继ptrace注入之dlopen/dlsym注入第三方so库到长途进程中后，本次探究的是shellcode 的注入项目地址经过对邮件附件样本进一步剖析发现，其使用的缝隙为澳洲国防部计算机应急呼应中心提交的CVE-2019-7193。 该缝隙为RTF文件解析缝隙，成功使用该缝隙能够长途履行恣意代码。 咱们阻拦的样本双击翻开后会在本地开释后门程序，然后彻底操控方针主机。 运用企业的问题盯梢体系（ issue tracker）和支撑协助中心（support center/helpdesk），结合以公司域名为后缀的结构邮箱地址，优异的 Web 缝隙发掘大牛 Inti De Ceukelaire 能绕过验证机制，成功侵略方针企业 *** 。 这是一个关于安全的一个典型比如，一些独立体系在阻隔状况下的确能够确保安全，但各个体系之间进行归纳使用，就会发作溃散或缝隙，这也会是未来几年将会连续呈现的安全问题。 最终，“subsystem”模块会读取磁盘数据，解密解压出一个新的“MRFS”镜像文件，担任注入“/bin/i386/ccmain.bin”到体系进程msdtc.exe，进一步引导加载真实的挖矿插件包。 镜像文件结构与前文共同，解压成果如下:进犯活动剖析

经过ECHO指令解码部分指令在D *** M的要求中这个简直都是相同的，每个进程域都需求指定专人和专岗担任该项作业，并可以担任此作业。