Задать вопрос

Как работает обфусцированный cmd?

Всем привет!

Коллеги в очередной раз получили письмо с zip-архивом о постановлении суда в их адрес (ну, или счет неоплаченный, вышлите документы etc). Внутри архива был обфусцированный cmd, что он делает примерно понятно из описания на сайте производителя антивируса, другое дело, как именно выполняется подобный код в CMD?
  • Вопрос задан
  • 2841 просмотр
Подписаться 2 Оценить Комментировать
Ответ пользователя m4x D К ответам на вопрос (1)
m4xxD
@m4xxD
Инженер
Как правило, наиболее распространенные обфускаторы используют метод присвоения переменных. Пример:
echo off [1]

set q=@set
%q% hmOP3a=o
%q% gtrY3b=e
%q% ghrEsdfe=f
%q% c7HHiW=c
%q% frUI23=h
%gtrY3b%%c7HHiW%%frUI23%%hmOP3a% %hmOP3a%%ghrEsdfe%%ghrEsdfe% [2]

Код из второго примера абсолютно аналогичен коду из первого, но трудночитаем. Дополнительно обфускацию можно усилить, добавив переходы по меткам. Существуют также программы, пакующие батник в экзе, но, как правило, расшифрованный батник легко найти в одной из временных папок или в оперативке.
Ответ написан
Комментировать