืคึฟืขื ืขื ืืขื ืืึธืงืืืขื ื ืืืึธืก ืึผืืื ืื ืืึทืงืจืึธื, ืืื ืขืก ืขื ืืก ืืื ืงืึทืืขืจ ืื ืืืืืข PowerShell ืืื.
ืึธืคื ืื ืืืืกืืึทื ืืึทืกืืง ืฉืจืืคื ืืื ืืื ืึทืืคืืกืงืืืืื ืึทืืื ืึทื ืขืก ืคืจืืื ืืืืืืื ืึทื ืืืืืืจืืก ืืื ืื ืืขืจืข ืืึทืืืืึทืจืข ืกืงืึทื ืขืจื. ืืื ืืขื ืืืืกื ืคืื ืื ืืืืื, ืืื ืืึทืฉืืึธืกื ืฆื ืงืึธื ืื ืืืืื PowerShell ืืื ืืืฉืึทืืืึทืกืงืจืืคึผื ืืื ืึทื ืืขื ืืืื ื. ืืื ืื ืืขื ืขื ืื ืจืขืืืืืึทืื ืคืื ืืืื ืึทืจืืขื:
ืึทืืคืืกืงืึทืืขื ืืืฉืึทืืืึทืกืงืจืืคึผื ืืืืืื ื ืืื ืืืขืจ PowerShell. ืคืึทืงืืืฉ ืืึทืงืขืจื ืืึธื ืืึธืก ืึทืืึธื ืึธืืขืจ ืฆืืืื ืืึธื.
ืืึธืก ืืื ืื ืื ืืขืจ ืืขืื ืืง ืืื ืืืข ืืขืืขื ืคืืึธืืืื ื ืึทืจืื ืื ืืืขื: ื ืืฆื Wscript.Shell ืฆื ืืืืคื ืงืึธืืขื ืคึผืึธืืืขืจืฉืขืื. ืืืจื ืืขื ืืืขื, ืืืฉืึทืืืึทืกืงืจืืคึผื ืืื ืืื ืขืงืกืคึผืจืขืก ืคืื ืืึทืืืืึทืจืข. ืคืืืข ืืืขืจืกืืขืก ืคืื Windows ืืึธืื ืึท ืืขืืืื-ืืื , ืืืึธืก ืืื ืงืขื ืขื ืืืืคื JS.
ืืื ืืื ืืืขืจ ืคืึทื, ืื ืืืืืข JS ืฉืจืืคื ืืื ืขืืืขืืื ืืื ืึท ืืขืงืข ืืื ืื .doc.js ืคืึทืจืืขื ืืขืจืื ื. Windows ืืืขื ืืืคึผืืงืื ืืืืื ืืืืึทืื ืื ืขืจืฉืืขืจ ืกืึทืคืืงืก, ืึทืืื ืขืก ืืืขื ืืขืจืฉืืึทื ืขื ืฆื ืื ืงืึธืจืื ืืื ืึท ืืืึธืจื ืืึธืงืืืขื ื.
ืื JS ืืืงืึทื ืืื ืืืืื ืืื ืื ืืขืืืืข ืืืงืึทื. ืขืก ืืื ื ืืฉื ืืืืืฉ ืึทื ืคืืืข ืืขื ืืฉื ืืืขืื ืขืคืขื ืขื ืืขื ืึทืืึทืืฉืืึทื ื ืืื ืืจืึทืืื ืขืก ืืื ืึท ืืืึธืจื ืืึธืงืืืขื ื.
ืืื ืืืื ืืืืฉืคึผืื, ืืื ืืึทืืึทืคืืื ืื PowerShell ืืืืื ืฆื ืึธืคึผืืึธืืืจื ืื ืฉืจืืคื ืคืื ืืืื ืืืขืืืืืื. ืื ืืืืึทื ืคึผืก ืฉืจืืคื ื ืึธืจ ืคึผืจืื ืฅ "ืขืืืื ืืึทืืืืึทืจืข". ืืื ืืืจ ืงืขื ืขื ืืขื, ืขืจ ืืื ื ืืฉื ืงืืื ืจืฉืข. ืคืื ืงืืจืก, ืคืึทืงืืืฉ ืืึทืงืขืจื ืืขื ืขื ืืื ืืขืจืขืกืืจื ืืื ืืืื ืื ื ืึทืงืกืขืก ืฆื ืึท ืืึทืคึผืืึทืคึผ ืึธืืขืจ ืกืขืจืืืขืจ, ืืึธืื, ืืืจื ืึท ืืึทืคึฟืขื ืฉืึธื. ืืื ืืขืจ ืืืืึทืืขืจ ืึทืจืืืงื, ืืื ืืืขื ืืืืึทืื ืืืจ ืืื ืฆื ืืึธื ืืึธืก ืืื PowerShell Empire.
ืืื ืืืฃ ืื ืคืืจ ืืขื ืขืจืฉืื ืืงืืื ืืจืืืงื ืืืื ืืืจ ื ืืฉื ืืจืืื ืืขืืืคื ืฆื ืืืฃ ืืื ืืขืจ ืืขืืข. ืืืฆื ืืืขื ืืื ืืืื ืืืื ืืืขื ื ืขืืขื, ืืื ืงืืืขื ืืืืข ืืื ืืืขืื ืืืจ ืื ืืืืื ืงืืงื ืืืืฃ ืขืืืข ืืืืฉืคืืื ืคืื ืืืืงืขืก ืืื ืคืขืืืขืกืก ืืึทืืืืึทืจืข ืึธื ืงืืื ืืื ืืืืืง ืื ืืจืึทืืึทืงืืขืจื ืืืขืจืืขืจ ืึธืืขืจ ืฆืืืจืืืืื ื.
ืืงืืจ: www.habr.com