5
Neue (bislang nicht bekanntes) Remoteshellscript aufgetaucht
Moin,
wurde gestern auf ein Remote-powershell-shell-script aufmerksam welches wohl aktuell noch kaum oder gar nicht erkannt wird.
Trifft bislang gar nichts bei Virustotal:
www.virustotal.com/gui/file/f8f5e0440c57c7deffd75ca33e2511867039796aa803e7ef847396a379188a7d
github.com/tihanyin/PSSW100AVB/blob/main/ReverseShell_2025_01.ps1
Ggf. eurem AV Anbieter mitteilen, dass das Ding (etwas)schneller detected wird?
Gruß
wurde gestern auf ein Remote-powershell-shell-script aufmerksam welches wohl aktuell noch kaum oder gar nicht erkannt wird.
Trifft bislang gar nichts bei Virustotal:
www.virustotal.com/gui/file/f8f5e0440c57c7deffd75ca33e2511867039796aa803e7ef847396a379188a7d
github.com/tihanyin/PSSW100AVB/blob/main/ReverseShell_2025_01.ps1
Ggf. eurem AV Anbieter mitteilen, dass das Ding (etwas)schneller detected wird?
Gruß
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 671006
Url: https://administrator.de/knowledge/neue-bislang-nicht-bekanntes-remoteshellscript-aufgetaucht-671006.html
Ausgedruckt am: 30.01.2025 um 17:01 Uhr
5 Kommentare
Neuester Kommentar
Wenns schon bei Virustotal hochgeladen wurde dann habens die AV Anbieter bereits ;)
Moin,
warum sollte auch speziell dieses script erkannt werden ? Da ist weder shellcode noch irgend eine c&c kommunikation, ein dropper, oä drin. Ja es macht mit normalen Powershell Kommandos eine recht krude Art shell auf, aber sonst auch nichts.
Der Versuch die Analyse durch ein LLM Modell in die irre zu leiten ist aber ganz interessant. Wenn auch nicht erfolgreich zumindest mit copilot
warum sollte auch speziell dieses script erkannt werden ? Da ist weder shellcode noch irgend eine c&c kommunikation, ein dropper, oä drin. Ja es macht mit normalen Powershell Kommandos eine recht krude Art shell auf, aber sonst auch nichts.
Der Versuch die Analyse durch ein LLM Modell in die irre zu leiten ist aber ganz interessant. Wenn auch nicht erfolgreich zumindest mit copilot
2
warum sollte auch speziell dieses script erkannt werden
Ich arbeite relativ häufig mit so Krams (insb. bei hackthebox) und eig. alle Powershell-Shells werden als bösartig erkannt.recht krude Art shell auf auf die man sich verbinden könnte
Eben.. da sollte der AV schon anspringen, auf dem Zielsystem.diese ist aber nun wirklich einfach zu erkennen
Stimmt, Remoteaccess fragt immer, welches Script es ausführen darf. Im Ernst: wie soll das ein User erkennen bei Infektion?Der Versuch die Analyse durch ein LLM Modell in die irre zu leiten ist aber ganz interessant.
Ich finde die ganze Art des Scriptes interessant, tbh.Gruzß
Eben.. da sollte der AV schon anspringen, auf dem Zielsystem.
AV? Eher EDR/XDR
AV? Eher EDR/XDR
Pardon, korrekt.
