La parte rischiosa non è il file JavaScript in sé. Lo script deposita il vero next stage in una variabile d’ambiente, poi passa quella variabile a PowerShell tramite WMI, così un controllo di file-hash o una scansione statica può sembrare pulito anche quando il codice che viene eseguito non lo è. Questo dà all’attaccante un posto in cui effettuare lo staging dei payload al di fuori dell’allegato e al di fuori della normale visualizzazione del file.
Part of the PlainSec briefing for 2026-06-05