«Документы к авто»: как .vbs-вложение из письма оказалось пятислойным загрузчиком
Письмо про документы для таможенного оформления, внутри — .vbs на 32 КБ. Под ним пять слоёв: VBS-декодер, PowerShell через stdin, XOR-загрузчик с кэшем в реестре и инжектор, поднимающий шеллкод через CallWindowProcA. Инфраструктура — взломанный сайт на DigitalOcean, атрибуции нет.