При анализе очередной PowerShell-цепочки на Habr внимание привлёк файл vcapcha.ps1 — по имени он ничего не выдаёт, но поведение при запуске оказалось показательным. Внутри не сложный обфусцированный загрузчик, а прямолинейная последовательность действий.
Скрипт уведомляет удалённый сервер о старте, сворачивает окно, подтягивает следующий этап и подготавливает систему к продолжению цепочки. Разбор описывает именно эту схему работы в деталях.