使用VSCode远程调试恶意Powershell脚本

概述

在野的Powershell恶意脚本总是经过多重混淆、加密，直接静态分析难以得知脚本具体有什么恶意行为，所以需要对其进行动态调试。目前最常用的Powershell调试器是ISE，但ISE没有较友好的调试窗口，使得调试脚本时效率低下，下面，将介绍使用VSCode实现远程调试Powershell脚本，帮助你提升解密分析Powershell恶意脚本的效率。

样本获取

本次演示所使用的样本为一个Powershell后门，其特点是有多层恶意代码，会从C&C服务器多次加载不同payload，样本地址为：https://app.any.run/tasks/bcc45d64-8d87-42e2-9dad-d8cad6fbc20d。

母体为一个bat脚本，主要功能就是执行一段base64加密后的Powershell脚本。

解密后的代码，正是这个样本的核心代码，接下来就开始对其进行调试分析。

虚拟机环境搭建

首先虚拟机建议使用Win10，因为VSCode的远程调试功能与Win10兼容性更好，同时，建立远程会话需要将虚拟机里的网络类型设置为专用。

然后在虚拟机里运行：winrm quickconfig，即可开启Windows 远程管理(WinRM) 服务。

为了在虚拟机里成功运行调试Powershell脚本，还需开放脚本执行权限set-executionpolicy unrestricted，以及关闭Windows Defender。

本机VSCode环境搭建

远程调试，需要安装Powershell插件，打开VSCode，直接在商店搜索直接安装即可。

在Powershell控制台中输入：Enter-PSSession -ComputerName [虚拟机ip] -Credential [虚拟机用户名]，敲入密码，即可远程登录到虚拟机。然后将待调试的脚本放入虚拟机中，输入：psedit [虚拟机中的脚本路径]，加载目标脚本。

远程调试分析

在关键代码处下断点，按下F5调试便可以运行到断点处，右侧则是变量的值，通过调试我们可以得知该段代码的作用是从http://miranda.tattooforsure.com:8888/admin/get.php读取恶意代码并执行。

VSCode远程调试也支持编辑脚本，可以新增一行代码：$payload = -JOIn [ChAr[]](& $R D a t a ( Data (