SvchostVNCInjector
Export réfléchissantLoader + DLL x64 injectant svchost.exe avec le module VNC (Vnc_MT). Il est exécuté via la fonction d'exportation MapDLL. svchost.exe est trouvé avec CreateToolhelp32Snapshot et la DLL est chargée en mémoire avec CreateFileMappingW + MapViewOfFile. Cobalt Strike ressemble à l’architecture BOF. Implant fournissant un accès au bureau à distance (VNC).
Profil de menace
Type
RAT
Langage de programmationC/C++
Protocole C2custom
Première détection2024
Cibles
Kurumsal
Objectif / Capacités
- Bureau à distance/Injection de processus/VNC
Aucun serveur C2 n'a encore été identifié pour cette famille.
Rapports de recherche (1)
SvchostVNCInjector 16278643 -- ReflectiveLoader MapDLL VncMT svchost-inject CreateToolhelp32Snapshot Process32FirstW CreateFileMappingW MapViewOfFile IsWow64Process | Kritik
SvchostVNCInjector out.dll 439KB. Export: SvchostInjector.x64.dll::MapDLL. ReflectiveLoader. Vnc_MT. CreateToolhelp32Snapshot svchost.exe. MapViewOfFile. Cobalt Strike BOF benzeri.
Lire le rapport →