PSLoaderDLL
DLL do carregador do PowerShell usando WMI (criação de chamada de processo) para iniciar o PowerShell com -executionpolicy bypass -nop -w oculto. HTTP multipart POST com camuflagem de agente de usuário do macOS Chrome 102. Origem/referenciador falso: null.jsbin.com. Cria arquivos .tpp0/.tpp1 personalizados. Limite do formulário WebKit para uploads de arquivos.
Perfil de ameaça
Tipo
Loader
Linguagem de programaçãoC/C++
Protocolo C2HTTP
Primeira detecção2024
Alvos
Kuresel
Propósito / Capacidades
- Carregador/conta-gotas
Nenhum servidor C2 foi identificado para esta família ainda.
Relatórios de pesquisa (1)
PSLoaderDLL 05c72e77 -- WMI PowerShell bypass nop hidden Execution HTTP Multipart POST macOS Chrome User-Agent null.jsbin.com Fake Origin tpp0 tpp1 Custom Extension | Yuksek
PSLoaderDLL 05c72e77 PE32 DLL x86 413KB. WMI process call create PowerShell -bypass -nop -hidden. HTTP POST multipart macOS Chrome UA. Origin: null.jsbin.com. .tpp0/.tpp1 extensions.
Ler relatório →