Все как обычно, атакующие присылают письмо с архивом ✉️ внутри которого архив, внутри которого LNK, ps1 и много decoy-файлов) Да-да вот такие матрешки собираются 🪆
Дальше происходит выполнение ряда скриптов)
Интерес для TH может представлять использование
conhost.exe в качестве родительского процесса
conhost --headless C:\Users\Public\Libraries\Passport\19.jpg
Можно познакомиться с Sigma-правилом
#ttp@detectioneasy
#detection@detectioneasy