r77rootkit计划任务powershell执行注册表代码，开机注入所有进程

wwwab

wowocock 发表于 2024-7-24 14:32
木马创建的不是XML文件，而是JOB文件，计划任务安装微软的接口是有Task Scheduler 1.0 和Task Scheduler  ...

哦，怪不得

那我考虑的情况是Task Scheduler 2.0，因为现在正常流程创建的计划任务我看过的都是xml格式的，包括木马用schtasks命令行创建的计划任务到了Tasks文件夹里面也是xml

这马子用的是Task Scheduler 1.0，还是JOB文件？




说实话，这作者要是聪明一点，用Task Scheduler 2.0，再把生成的xml删掉，连隐藏都用不到，直接一飞冲天登仙，谁都杀不出来
现在他用的这个计划任务文件，kvrt静态还能杀一杀



2024.08.08更新：
又看到两篇文章：
https://blog.csdn.net/qq_41655422/article/details/113629410
https://mp.weixin.qq.com/s?__biz=MjM5NTc2MDYxMw==&mid=2458291669&idx=4&sn=281f7f9e7af1db2bb66e0eb8a95012b5&chksm=b181bd5f86f63449b882b94d285f25db187e8166db995e9e10f7caf7db70103c48a00f1d911a&scene=27

wowocock

wwwab 发表于 2024-7-24 14:39
哦，怪不得

那我考虑的情况是Task Scheduler 2.0，因为现在正常流程创建的计划任务我看过的都是 ...

据说该计划任务无法通过schtasks命令查询。

yaokai815

瑞星miss