背景
2017年3月，360追日团队发现了一类定向攻击的样本，确认是之前所未知的APT组织的攻击行动样本，目前可以追溯到的该组织至少在2016年4月便开始活动。追日团队将该攻击组织编号为APT-C-35。2017年6月，360威胁情报中心又发现该组织新的攻击活动，确认并曝光了该团伙针对巴基斯坦的定向攻击活动，并详细分析了该组织使用的独有的EHDevel恶意代码框架（见参考[1]）。
2018年3月，国外安全团队ASERT继续披露了该组织新的恶意代码框架yty，并根据PDB路径中的机器用户名将该组织命名为Donot。鉴于该组织的活动是由360独立发现，并在全球率先披露的，符合360威胁情报中心对APT组织进行独立命名的条件。故，参考国外已有命名及360威胁情报中心对APT组织的命名规则，我们将APT-C-35组织正式名为“肚脑虫”组织（Donot音译）。
APT-C-35主要针对巴基斯坦等南亚地区国家进行网络间谍活动，该组织主要针对政府机构等领域进行攻击，其中以窃取敏感信息为主。从2017年至今，该组织针对巴基斯坦至少发动了4波攻击行动，攻击过程主要是以携带Office漏洞或者恶意宏的鱼叉邮件进行恶意代码的传播，并先后使用了两套独有的恶意代码框架：EHDevel和yty。
自第一次发现该组织的攻击活动以来，360威胁情报中心对该组织一直保持着持续跟踪，近期我们再次跟踪到该团伙利用较新的Office Nday漏洞发起的新的攻击活动，并对攻击中使用的yty框架最新的恶意代码进行了详细分析。
活动时间线
360威胁情报中心与360追日团队对APT-C-35组织的攻击活动跟踪分析的时间线如下：
来源
2018年6月下旬，360威胁情报中心在对恶意代码的跟踪过程中发现疑似定向攻击的APT样本，通过对该样本的深入分析，并利用360威胁情报中心数据平台进行关联，确认其为360威胁情报中心2017年首次曝光的针对性攻击活动的后续（详见参考[1]）。
样本分析
捕获的诱饵文档文件名为：kahsmir issue abida.doc（克什米尔问题），克什米尔地区南部属于印度管辖，北部属于巴基斯坦管辖，两国均宣称对克什米尔全境拥有主权，一直以来处于地区主权纷争当中。因此我们初步推测该攻击主要针对该地区附近的国家。
执行流程
整个攻击流程如下：
Dropper（CVE-2017-8570）
发现的样本是名为kahsmir issue abida.doc的漏洞利用文档，该漏洞利用样本包含三个Objdata，其中两个为Package对象，一个为包含CVE-2017-8570漏洞的OLE2Link。样本利用RTF文档自动释放Package对象的特性，将包含的两个Package对象释放至%TMP%目录下，最后通过CVE-2017-8570触发执行释放的恶意脚本，再通过脚本执行释放的EXE文件，包含漏洞的Objdata对象信息如下：
包含漏洞的OLE2Link对象中设置File Moniker对应的文件为_JVGHBCYYKRAE2DU.sct脚本，漏洞触发后执行，其主要功能为执行释放在%TMP%目录下的Setup.exe：
Downloader（Setup.exe）
释放的Setup.exe是C++编写的下载者程序，其首先创建一个名为“toptwo”的互斥量，保证系统中只有一个实例运行：
然后在%APPDATA%Roaming/HexRun目录下创建名为lset.txt的调试文件，输出一些运行信息：
并在%APPDATA%Roaming/HexRun创建kt.bat文件，通过创建CMD.exe进程启动该文件：
kt.bat主要功能为设置任务计划，从当前时间开始每5分钟启动一次%APPDATA%Roaming/HexRun/Setup.exe：
设置完成的任务计划如下：
设置完任务计划后，样本开始收集系统信息，获取磁盘信息：
获取MAC地址：
还会检测是否为虚拟机执行环境，并将该环境信息一并发送给攻击者服务器：
之后还会收集计算机名、用户名、program file下的文件名，系统版本号等信息，将获取的所有信息组合成以“|||”分割的字符串：
之后从Google文档：
（http://docs.google.com/uc?id=1wUaESzjGT2fSuP_hOJMpqidyzqwu15sz&export=download）获取文件内容作为C2：
获取的文件名为customer.txt，C2地址为：tes.sessions4life.pw，若获取失败则使用硬编码的C2地址：aoc.sessions4life.pw
进一步拷贝自身到%AppData%/Roaming/Hexrun目录下：
随后与C2进行通信，将获取的信息经过AES加密后POST到tes.sessions4life.pw/football/goal：
当C2返回为“win”时，样本将进行后续的下载行为，若系统中没安装.NET，样本会先从tes.sessions4life.pw/jszx/jquery/3x/simple.exe下载.NET框架进行安装：
若已有安装了.NET则首先将收集到的‘计算机名-用户名-MAC地址|||work.exe’经AES加密后POST到tes.sessions4life.pw/football/download/3/work.exe，获取work.exe文件。并将：‘计算机名-用户名-MAC地址|||boothelp.exe’加密后POST到tes.sessions4life.pw/football/download/2 并获取boothelp.exe文件。Work.exe主要功能为启动boothelp.exe：
Backdoor（Boothelp.exe）
Boothelp.exe是C#编写的后门程序，其根据C2返回的指令下载插件并执行。与Setup.exe一样，boothelp.exe的字符串也是全部倒序后再经BASE64编码存储，解码 算法如下：
boothelp的C2地址也是通过Google获取：
（http://docs.google.com/uc?id=1wUaESzjGT2fSuP_hOJMpqidyzqwu15sz&export=download）
且还硬编码了一个C2地址：aoc.sessions4life.pw
该后门会获取计算机名、用户名、MAC地址，再经AES加密后POST到aoc.sessions4life.pw/football/flag：
AES加密算法：
最后处理返回的数据，判断指令是否包含有需要下载的插件。若指令内包含插件名，则以格式“计算机名-用户名-MAC地址|||插件名”经AES加密后发送到aoc.sessions4life.pw/football/download/2或者aoc.sessions4life.pw/football/download/5获取插件并执行：
在我们调试过程中，C2返回数据包括了7个插件，但我们只成功获取了五个插件并进行了分析：
相关插件功能如下：
|
插件名 |
功能 |
| dspcheck.exe | 截图插件 |
| mdriver.exe | 键盘记录插件 |
| abode.exe | 文件选择上传插件 |
| vstservice.exe | 文件列表插件 |
| mboard.exe | 系统信息插件 |
| cell.exe | 未知 |
| bro.exe | 未知 |
Backdoor – Plugins
下载回来的后门插件功能详细分析如下：
vstservice.exe
vstservice.exe是.NET程序，功能为收集文件发送到C2，与之前的文件一致，其C2也来源于Google：（http://docs.google.com/uc?id=1J28TUXZH0BLQZpSCOv_xMRUJVv5z7jso&export=download），文档名为goods.txt，内容为qwe.sessions4life.pw。与前面分析的样本一致，该插件中也硬编码了一个C2：mon.sessions4life.pw
获取系统磁盘信息的功能：
判断磁盘是固定磁盘且%appdata%/Roming/vstservice/vstservice 目录下没有.man结尾的文件，则在该磁盘下收集文件：
收集磁盘内的.ppt/.doc/.pdf/.rtf等敏感文档：
将上述格式文件保存到%appdata%/Roming/vstservice/vstservice目录下的“磁盘名.doc”中，并以文件名>文件大小>最后修改时间的格式保存：
将出上述格式外的文件保存到%appdata%/Roming/vstservice/ vstservice目录下的“磁盘名.man”中：
之后将文件发送到C2：mon.sessions4life.pw/panel/bigdata/file_upload
abode.exe
该文件主要功能是上传除vstservice.exe之外的其他插件生成的文件以及C2指令中的文件（vstservice.exe具有与C2通信的功能，其他插件没有），同样的，与其他yty框架中的文件相同，adode.exe的C2也来源于Google，且与vstservice.exe使用相同的C2：
定期发送其他插件生成的文件到C2，并根据C2返回指令发送指定文件：
获取插件生成的文件：
之后将“计算机名-用户名-MAC地址”经加密后发送到mon.sessions4life.pw/panel/bigdata/orderfile并获取指定文件名：
上传指定文件到mon.sessions4life.pw/panel/bigdata/file_upload：
mdriver.exe
mdriver.exe插件是C++编写的键盘记录器，该插件主要功能记录键盘输入，并保存到%user%/LanConfig/ mdriver/mdriver目录下：
保存的键盘输入格式如下：
dspcheck.exe
截图插件，每五分钟截屏一次，并以文件名格式为”日 月 年 时 分 秒”保存到” %user%/LanConfig/dspcheck/dspcheck.exe”下：
mboard.exe
mboard.exe使用UPX加壳，脱壳后根据字符串相关信息可知是go语言编写的程序，该插件创建多个CMD进程执行命令，获取系统相关信息，并将获取的信息保存到” %user%/LanConfig/ mboard/ mboard下，并以.qr结尾。然后获取系统中的doc、pdf、msg等文件保存到” %user%/LanConfig/ mboard/ mboard目录下：
相关CMD命令如下表
| 命令 | 功能 |
| dir /a /s 磁盘名:\; | 获取磁盘相关文件 |
| systeminfo | 获取系统信息 |
| Ipconfig /all | IP相关信息 |
| net view | 当前域的计算机列表 |
| tasklist | 进程列表 |
溯源与关联
通过对此次攻击中使用的PDB路径、域名/IP关联分析，以及使用360威胁情报中心分析平台对相关样本和网络基础设施进行拓展，我们确认此次攻击的幕后团伙为360威胁情报中心2017年首次曝光的针对巴基斯坦的APT组织APT-C-35。
PDB关联
在分析的下载者Setup.exe中我们发现一个特殊的PDB路径：
根据其PDB路径及代码特征确定该样本使用的是yty恶意框架，其与ASERT披露的dspcheck.exe插件PDB路径一致（详见参考[3]）:
域名关联
通过360威胁情报中心数据平台对样本中使用的C2域名tes.sessions4lif4.pw进行搜索，左下角可以看见已收录了相关报告：
而该报告引用了360威胁情报中心在2017年6月发布的关于APT-C-35的攻击活动分析文章：《针对巴基斯坦的某APT活动事件分析》
可以看到本次事件中使用的域名 tes.session4life.pw在17年时就已经被该APT组织使用：
并且我们发现Setup.exe中有一个经过base64编码的目录football/download2：
我们尝试在tes.session4life.pw/football/download2目录下获取文件，并成下载了一个名为helpdll.dll的文件，该文件采用C#编写，经分析该文件与ASERT披露的boothelp.exe文件结构基本一致：
且在helpdll.dll 的getGoogle方法中，我们同样的发现了一个google文档下载地址（https://drive.google.com/uc?authuser=0&id=1BUuYXU6bLdH_k_NWQIo7n5Uo_7L-uZSu&export=download），下载回来的文件名为ip2.txt，内容为一个IP地址：5.135.199.0。
通过360威胁情报中心数据平台对IP进行查询，也成功关联到APT-C-35组织（2018年5月被ASERT命名为Donot）
由此我们可以确认，360威胁情报中心本次捕获的APT攻击样本和最早披露针对巴基斯坦且使用EHDevel恶意代码框架的APT攻击样本以及国外安全公司披露的使用yty恶意代码框架的APT攻击样本均来自于同一个APT组织：APT-C-35。
通过360威胁情报中心大数据关联分析，对C&C地址的访问均来自于巴基斯坦，可以确认APT-C-35最新的攻击目标仍然是巴基斯坦。
溯源关联图
360威胁情报中心对本次的攻击样本溯源关联过程如下：
拓展
360威胁情报中心通过样本分析和大数据关联得到了APT-C-35组织近年来使用的大部分样本MD5、PDB路径、C&C地址（详见IOC节）。并发现了很多从未被公开过的该组织的样本和C&C地址：
比如PDB路径为D:\Soft\DevelopedCode_Last\yty 2.0 – Copy\Release\.Net\vstservice.pdb的样本，该样本功能与插件分析中的vstservice.exe一致，编译时间为2018.4.10：
与其他样本一样，该样本C2地址也来自Google：（http://docs.google.com/uc?id=1xCEI_NZX9HQIq5bkpd7FsamzWFvmiC6Q&export=download）
返回的文档名为mnpby.txt，内容为一个全新的C2地址：qwe.drivethrough.top
总结
自2017年360威胁情报中心首次披露APT-C-35组织的活动以来，该组织从EHDevel框架到如今的yty框架一直在不断进行更新。本次捕获的样本框架较三个月前，功能虽然一致，但其字符串全部经倒序后再经Base64编码，且在数据传输中不再采用明文传输的方式，而是将获取的系统信息等经AES加密后进行发送。种种迹象表明，APT-C-35从未停止自己的活动，或许近期会再次发动新的网络间谍攻击。
目前，基于360威胁情报中心的威胁情报数据的全线产品，包括360威胁情报平台（TIP）、天眼高级威胁检测系统、360 NGSOC等，都已经支持对此APT攻击团伙攻击活动的检测。
IOC
| C&C |
| qwe.drivethrough.top |
| qwe.sessions4life.pw |
| aoc.sessions4life.pw |
| mon.sesions4life.pw |
| tes.sessions4life.pw |
| 5.135.199.0 |
| yty框架的恶意文件MD5 |
| f422bc9c0d0b9d80d09ee1fc7aed3682 |
| 3fca54599f30f248246f69290c07696e |
| e534cf9606a1b9f9a05c6c5514603f77 |
| ff630e55e7278aab1683c7fdc23e9aa9 |
| 56e2df3cd980763b2a81e83a452383ff |
| 1278dbbcb4b7e6696c3c4bddc899001e |
| 4c2e7108aecafc0dec046a0365ce4471 |
| 7075cd558285d7477486c2d4558616a9 |
| 603286d46d1909e0c18d6664576f6259 |
| 6afdc230df3b88232eeafa96abb18190 |
| c3b46c33b58d11fce800a5ec497fdd7a |
| 1d5e98fc11a1fc4e166010ba78ef907d |
| 004d7a567705f9d780e52db6531ee7de |
| 317bbfaf910403152b8d05fc97648944 |
| 136f84e3fc794e99df35a3ab56b7998b |
| 86828e3b5bf5daf35988339815b5991e |
| 3d2fa81fb093136655e046b80cdb4242 |
| 52ac6664478a32b5cabdaa54278b4229 |
| c82bb37071e2db07c128042f9b22af0f |
| EHDevel框架的恶意代码 |
| 0158315f683dfee6d4d906b776e5229c |
| 01710a4b3ea78b63dc9076dbeff6629c |
| 022f7646c6eb3f91baba88105a2b3eda |
| 029f25e50d98f602e966ee8b7858fd88 |
| 03db95ef308d88ebb7f8b8c7cc157dff |
| 04b3610c4857c0cbd2608885f46cd18c |
| 066c1c5b0405bcf35cd583aed2f79235 |
| 0676f6c5414691310ed75ad0ffe41819 |
| 06e077a9d3777df42e97fafb01c8beae |
| 08feae41e8622595c30c12aafcdc8594 |
| 09041eeb065709c0a6946a62dd350e13 |
| 0be3ccbbd88e72e90a78cdc314f200c2 |
| 0c669f4bf656eadadad76fae3cd3fd3a |
| 0d16496069ee7c998f2975d8e8475781 |
| 0d195b660596810172bb3874bebcd470 |
| 0f90989277ece07337f4eb28f004e04b |
| 11836203fc84f5581d249330c5099573 |
| 12770f49e6e4180263733515b1cfb1b5 |
| 154ee0c3bb8250cae00d5ed0e6f894b4 |
| 180431cf5adbd2a9f23e20950c4cb03f |
| 1a392f6145755a6c94b475d06d68ed6a |
| 1d90a398a721ea2a0dfcf99990a88b15 |
| 21d26dd1cfbd8105d732ea38dea8c7d0 |
| 22c577ce2426e6498c585a03055c62a6 |
| 232fba01682fda9c45c30bde970828a1 |
| 265f854bbdddf6622192bbe640391d2b |
| 292a3d40f58b9798c1bb6d8a7d210585 |
| 2c2d04507e7c227f496ac569a149745b |
| 2de11dfee67c690636f5e6f7225e813a |
| 2fec52f10a4037d5c6749f9e3b27b23a |
| 30d014883489bee0ad5919ac161c06ce |
| 3520b051a02ec0c29891adf487d7817c |
| 3712614ae6591086d78a2876fa0c84bb |
| 39ecdafabd014884445e7161af76e5f7 |
| 3a204440803713c0181a831506fdbb36 |
| 3c02d149a36bbe214e8f78a0dab58fa5 |
| 3cb74f7b1e324dd93ac76d18e2f18644 |
| 41ccc717afca85216d5587d88f608332 |
| 4311d80e8f243b7f0cf8805457b76463 |
| 48077007f323510bacda73b03f95ecd1 |
| 4d6d4f2a288384c9493784272ea37ce7 |
| 4e1b2f4cf9ce675bb080095e971a6fcb |
| 4e279fac2d347b23f02e4f8b48d11088 |
| 4e4eb3d6fdfbc7860546a2166ab886e5 |
| 4fb6b27375baa0d59fef03a34aea2b34 |
| 5473be0d12bc9a38c8edbf3090c9ea4d |
| 559b920616cf2b05c593340584070458 |
| 572d7f2b1926a83b55bdc74d94746d8d |
| 58ea5b92bc087d80e6290d822b78a4e3 |
| 5acad73439bcd4bbbb78af15117c7bfd |
| 5d68af6734a0fb0433af27b77c112e47 |
| 5f3bdc311c0bd5702ff437c50b380c7e |
| 62dc5cafa222f2a27478c03b69c02a2b |
| 64e93902777723ea52ed9fa0afe338e9 |
| 662364f4f84e26e0e988e331416eb239 |
| 6889e5533f15713cf8068fc777cc8e77 |
| 6b33c6c8149a469d924d7f3466a9a2ef |
| 6c867ecbfe5ad161bc00deba1414a304 |
| 6ca65e166dbc681f10a17f34a35a94e6 |
| 6d7ef5c67604d62e63aa06c4a7832dac |
| 6e444898cc7cbfc6aad429ce37d2b263 |
| 702b7a97ddb0a51c1cc1673d14543ac5 |
| 710fa61c082a655e01136cc3631611ef |
| 7142221ea2993c790bb310292115e5f9 |
| 762eb395a7933568ee035f16b9646e55 |
| 784063ef8e81352874292cf77b15c579 |
| 791c812a13b2cc7481b4d270d0dc9e68 |
| 79c74abdbad8f73008ca40e53c0c4089 |
| 7fe93da897a426e1aa6fe7cd58ced772 |
| 84ebd0e871b1f3a88865ba7f3fc25104 |
| 88139edf03327665ae8260641b273e7c |
| 887f351e2026d5fe3e4c805182932e3c |
| 8b7e9d7f51fca9c50fc83902a279d3e9 |
| 93222f8403909d118be09829bea3e313 |
| 979040f0051d8a2ce6aed44ec56368ca |
| 9a9eb739a62630504b27372e883504b8 |
| 9afdf7da3c5c84b4995da79d410d22d9 |
| 9cddfd8fa9dc98149e63f08f02a179cf |
| 9daf47741735df9d4e1764ba8dbeff14 |
| 9dc50377498fd0959686863fa46231d1 |
| 9e101d386f2ce003dd353b07d264f7fc |
| 9f0bc83a6f8141b749695e46180a8def |
| a46ee9a1337cf102db2dcc005d60312a |
| a7c7ae8cd6a78e5d01edcf726f2b6d4a |
| a98a255e592c43200f6c10cf12e900a5 |
| aad1a7163c3cbe2de17406f54dce14ff |
| aae979afa172627bc9a47365ca5b5f51 |
| ac65fb0a1b23f20184ac612880d1f9c9 |
| ae3fcf6b00cdcf0d5d095b3dd65245fa |
| ae6c7ffb09c72f32e47cca8436278f8b |
| aeb0c9cb9814b1ef1b08f18c0e34cf77 |
| aee1b77f646c0befece129b4c477bbe4 |
| af19938fd664df46c9f85efad6833ce1 |
| b0c51170204204f33f956284f030aec5 |
| ba7658e80591021a7881ac7573226dbc |
| bb37bc32d243a36ce9ae0d1045019de6 |
| bd0bca06908fdb5db31cbc9f43e11597 |
| c1c7bd5972d78c0d5f10059100659025 |
| c2be017b2fb3ad6f0f1c05ef10573b90 |
| c2e8c3dbee0fa8ce92865075074c80ca |
| c3b94d765a3d6e43735f7e1acf8cf187 |
| c3c03fd55c0cd0c2247ca96376203c9a |
| c43bab60cbf7922a35979e4f41f9aa9e |
| c4912e801677d8aa489772490fe5388a |
| c5f76015b2cb15f59070d2e5cfdd8f6e |
| c64e0565fdd0ebb92fa41915b67ef8cc |
| c91abd2f3bc2a574022461c17276c227 |
| c9449dbfd66fb6d75eab5012cfb66731 |
| c94778c158863da20114f4e89d2d84ce |
| c957de76259c9a82c3c0a1768ccbd878 |
| c9d0348dd015babe48f3b46a737b9025 |
| ca50a3a1728e015228f6d97f5dc15999 |
| cd449159beda255bb06be1d6c35bc1e9 |
| d04f4c43bbc5b37d7b1a46ceadd3c674 |
| d0caf019af2e5c4d62acec3402fbb583 |
| d0dd1c70581606aa2a4926c5df4a32ee |
| d1486baee307fe9b8221a7dddc8ff21b |
| d384476cd94ec6c44522f1ea6529ef69 |
| d523ba7bb4ec5488c6c46b800eeba176 |
| d64f3242a89732d5ef69e35b25145412 |
| d6a11b35ec7f08c8960db871b44fd9d0 |
| d6bc758448dd510cd97f92f1dc99a2db |
| d7aa03f274d55b8d485221083957d504 |
| d8b31e7523c1681d1838c50090468942 |
| da71dfe35125d59c487d9d3d63e0cb18 |
| dc9ea0a9eabc152104dadf984d14b03b |
| dea87bd6e6b6bf97a29f83224385dc18 |
| dfddba46a62ad7972018c2f6b980b978 |
| e02377364a3833bb4e89965b0c344a25 |
| e16afc1f98446d224a2a96703da64b2d |
| e1a83a4c342f784ad83bcad061c5845a |
| e2088460b1a0401c40f944a1d0e4f7c0 |
| e417457a04cf9da41fc0c8787985a790 |
| e5f32003347c18109e3c39e2bf2f36de |
| e7073a90345b2ed4584c3c69f22298d9 |
| e8cdaafd6deefcee21530070444de679 |
| eaa9a54b67673f68066bc13f42e5ca2c |
| edc4346e5fb6f68868938767625a0b16 |
| edc6bdd204dd2a849693e148b00c0ea9 |
| ee5db4f50ab4cdfaf40f89de7a140309 |
| ef1bf0fa405ba45046c19e3efdb17b23 |
| f04e31ff256a6dc44af48dbf0b917e7d |
| f0ecd67f81d95cb79a1ae93859d6b480 |
| f10d72646b1d9bc6643be80dee99ba85 |
| f1166a382755674c5071436fa9d48f3e |
| f3e9d98948db0249d73df5304e20e6b3 |
| f9ff89d9149cd0cb702b0a6578d33078 |
| fd17c9eb665e665b9d9e3af8592271c1 |
| fd7a602e34dae2dd608567232d5b9eff |
| feea1d90e77dff5ff9f896122cf768f6 |
| ff5ffc315daab5abd4a2cdd6f6be5d86 |
| yty恶意代码框架的PDB路径 |
| C:\Users\803\Desktop\ytyboth\yty 2.0\Release\Setup.pdb |
| C:\Users\803\Desktop\ytyboth\yty 2.0\Release\abode.pdb |
| C:\Users\803\Desktop\ytyboth\yty 2.0\Release\boothelp.pdb |
| C:\Users\803\Desktop\ytyboth\yty 2.0\Release\diskvol.pdb |
| C:\Users\803\Desktop\ytyboth\yty 2.0\Release\mdriver.pdb |
| C:\Users\803\Desktop\ytyboth\yty 2.0\Release\vstservice.pdb |
| C:\Users\803\Desktop\ytyboth\yty 2.0\Release\yty.pdb |
| C:\Users\803\Desktop\ytyboth\yty 4.0\Release\abode.pdb |
| C:\Users\803\Desktop\ytyboth\yty 4.0\Release\boothelp.pdb |
| C:\Users\803\Desktop\ytyboth\yty 4.0\Release\vstservice.pdb |
| D:\Soft\DevelopedCode\yty 2.0\Release\dspcheck.pdb |
| D:\Soft\DevelopedCode_Last\yty 2.0 – Copy\Release\.Net\vstservice.pdb |
| D:\Soft\DevelopedCode_Last\yty 2.0\Release\.Net\abode.pdb |
| D:\Soft\DevelopedCode_Last\yty 2.0\Release\.Net\boothelp.pdb |
| D:\Soft\DevelopedCode_Last\yty 2.0\Release\.Net\dspcheck.pdb |
| D:\Soft\DevelopedCode_Last\yty 2.0\Release\.Net\vstservice.pdb |
| D:\Soft\DevelopedCode_Last\yty 2.0\Release\C++\Setup.pdb |
| C:\Users\803\Desktop\ytyboth\yty 2.0\Release\Setup.pdb |
| D:\Soft\DevelopedCode_Last\yty2.0\Release\C++\Setup.pdb |
| C:\users\803\documents\visualstudio2010\Projects\helpdll\Release\helpdll.pdb |
| EHDevel恶意代码框架的PDB路径 |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\ActDon.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\AdminNewDll.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\AdminServerDll.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\ComDeck.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\DiplyFreq.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\DiskPlug.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\EsstnalUpdte.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\FlashCom.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\LangDock.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\LangDockUp.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\MetaDamDoc.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\PatchQueue.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\ProcNeo.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\TxtActDoc.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\WinAeroBat.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\WinAud.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\WinExe.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\WinIntDataAndCred.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\WinKey.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\WinLTUP_Doc.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\WinLTUP_NonDoc.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\WinOn.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\WinRMDrive.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\WinScrnGrabber.pdb |
| D:\EH_DEVELOPMENT_SVN\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\WinTasks.pdb |
| E:\EHDevelopmentSolution3 IB2.1\EHDevelopmentSolution3\Release\Uninstall.pdb |
| E:\EHDevelopmentSolution3 PB2.1\EHDevelopmentSolution3\Release\AdminNewDll.pdb |
| E:\EHDevelopmentSolution3 PB2.1\EHDevelopmentSolution3\Release\AdminServerDll.pdb |
| E:\EHDevelopmentSolution3 PB2.1\EHDevelopmentSolution3\Release\Clock.pdb |
| E:\EHDevelopmentSolution3 PB2.1\EHDevelopmentSolution3\Release\PatchQueue.pdb |
| E:\EHDevelopmentSolution3 PB2.1\EHDevelopmentSolution3\Release\SystemBus.pdb |
| E:\EHDevelopmentSolution3 PB2.1\EHDevelopmentSolution3\Release\TimeClock.pdb |
| E:\EHDevelopmentSolution3 SI2.1\EHDevelopmentSolution3\Release\ InfoPath.pdb |
| E:\EHDevelopmentSolution3 SI2.1\EHDevelopmentSolution3\Release\AdminNewDll.pdb |
| E:\EHDevelopmentSolution3 SI2.1\EHDevelopmentSolution3\Release\AdminServerDll.pdb |
| E:\EHDevelopmentSolution3 SI2.1\EHDevelopmentSolution3\Release\Clock.pdb |
| E:\EHDevelopmentSolution3 SI2.1\EHDevelopmentSolution3\Release\DiskHealth.pdb |
| E:\EHDevelopmentSolution3 SI2.1\EHDevelopmentSolution3\Release\InstallingDevice.pdb |
| E:\EHDevelopmentSolution3 SI2.1\EHDevelopmentSolution3\Release\PlugnPlayMoniter.pdb |
| E:\EHDevelopmentSolution3 SI2.1\EHDevelopmentSolution3\Release\PrimaryVolume.pdb |
| E:\EHDevelopmentSolution3 SI2.1\EHDevelopmentSolution3\Release\RegionalLanguage.pdb |
| E:\EHDevelopmentSolution3 SI2.1\EHDevelopmentSolution3\Release\SystemBus.pdb |
| E:\EHDevelopmentSolution3 SI2.1\EHDevelopmentSolution3\Release\WorkspaceShare.pdb |
| E:\EHDevelopmentSolution3 SI2.2\EHDevelopmentSolution3\Release\AdminNewDll.pdb |
| E:\EHDevelopmentSolution3 SI2.2\EHDevelopmentSolution3\Release\AdminServerDll.pdb |
| E:\EHDevelopmentSolution3 SI2.2\EHDevelopmentSolution3\Release\Clock.pdb |
| E:\EHDevelopmentSolution3 SI2.2\EHDevelopmentSolution3\Release\DiskHealth.pdb |
| E:\EHDevelopmentSolution3 SI2.2\EHDevelopmentSolution3\Release\Documents.pdb |
| E:\EHDevelopmentSolution3 SI2.2\EHDevelopmentSolution3\Release\ENGUnicode.pdb |
| E:\EHDevelopmentSolution3 SI2.2\EHDevelopmentSolution3\Release\InstallingDevice.pdb |
| E:\EHDevelopmentSolution3 SI2.2\EHDevelopmentSolution3\Release\LicenseManager.pdb |
| E:\EHDevelopmentSolution3 SI2.2\EHDevelopmentSolution3\Release\NetLogOn.pdb |
| E:\EHDevelopmentSolution3 SI2.2\EHDevelopmentSolution3\Release\RegionalLanguage.pdb |
| E:\EHDevelopmentSolution3 SI2.2\EHDevelopmentSolution3\Release\WMPlayer.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\AdminNewDll.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\AdminServerDll.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\CustomUI.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\DalyMotion.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\DefenderReference.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\EsstnalUpdte.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\FoldrOpt.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\InstntAccel.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\InstntAccelx.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\LangEngUTF16.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\LangEngUTF8.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\MSOBuild.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\OpenOffce.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\OptimisedDisply.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\PackageMSOffce.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\PlayMedia.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\ProcNeo.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\RuntimeLibsUpdte.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\TimeSyncApp.pdb |
| E:\EHDevelopmentSolution3\EHDevelopmentSolution3\Release\WelcomeScrn.pdb |
参考
[1].https://ti.360.net/blog/articles/pakistan-targeted-apt-campaign/
[3].https://asert.arbornetworks.com/donot-team-leverages-new-modular-malware-framework-south-asia/