Backdoor.JS.NODESNAKE.THFOBBE

该后门程序通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

Arrival Details

该后门程序通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

Installation

此后门程序会添加以下进程：

• cmd.exe /s /c "powershell -c if ([Security.Principal.WindowsIdentity]::GetCurrent().Name -match \'(?i)SYSTEM\') { \'Runas: System\' } elseif (([Security.Principal.WindowsPrincipal] [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) { \'Runas: Admin\' } else { \'Runas: User\' }"
• "powershell.exe" tasklist /svc
• "powershell.exe" Get-Service | Select-Object -Property Name, DisplayName | Format-List
• "powershell.exe" Get-PSDrive -PSProvider FileSystem | Format-Table

Autostart Technique

该后门程序通过添加以下注册表项实现系统每次启动时自动运行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
ChromeUpdater = /t REG_SZ /d

Backdoor Routine

该后门程序会连接以下URL，接收并执行远程恶意用户下发的指令：

• {BLOCKED}e-forecasts-pale-scored.trycloudflare.com
• {BLOCKED}g-cartridges-watts-flags.trycloudflare.com
• {BLOCKED}gators-boxing-trademark-threatened.trycloudflare.com
• {BLOCKED}hillips-princess-baker.trycloudflare.com
• {BLOCKED}g-advisors-older-invitations.trycloudflare.com
• {BLOCKED}ment-parliamentary-chairs-hc.trycloudflare.com
• {BLOCKED}.{BLOCKED}.{BLOCKED}.181
• {BLOCKED}.{BLOCKED}.{BLOCKED}.182
• {BLOCKED}.{BLOCKED}.{BLOCKED}.41

Information Theft

该后门程序会收集以下数据：

• Full System Information
• Active services (Get-Service, tasklist /svc)
• Drive configuration (Get-PSDrive)
• ARP cache

其他信息

该后门程序会执行以下操作：

• 该后门程序通过80端口（HTTP）或443端口（HTTPS）联系远程URL，发送系统配置文件数据，并通过HTTP POST请求访问/init1234端点接收指令载荷。
• 缓冲区最后一个字节决定传入载荷的文件类型，用于判断应如何执行该文件。
  • 0 → EXE [.exe] Runs the binary directly
  • 1 → DLL [.dll] Uses rundll32.exe
  • 2 → JS [.js] Executes it inline with Node.js via -e
  • 3 → OTHER [.log]
• 执行过程采用静默模式，与父进程分离且对用户界面不可见。

它接受以下参数：

• -e → the embedded code is extracted and stored for reuse
• {no parameter} → Relaunches itself in detached mode