Cadenas codificadas explicadas y deshechas a mano

Base64 es una forma de escribir bytes con solo 64 símbolos para que viajen por canales que solo aceptan texto. No usa clave ni secreto: cualquiera puede revertirlo, y por eso decodificarlo no es «romper» nada, es leer el mismo mensaje en otro alfabeto. Lo mismo vale para unir trozos con +, escribir letras como números o invertir el texto: son disfraces, no candados.

En un script, estas técnicas sirven para que una búsqueda de palabras sobre el archivo no encuentre el texto escondido. Un analista las deshace en orden y deja constancia de cada paso para que otro pueda repetirlo.

En PowerShell, -EncodedCommand recibe un texto en Base64 que, una vez decodificado, es UTF-16: cada letra ocupa dos bytes y el segundo suele ser un byte vacío. Por eso las cadenas tienen un aspecto muy regular. Para leer una a mano se agrupan los símbolos de cuatro en cuatro, pero en el trabajo se usa una herramienta de decodificación para no equivocarse.

La tabla base64_paso_a_paso del laboratorio explica el mecanismo, y la tabla lineas trae la cadena del script de ejemplo con lo que resulta al decodificarla, como lo explica el autor de la sala. La orden escondida es inocua; interesa el método.

Otra forma de esconder un texto es escribirlo como una lista de códigos: cada número es el código de una letra en la tabla ASCII y el script los convierte con [char] y los une con +. Deshacerlo es mecánico: se toma cada número, se busca su letra en la tabla y se escribe en orden.

Tu turno con la línea 5 del script de ejemplo. La tabla ascii_usado trae los códigos que hacen falta.

Invertir un texto es la forma más simple y la más frecuente en ejemplos: se escribe la palabra de derecha a izquierda y el script la da vuelta antes de usarla. Se deshace leyendo desde el final, letra por letra. Conviene hacerlo despacio y comprobar que la palabra resultante tiene sentido en el contexto de las líneas vecinas.

Aplica el método al texto de la línea 8 del script de ejemplo.

Esconder un texto del archivo no lo esconde del equipo. Cuando el script corre, PowerShell trabaja con el texto ya unido o decodificado, y si el registro de bloques de script está activado (evento 4104), guarda lo que procesó. La línea de comandos de un proceso, en el registro de procesos (evento 4688 con línea de comandos o evento 1 de Sysmon), muestra la cadena codificada tal como se pasó.

Eso importa al informar: el indicador más útil suele estar en el registro, ya decodificado, y no en el archivo.