Как работает обфусцированный cmd?

Question

[Алексей Русаков]

Всем привет!

Коллеги в очередной раз получили письмо с zip-архивом о постановлении суда в их адрес (ну, или счет неоплаченный, вышлите документы etc). Внутри архива был обфусцированный cmd, что он делает примерно понятно из описания на сайте производителя антивируса, другое дело, как именно выполняется подобный код в CMD?

Answer 1

[m4x D]

Как правило, наиболее распространенные обфускаторы используют метод присвоения переменных. Пример:
echo off [1]

set q=@set
%q% hmOP3a=o
%q% gtrY3b=e
%q% ghrEsdfe=f
%q% c7HHiW=c
%q% frUI23=h
%gtrY3b%%c7HHiW%%frUI23%%hmOP3a% %hmOP3a%%ghrEsdfe%%ghrEsdfe% [2]

Код из второго примера абсолютно аналогичен коду из первого, но трудночитаем. Дополнительно обфускацию можно усилить, добавив переходы по меткам. Существуют также программы, пакующие батник в экзе, но, как правило, расшифрованный батник легко найти в одной из временных папок или в оперативке.