（无样本）#EquationGroup(?) #AngrySpark #TriangleDB_Related

ANY.LNK

相关报告：
https://www.gendigital.com/blog/ ... sing-an-angry-spark
https://medium.com/@billmarczak/ ... sguise-ac32852a1be3

WptsExtensions.dll - 491870264FA2D666FB8859508A6A44B80BCB868E2F43C00F03199DF2651C757D
内存转储 - 9C492A39823AA0FF14F3131A2346F833827A1C423E77DCC9682BB939AEA0E215，20F19A37E17772C38B6F89AF40FA941D55BAD9FFCF3B3382206A0CADFA937025，96883ABD45ECA3F076F1D5E2A9E75E37B588A37A99FE42EC4BEDD34F7926760E

基础设施与已知的EquationGroup有一定重叠，但此样本更多使用英式英语

wowocock

Windows 10 Task Scheduler（计划任务）服务存在DLL劫持/注入漏洞，该服务会尝试加载一个不存在的DLL文件"WptsExtensions.dll"。由于加载时使用的是相对路径而非完整路径，攻击者可以通过在PATH环境变量指定的目录中放置恶意DLL文件，实现权限提升、持久化驻留或绕过UAC等攻击。

后续我会在火绒专杀工具里增加类似的处理。