TrojanSpy.Win64.CRYPTWOFOUR.THGAHBE

该木马间谍程序通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

它执行来自远程恶意用户的命令，从而严重威胁受感染系统的安全。

它会收集受感染计算机上的特定信息。

Arrival Details

该木马间谍程序通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

Installation

该间谍木马会释放以下文件：

• %Temp%\test.txt → Contains the results of arbitrary command execution.
• %Temp%\tmp.bat → This file is created when the command execution method is set to 1.

(Note: %Temp% 正是Windows临时文件夹，即其通常所在位置 C:\Windows\Temp 适用于所有Windows操作系统版本。）

它会添加以下进程：

• cmd /c %Temp%\tmp.bat → This process is created when the command execution method is set to 1.

(Note: %Temp% 正是Windows临时文件夹，即其通常所在位置 C:\Windows\Temp 适用于所有Windows操作系统版本。）

Backdoor Routine

该间谍木马会执行来自远程恶意用户的以下命令：

• 该程序会通过以下方法执行任意命令：
  • 1 → Batch file execution
  • Others → Direct Execution via Shell

下载例程

此间谍木马会连接以下URL地址以下载其组件文件：

• https://www.{BLOCKED}apis.com/drive/v3/files/{file_id}

Information Theft

此间谍木马会在受感染计算机上收集以下信息：

• Computer Name
• Username

其他信息

该木马间谍程序会执行以下操作：

• 仅当以服务形式运行时，该程序才会执行其恶意操作。
• Captures all keyboard input.
• Captures clipboard data text changes.
• 该程序会生成唯一的文件名，用于执行针对受害者的任意命令：
  • {ComputerName}_{Username}_Test.txt
• 该程序会连接指定URL以上传%Temp%\test.txt文件：
  • https://www.{BLOCKED}apis.com/upload/drive/v3/files?uploadType=multipart
• 命令执行完成后，系统会重新连接指定URL以删除与受害者关联的文件：
  • https://www.{BLOCKED}apis.com/drive/v3/files/{file_id}
• 该程序会连接指定URL以搜索受害者ID，此举旨在获取待执行的命令：
  • https://www.{BLOCKED}apis.com/drive/v3/files?q=name='{Computer Name}_{Username}_Test.txt'