LaureatePoet

[VirusTotal - m.dat 检测结果]( https://www.virustotal.com/gui/file/c7eaff9d735d8eef42c73be4c093f7b31cf7d0df18c98d135eb915c13409d077/detection)

以下是对这三个 PowerShell 脚本的分别总结：

### 1. **主要脚本 (`power.txt` 脚本)**
- **目的**: 该脚本的目的是通过禁用系统防护和终止某些进程来破坏系统安全，同时下载和执行远程恶意代码。
- **主要操作**:
- **生成随机字符串**: 创建一个随机字符串并将其赋值给变量 `$sys`。
- **禁用 Windows Defender**: 通过多种方法禁用 Windows Defender 和其他安全特性。
- **终止并删除非标准进程**: 检查并终止多个系统关键进程，如 `svchost.exe`、`conhost.exe`，并删除它们的可执行文件。
- **检查恶意进程和服务**: 检查 `winlogon.exe` 是否存在于指定路径，并检测名为 "Windows Updata" 的服务是否正在运行。如果存在，执行从远程服务器下载的恶意代码，否则清除 WMI 持久化机制并重新配置恶意计划任务和 WMI 事件。
- **配置计划任务和防火墙**: 添加防火墙规则和计划任务以维持系统的长期感染状态。

### 2. **`config.txt` 脚本**
- **目的**: 检查配置文件是否已被篡改，如果未被篡改则下载新的配置文件并重新配置系统的持久化机制。
- **主要操作**:
- **检查配置文件**: 读取 `C:\Windows\debug\m\config.json` 内容，查看其中是否包含指定的恶意域名。如果不包含，则下载更新后的配置文件并替换现有文件。
- **更新 WMI 事件和计划任务**: 删除现有的 WMI 事件和计划任务，然后重新创建它们以确保执行恶意代码。
- **创建计划任务**: 通过 `schtasks` 命令创建一个定时任务，该任务定期从远程服务器下载并执行恶意代码。

### 3. **`download.txt` 脚本**
- **目的**: 下载、执行恶意文件，并通过设置权限和计划任务确保其持久性，同时防止系统修复。
- **主要操作**:
- **下载恶意文件**: 从远程服务器下载一个名为 `m.dat` 的文件并将其保存为 `m.exe`。
- **修改文件权限**: 使用 `icacls` 修改 `C:\Windows\debug\m` 目录及其内容的权限，确保恶意文件能够在多种用户环境下执行。
- **执行恶意文件**: 使用 `cmd.exe` 和 `Start-Process` 多次尝试执行下载的恶意文件和相关的脚本/批处理文件。
- **创建计划任务和防火墙规则**: 创建定时任务以确保恶意代码定期执行，同时开放特定端口以便远程管理或数据泄露。
- **清理痕迹**: 删除下载的恶意文件，并终止 `powershell.exe` 进程以减少被检测的风险。

### 总体总结
这些脚本展示了一个精心设计的多层次攻击策略，通过禁用系统防护、修改系统设置、执行恶意代码并创建持久化机制，攻击者可以保持对系统的长期控制并尽量减少被发现的可能性。