关于2024最新合理避税方案 函数处罚标准！.exe  

财会人员薪资补贴调整新政策所需材料函数.exe

2024年3月份违规处罚名单.rar

公司通知财会人员清明节调休时间如下.exe

详细名单.exe

打开密码123.exe

3月份涉税财会人员征信拉黑名单如下.exe 

四月企业罚款名单.exe

3月处罚名单.exe

2024年清明节公司财税违规名单.rar

名单详情.exe

详情0000.exe

违规名单.exe

违规开票处分企业名单xlsx.exe  

2024年3月份违规开票企业处罚名单.rar

详情，，，.exe

最新财会人员征信黑名单.exe

四月最新财会人员征信黑名单.exe

2024财会人员处罚新政策所需材料.rar

3 月份 违 规处 罚名 单.rar

电子发票.exe

样本执行后，首先会获取当前系统中运行的进程数量，判断是否超过40，进程数量少于40则会直接退出。

通过wcsrev函数反转宽字符字符串，再通过定位标记获取字符串里的IP和端口号。

获取到的C2地址IP和端口号：

ip1=134.92.43.149 port1=6666

ip2=134.92.34.149 port2=8888

ip3=134.92.34.149 port3=82

通过this指针访问虚函数，执行核心功能代码。

shellcode负责加载执行内存数据中附带的PE文件。

StartMenuExperienceHos.exe在常规模式下不可见(打开系统显示隐藏文件也不行)，需要使用专业工具才能看到。

木马提升当前进程权限，包括远程关机、加载设备驱动程序、创建计算机账户等在内的37个特殊权限。

等待接收远程命令执行上传下载文件，权限提升，键盘记录，屏幕监控，执行任意程序等功能。

在向C2发送数据前和收到数据后，都通过自定义的以异或运算为基础的方法进行加解密。

通过流量抓包分析，可以看到该木马通信数据包中有很多“6666.6”字符串特征。