SvchostVNCInjector
Экспорт ReflectiveLoader + x64 DLL, внедряющий svchost.exe с модулем VNC (Vnc_MT). Он запускается через функцию экспорта MapDLL. svchost.exe находится с помощью CreateToolhelp32Snapshot, а DLL загружается в память с помощью CreateFileMappingW + MapViewOfFile. Cobalt Strike напоминает архитектуру BOF. Имплантат, обеспечивающий удаленный доступ к рабочему столу (VNC).
Профиль угрозы
Тип
RAT
Язык программированияC/C++
C2 Протоколcustom
Первое обнаружение2024
Цели
Kurumsal
Назначение / Возможности
- Удаленный рабочий стол/внедрение процессов/VNC
Для этого семейства пока не обнаружено C2-серверов.
Исследовательские отчёты (1)
SvchostVNCInjector 16278643 -- ReflectiveLoader MapDLL VncMT svchost-inject CreateToolhelp32Snapshot Process32FirstW CreateFileMappingW MapViewOfFile IsWow64Process | Kritik
SvchostVNCInjector out.dll 439KB. Export: SvchostInjector.x64.dll::MapDLL. ReflectiveLoader. Vnc_MT. CreateToolhelp32Snapshot svchost.exe. MapViewOfFile. Cobalt Strike BOF benzeri.
Читать отчёт →