PowerShell脚本类病毒分析

PowerShell介绍

Powershell 是早期一种VBScript的代替脚本语言，同时也是一种shell命令行执行窗口。微软最初出行PowerShell的原因是为管理员提供的自动化管理工具。在2016年中期，微软迈出了之前想都不会想的一步，完整开源了Windows PowerShell。

为什么要重视Powershell？
1.GUI无法带来效率上的提升。
2.其他脚本语言总是有种种缺憾。
3.越来越多的产品和Windows系统中组件已经采用PowerShell

现今的反病毒产品，对于检测磁盘上的恶意文件，是相当在行的；然而，要想检测到只存在于内存中的恶意代码，他们往往是事倍功半。内存的易失性、动态性，使得恶意软件很容易地改变形态；同时，可以自由地运行，无需顾忌任何反恶意技术的侦测。Powershell因其功能强大，而且无文件落地内存中执行，所以在无文件攻击中Powershell的攻击方式是非常流行的。例如：PowerGhost，2018年被发现使用Powershell无文件方式进行攻击感染的挖矿以及DDOS病毒。今年11月份深信服披露的MSASCMiner组织的挖矿病毒等等。

PowerShell的参数

在Windows cmd命令窗口中使用powershell -h命令即可方便查看参数用处。

Powershell脚本类攻击经常用到的参数 :
Nologo 表示启动时隐藏版权标志
NoPr