Trojan.VBS.NEMUCOD.B

该木马通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

它不具备任何传播功能。

它不具备任何后门功能。

它不具备任何信息窃取功能。

然而截至本文撰写时，上述网站均已无法访问。

Arrival Details

该木马通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

Installation

该木马程序会创建以下文件夹：

• %Public%\InvoiceXpress

(Note: %Public% 是作为所有用户共用的文件或文件夹存储库的目录，通常 C:\Users\Public in Windows Vista, 7, and 8.)

它会释放以下文件：

• %Public%\InvoiceXpress.zip

(Note: %Public% 是作为所有用户共用的文件或文件夹存储库的目录，通常 C:\Users\Public in Windows Vista, 7, and 8.)

它会添加以下进程：

• %Public%\InvoiceXpress\bin\InvoiceXpress.cmd → If found in the system, otherwise will not add this process.

(Note: %Public% 是作为所有用户共用的文件或文件夹存储库的目录，通常 C:\Users\Public in Windows Vista, 7, and 8.)

Propagation

该木马程序不具备任何传播功能。

Backdoor Routine

该木马程序不具备任何后门功能。

Rootkit Capabilities

该木马程序不具备Rootkit功能。

下载例程

该木马会连接以下网站以下载并执行恶意文件：

• https://{BLOCKED}9a8s9d0x9d8c9d8a7s8x9s8z7s8d9z8s79g8a7z8d7v8d7s827d8.ngrok.app/InvoiceXpress.zip

Information Theft

该木马程序不具备任何信息窃取功能

其他信息

该木马程序会执行以下操作：

• It displays the content of the following URL to trick user in just viewing a normal document:
  • https://{BLOCKED}e.google.com/file/d/1kaW-o2QIPfHRAQ4_-7P3BEv8LLDhG7D2/view
    

然而截至本文撰写时，上述网站均已无法访问。

它不会利用任何漏洞。