查杀图
一、详细分析
病毒文件“景甜张继科聊天记录 曝光.exe”运行之后,会将RdViewer远控软件释放到C:Program FilesFileName目录下,火绒剑监控到的行为,如下图所示:
通过RdClient.exe远控签名信息,可知该程序为RdViewer远控软件,如下图所示:
通过执行不断网安装.vbs脚本来静默安装RdViewer,相关脚本,如下图所示:
并添加系统服务来进行持久化操作,服务名为Rd_service,当计算机启动时RdViewer会静默启动,相关服务信息,如下图所示:
黑客可通过RdViewer远控软件来操控受害者终端,并且执行恶意行为如:文件窃取、监控麦克风、摄像头等恶意功能,RdViewer管理端界面,如下图所示: