Неизвестный PowerShell-скрипт с сомнительным содержанием: вредоносное ПО?

Question

5cfdf61c454c1fc5e9f0fcad2d12d5ef.ps1Я нашел на своем компьютере скрипт под названием :

$pyfwthc = # this is just a TON of random letters and numbers didnt wanna waste the space and its probably not important (encrypted maybe?)
$sstring = ConvertTo-SecureString $pyfwthc
$script = (New-Object system.Management.Automation.PSCredential("pyfwthc", $sstring)).GetNetworkCredential().Password
Invoke-Expression $script

Стоит ли мне об этом беспокоиться?

Answer 1

Давайте разберемся.

• Первая строка сохраняет эту большую строку в переменной с именем «pyfwthc».
• Вторая строка «Преобразует зашифрованные стандартные строки в защищенные строки», это делается для защиты пароля: https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.security/convertto-securestring?view=powershell-5.1
• Третья строка создает учетные данные PowerShell, которые можно использовать для аутентификации других команд из скрипта PowerShell без раскрытия пароля. Затем он извлекает пароль из этих учетных данных. Это преобразует зашифрованную строку в обычный текст.
• Четвертая строка запускает «пароль» как команду:https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.utility/invoke-expression?view=powershell-5.1

ОБНОВЛЕНИЕ: Как указали другие пользователи, он запускает строку пароля как команду. Вы хотите выгрузить значение $script в файл, чтобы увидеть, что он запускает:

Удалите последнюю строку из скрипта и запустите:

echo $script > this_is_the_script.file