Неизвестный PowerShell-Script с сомнительным содержимым: вредоносное ПО?

Question

Я нашел скрипт с именем 5cfdf61c454c1fc5e9f0fcad2d12d5ef.ps1 на моем компьютере:

$pyfwthc = # this is just a TON of random letters and numbers didnt wanna waste the space and its probably not important (encrypted maybe?)
$sstring = ConvertTo-SecureString $pyfwthc
$script = (New-Object system.Management.Automation.PSCredential("pyfwthc", $sstring)).GetNetworkCredential().Password
Invoke-Expression $script

Это то, что я должен беспокоиться?

Answer 1

Давайте разберемся с этим.

• Первая строка хранит эту большую строку в переменной с именем "pyfwthc".
• Вторая строка "Преобразовывает зашифрованные стандартные строки в безопасные строки", это делается для защиты пароля: https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.security/convertto-securestring?view = 5,1-PowerShell
• Третья строка создает учетные данные PowerShell, которые можно использовать для проверки подлинности других команд из сценария PowerShell без предоставления пароля. Затем он извлекает пароль из этого удостоверения. Это преобразует зашифрованную строку в обычный текст.
• Четвертая строка запускает "пароль" в виде команды: https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.utility/invoke-expression?view=powershell-5.1

ОБНОВЛЕНИЕ: Как указали другие пользователи, он запускает строку пароля как команду. Вы хотите записать значение $ script в файл, чтобы увидеть, что он работает:

Удалите последнюю строку из скрипта и запустите:

echo $script > this_is_the_script.file