Trojan.PS1.ERROR.A

该木马通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

Arrival Details

该木马通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

下载例程

该木马会连接以下网站以下载并执行恶意文件：

• https://{BLOCKED}pboxusercontent.com/scl/fi/vx23391zdxqu3qirc5z7g/241002-2024-GA-10-v2.pdf?rlkey=ih6seocq7csa4iab3md4m9m08&st=6sj4yyzp&dl=0
• https://{BLOCKED}pboxusercontent.com/scl/fi/gs58u6qvvxorzttv09yvt/kxsxhx-x.txt?rlkey=v86pd7i2njm7u0pfutl0knu68&st=zy1w6n67&dl=0
• https://{BLOCKED}pboxusercontent.com/scl/fi/sumch8o12a4ko7wqqtrgo/kxsxhx-f.txt?rlkey=i8yto5xg3unffs9wawhytu1v4&st=yj9eqlep&dl=0

它会使用以下名称保存下载的文件：

• %Application Data%\chrome.ps1
• %Application Data%\temp.ps1
• %Application Data%\system_first.ps1

(Note: %Application Data% 是当前用户的 Application Data 文件夹，通常路径为：C:\Documents and Settings\{user name}\Application Data 在Windows 2000（32位）、XP及Server 2003（32位）系统上，或 C:\Users\{user name}\AppData\Roaming 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上。）

其他信息

This Trojan adds the following scheduled tasks:

• Name: ChromeUpdateTaskMachine
  Trigger: Starts 5 minutes from execution → after triggered, repeat every 30 minutes indefinitely
  Action: Start a program → PowerShell.exe' -Argument '-WindowStyle Hidden -nop -NonInteractive -NoProfile -ExecutionPolicy Bypass -Command "& {$abc = Join-Path ($env:AppData) \"chrome.ps1\"; & $abc;}"';