Loader C/C++ 自2024年起活跃

PSLoaderDLL

PowerShell 加载程序 DLL 使用 WMI（进程调用创建）启动 PowerShell，并使用 -executionpolicy 绕过 -nop -w 隐藏。带有 macOS Chrome 102 用户代理伪装的 HTTP 多部分 POST。假来源/引用者：null.jsbin.com。创建自定义 .tpp0/.tpp1 文件。文件上传的 WebKit 表单边界。

威胁档案
类型 Loader
编程语言C/C++
C2协议HTTP
首次发现2024
目标 Kuresel
用途 / 能力
  • 装载机/投掷机
尚未发现该家族的 C2 服务器。

研究报告 (1)

高

PSLoaderDLL 05c72e77 -- WMI PowerShell bypass nop hidden Execution HTTP Multipart POST macOS Chrome User-Agent null.jsbin.com Fake Origin tpp0 tpp1 Custom Extension | Yuksek

PSLoaderDLL 05c72e77 PE32 DLL x86 413KB. WMI process call create PowerShell -bypass -nop -hidden. HTTP POST multipart macOS Chrome UA. Origin: null.jsbin.com. .tpp0/.tpp1 extensions.

阅读报告 →