PSLoaderDLL
DLL du chargeur PowerShell utilisant WMI (création d'appel de processus) pour lancer PowerShell avec -executionpolicy bypass -nop -w caché. POST HTTP en plusieurs parties avec camouflage macOS Chrome 102 User-Agent. Fausse origine/référent : null.jsbin.com. Crée des fichiers .tpp0/.tpp1 personnalisés. Limite du formulaire WebKit pour les téléchargements de fichiers.
Profil de menace
Type
Loader
Langage de programmationC/C++
Protocole C2HTTP
Première détection2024
Cibles
Kuresel
Objectif / Capacités
- Chargeur/compte-gouttes
Aucun serveur C2 n'a encore été identifié pour cette famille.
Rapports de recherche (1)
PSLoaderDLL 05c72e77 -- WMI PowerShell bypass nop hidden Execution HTTP Multipart POST macOS Chrome User-Agent null.jsbin.com Fake Origin tpp0 tpp1 Custom Extension | Yuksek
PSLoaderDLL 05c72e77 PE32 DLL x86 413KB. WMI process call create PowerShell -bypass -nop -hidden. HTTP POST multipart macOS Chrome UA. Origin: null.jsbin.com. .tpp0/.tpp1 extensions.
Lire le rapport →