PSLoaderDLL
DLL del cargador de PowerShell que utiliza WMI (creación de llamada de proceso) para iniciar PowerShell con -executionpolicy bypass -nop -w oculto. POST HTTP multiparte con camuflaje de agente de usuario de macOS Chrome 102. Origen/Referente falso: null.jsbin.com. Crea archivos .tpp0/.tpp1 personalizados. Límite del formulario WebKit para carga de archivos.
Perfil de amenaza
Tipo
Loader
Lenguaje de programaciónC/C++
Protocolo C2HTTP
Primera detección2024
Objetivos
Kuresel
Propósito / Capacidades
- Cargador/Gotero
Aún no se han identificado servidores C2 para esta familia.
Informes de investigación (1)
PSLoaderDLL 05c72e77 -- WMI PowerShell bypass nop hidden Execution HTTP Multipart POST macOS Chrome User-Agent null.jsbin.com Fake Origin tpp0 tpp1 Custom Extension | Yuksek
PSLoaderDLL 05c72e77 PE32 DLL x86 413KB. WMI process call create PowerShell -bypass -nop -hidden. HTTP POST multipart macOS Chrome UA. Origin: null.jsbin.com. .tpp0/.tpp1 extensions.
Leer informe →