扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条
ZDNET安全频道 08月22日 综合消息:InpEnhSvc.exe拥有典型的后门特征,相比于其它后门程序,该病毒侧重于后台应用推广,包括PC应用和手机Android应用,其病毒文件带有正常的数字签名:
本报告主要分析了该后门的功能点,InpEnhSvc主要有三个大功能点:
功能点主要执行流程
病毒运行时,会创建一个隐藏的0大小的窗口,并注册接收USB、DISK、COMPORT等硬件设备的更改通知,病毒通过接收远程不同的功能号来执行相应的功能函数。
后台恶意推广手机应用
执行时会检测常见的调试类软件是否存在,存在的话就不执行后面的流程,检测的调试类软件包括procexp.exe、procmon.exe、windbg.exe等。
检测temp目录下是否存在配置文件tools.ini,不存在的话就从conf.kklm.n0808.com下载得来,并通过配置文件的信息启动相应的推广更新等操作。
检测temp目录下是否存在adb等手机应用推广工具,如不存在则下载。
注册自身为word插件,随word启动而自动加载。
常规的远程控制操作
该功能主要实现了8个普通的远程控制功能,根据不同的远程指令id执行对应的函数,功能简要描述如下:
其中的功能函数分派表如下:
自动更新升级
病毒通过http://conf.kklm.n0808.com/adb.zip更新升级adb软件包。
如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。
现场直击|2021世界人工智能大会
直击5G创新地带,就在2021MWC上海
5G已至 转型当时——服务提供商如何把握转型的绝佳时机
寻找自己的Flag
华为开发者大会2020(Cloud)- 科技行者