Contenu disponible en langue originale
class="post-article">
Loader JavaScript/PowerShell Actif depuis 2024

JSDropperLoader

JavaScript malware dropper with 3-layer encryption: XOR(20/142) outer, custom AES-256 with modified S-BOX/RCON, then embedded PowerShell loader. Targets MSBuild.exe via process hollowing. Uses OmniCascade assembly namespace (QuartzMediator, PhantomLinker). ConvertFrom-Base28 custom encoding for embedded blobs. Execution via WScript.Shell.Run() and ADODB.Stream. Consistent with XLoader/ModiLoader/IDAT-style loaders.

Profil de menace
Type Loader
Langage de programmationJavaScript/PowerShell
Protocole C2HTTP/custom
Première détection2024
Cibles Kuresel
Objectif / Capacités
  • Loader/Dropper/Process Hollow
Aucun serveur C2 n'a encore été identifié pour cette famille.

Rapports de recherche (1)

Kritik

JSDropper 06cd8dcf -- XOR Custom AES-256 Modified SBOX PowerShell MSBuild Hollow OmniCascade QuartzMediator WScript ADODB ConvertFrom-Base28 XLoader ModiLoader | Kritik

JSDropper 06cd8dcf JS 804KB. 3 katman: XOR + Ozel AES-256 (degis SBOX) + PSLoader. MSBuild.exe hollow. OmniCascade assembly. WScript.Shell.Run ADODB.Stream.

Lire le rapport →