Trojan.PS1.POWLOAD.K

该木马通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

它会先执行，然后自行删除。

它不具备任何传播功能。

它不具备任何后门功能。

截至本文撰写时，上述网站均已无法访问。

它不具备任何信息窃取功能。

Arrival Details

该木马通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

Installation

该木马程序会创建以下文件夹：

• %Application Data%\7hvL1Gl4GreYIKPnHxXX

(Note: %Application Data% 是当前用户的 Application Data 文件夹，通常路径为：C:\Documents and Settings\{user name}\Application Data 在Windows 2000（32位）、XP及Server 2003（32位）系统上，或 C:\Users\{user name}\AppData\Roaming 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上。）

它使用不同文件名在以下文件夹中释放自身副本：

• %Application Data%\7hvL1Gl4GreYIKPnHxXX\7hvL1Gl4GreYIKPnHxXX.ps1

(Note: %Application Data% 是当前用户的 Application Data 文件夹，通常路径为：C:\Documents and Settings\{user name}\Application Data 在Windows 2000（32位）、XP及Server 2003（32位）系统上，或 C:\Users\{user name}\AppData\Roaming 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上。）

它会释放以下文件：

• %Application Data%\7hvL1Gl4GreYIKPnHxXX\7hvL1Gl4GreYIKPnHxXX.enc → contains Base64-encoded original sample.

(Note: %Application Data% 是当前用户的 Application Data 文件夹，通常路径为：C:\Documents and Settings\{user name}\Application Data 在Windows 2000（32位）、XP及Server 2003（32位）系统上，或 C:\Users\{user name}\AppData\Roaming 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上。）

它会添加以下进程：

• powershell.exe -ep bypass -File %Application Data%\7hvL1Gl4GreYIKPnHxXX\7hvL1Gl4GreYIKPnHxXX.ps1 1

(Note: %Application Data% 是当前用户的 Application Data 文件夹，通常路径为：C:\Documents and Settings\{user name}\Application Data 在Windows 2000（32位）、XP及Server 2003（32位）系统上，或 C:\Users\{user name}\AppData\Roaming 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上。）

它会先执行，然后自行删除。

Propagation

该木马程序不具备任何传播功能。

Backdoor Routine

该木马程序不具备任何后门功能。

Rootkit Capabilities

该木马程序不具备Rootkit功能。

下载例程

此木马程序会连接以下URL地址以下载其组件文件：

• https://{BLOCKED}b.co/4TvHH6g/img1.png

它会使用以下名称保存下载的文件：

• %Application Data%\7hvL1Gl4GreYIKPnHxXX\img1.png → contains an AES-encrypted payload which is encoded in the color values of image pixels

(Note: %Application Data% 是当前用户的 Application Data 文件夹，通常路径为：C:\Documents and Settings\{user name}\Application Data 在Windows 2000（32位）、XP及Server 2003（32位）系统上，或 C:\Users\{user name}\AppData\Roaming 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上。）

截至本文撰写时，上述网站均已无法访问。

Information Theft

该木马程序不具备任何信息窃取功能

其他信息

该木马程序会执行以下操作：

• It utilizes steganography technique to hide and extract malicious code inside a PNG image.
• It decrypts the payload from the image using a hardcoded password and loaded into the memory.

它接受以下参数：

• 1 → triggers the decryption and execution of the hidden payload from the image.
• {Empty} | {Other arguments} → triggers the process of downloading the image file before proceeding to decryption and execution of payload.

它不会利用任何漏洞。