Discussion :

[cerede2000]

Que dire de plus à part totalement foireux ce truc !
On vois bien que c'est une saloperie qui à créé cette clé...

Tu à passer un coup de cleaner de Malware ?
Le top si tu peux une petite réistalle de l'OS tout propre et un bon AV genre Eset ou Kaspersky

[hackoofr]

il n'y avait que "tout le monde" dans la liste des autorisations et rien (aucune case) n'était coché...étrange !
j'ai rajouté mon compte et celui d'admin de la machine en cochant tout et je n'ai pas pu la supprimé !

je suis revenu et j'ai ensuite coché toutes les cases pour "tout le monde" et là la suppression de la classe a fonctionné enfin !
vraiment étrange.

J'ai déjà ouvert deux discussions dans des forums anglais l'une pour la programmation et l'autre pour la sécurité

How can i read the contents of a powershell script running in the background ?


How can i read the source code of this encoded powershell script from the registry ?

Le code source est enfin décodé ici dans ce lien

[cerede2000]

@hackoofr : j'ai décodé le code ce matin dès que j'ai eu le fichier REG....
De la à s'amuser à aller voir précisément ce que ça fait, vu la tonne de truc qui sont encore encrypté je ne pense pas que ça vaille la peine.
On a très bien compris que c'était foireux

Je l'ai transmit via mon AV à Eset en soumission d'échantillon.

[hackoofr]

Que dire de plus à part totalement foireux ce truc !
On vois bien que c'est une saloperie qui à créé cette clé...

Tu à passer un coup de cleaner de Malware ?
Le top si tu peux une petite réistalle de l'OS tout propre et un bon AV genre Eset ou Kaspersky

Ce malware tente d'éviter l'utilisation des fichiers et des processus en ayant la charge utile réside dans le registre et en utilisant les méthodes de PowerSploit pour charger le code directement dans la mémoire via les commandes PowerShell.
La méthode de l'injection Invoke-ReflectivePEInjection
Il appartient à la famille de logiciels malveillants Terkop

[cerede2000]

@hackoofr : C'est bien tu sais traduire l'anglais et reporter ce que les autres te disent dans les topics que tu à ouvert à droite et à gauche...