T-RAT 2.0: 通过智能手机进行控制的恶意软件

俄语论坛（lolz.guru）的广告

研究人员 @3xp0rtblog 发现一款使用智能手机和Telegram app进行控制的恶意软件——T-RAT 2.0。其中一个广告如下所示：

俄语文本表明T-RAT 使用起来非常方便，因为可以通过安装有Telegram app的智能手机进行控制。

感染链和驻留

目前已知的感染的第一个阶段是下载器。它会从hxxps://hgfhhdsf.000webhostapp.com/1DJjnw(dot)jpg 获取一个加密的文件，奇热并保存为%TEMP%/gfdggfd.jpg。

为解密payload，下载器会用key 0x01进行XOR 运算。最终会生成一个保存为 %TEMP%/hrtghgesd.zip的zip文件。然后，下载器会删除%TEMP%/gfdggfd.jpg 并提取zip 文件。

提取的恶意软件保存的位置按照以下步骤确定：

1) 下载器会检查当前用户是否有管理员权限。如果有，路径的第一部分是从下面的路径中随机选择的：

%APPDATA%\Microsoft\Wind