Часть 3: Загадочный PowerShell

Анализируя активность вируса в Process Hacker, я не обнаружил ничего особо выдающегося: запуск вируса, затем выполнение Example.vbs (тот самый антикиллер с бесконечным циклом). Однако, моё внимание привлекли необычные вызовы PowerShell, которые делал вредонос сразу же после запуска. У меня было достаточно времени, чтобы их проанализировать.

---

Первая команда: Set-MpPreference -DisableRealtimeMonitoring $true, которая отключает защиту в реальном времени встроенного антивируса Windows Microsoft Defender.

---

Следующая команда: Add-MpPreference -ExclusionPath C:\, добавляет корневую директорию в исключения антивируса Windows Microsoft Defender, что позволяет вредоносному ПО скрыться от сканирования.

---

И, наконец, последняя, но весьма примечательная команда:

Add-MpPreference -ExclusionProcess 'Example.exe',powershell.exe,Wscript.exe,cmd.exe,conhost.exe'

Эта команда добавляет в исключения не только процессы, которые могут быть использованы вредоносом для выполнения различных задач (powershell.exe, Wscript.exe, cmd.exe и conhost.exe), но и себя самого (Example.exe).