Trojan.Win64.HIJACKLOADER.AA

该木马通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

它不具备任何传播功能。

该程序会连接至网站进行信息收发。 它不具备任何后门功能。

它不具备任何信息窃取功能。

然而截至本文撰写时，上述网站均已无法访问。

Arrival Details

该木马通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

Installation

该木马程序会释放以下文件：

• %ProgramData%\explorewatcher_testv5\MonitorLo.exe
• %ProgramData%\explorewatcher_testv5\Thaoondklous.fjqm → encrypted payload
• %ProgramData%\explorewatcher_testv5\Quickweandbib.rfdx → encrypted payload

(Note: %ProgramData% 是多用户计算机上所有用户均可修改程序的Program Files文件夹版本，其中包含所有用户的应用程序数据，通常位于此路径： C:\ProgramData 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上，或C:\Documents and Settings\All Users 在Windows Server 2003（32位）、2000（32位）及XP系统上。）

它会在受感染系统中释放以下副本：

• %ProgramData%\explorewatcher_testv5\NonElevatedDll.dll

(Note: %ProgramData% 是多用户计算机上所有用户均可修改程序的Program Files文件夹版本，其中包含所有用户的应用程序数据，通常位于此路径： C:\ProgramData 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上，或C:\Documents and Settings\All Users 在Windows Server 2003（32位）、2000（32位）及XP系统上。）

它会添加以下进程：

• %ProgramData%\explorewatcher_testv5\MonitorLo.exe

(Note: %ProgramData% 是多用户计算机上所有用户均可修改程序的Program Files文件夹版本，其中包含所有用户的应用程序数据，通常位于此路径： C:\ProgramData 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上，或C:\Documents and Settings\All Users 在Windows Server 2003（32位）、2000（32位）及XP系统上。）

该程序会将自己注入受感染系统内存中运行的以下进程：

• %ProgramData%\ByteCo.exe
• %ProgramData%\XPFix.exe

(Note: %ProgramData% 是多用户计算机上所有用户均可修改程序的Program Files文件夹版本，其中包含所有用户的应用程序数据，通常位于此路径： C:\ProgramData 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上，或C:\Documents and Settings\All Users 在Windows Server 2003（32位）、2000（32位）及XP系统上。）

它会创建以下文件夹：

• %ProgramData%\explorewatcher_testv5

(Note: %ProgramData% 是多用户计算机上所有用户均可修改程序的Program Files文件夹版本，其中包含所有用户的应用程序数据，通常位于此路径： C:\ProgramData 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上，或C:\Documents and Settings\All Users 在Windows Server 2003（32位）、2000（32位）及XP系统上。）

Propagation

该木马程序不具备任何传播功能。

Backdoor Routine

This Trojan connects to the following websites to send and receive information:

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.134/hook/upgrade.php
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.134/check.php
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.134/hook/update_status.php?hwid={hardware ID}
• {BLOCKED}.{BLOCKED}.{BLOCKED}.89
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.134/fare.php

它不具备任何后门功能。

Rootkit Capabilities

该木马程序不具备Rootkit功能。

下载例程

该木马会连接以下网站以下载并执行恶意文件：

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.134/ups/setup.exe
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.134/ups/ddttd.exe
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.134/ups/svhos.exe

它会连接以下URL以下载其组件文件：

• https://{BLOCKED}in.com/raw/VQUKSmXR → contains {BLOCKED}.{BLOCKED}.{BLOCKED}.89
• https://{BLOCKED}in.com/raw/YwvHhwUk → contains http://{BLOCKED}.{BLOCKED}.{BLOCKED}.134

Information Theft

该木马程序会收集以下数据：

• Hostname
• Public IP Address

它不具备任何信息窃取功能。

其他信息

This Trojan connects to the following URL(s) to get the affected system's IP address:

• https://{BLOCKED}s.app/xml/
• http://{BLOCKED}i.com/json/?fields=11827

然而截至本文撰写时，上述网站均已无法访问。

它不会利用任何漏洞。