回复: DTLMiner再更新 排除异己并提升攻击成功率
进程名称：
图：进程名称检测及处理
尝试结束与列表内名称相匹配的进程，以挖矿木马的进程为主。
在执行完“排除异己”的操作之后，如果电脑内不存在任务管理器的进程（taskmgr.exe），则会以隐藏窗口模式启动一个的任务管理器。
图：启动任务管理器
而对于DTLMiner之前使用的RDP爆破模块（10月9日的版本里被屏蔽），在10月25日的更新中再次被启用（在BlueKeep漏洞探测之后进行），但是作者对其做了一些优化。在RDP爆破成功后休眠20秒，然后找到wfreerdp程序的窗口句柄，将窗口置顶，接着再模拟键盘操作执行命令，避免因为各种原因导致RDP界面丢失焦点从而无法在被远程连接的机器内执行命令，提升了攻击成功率。
图：作者对RDP爆破模块的第一次优化
在10月30日的更新中作者对其进行了第二次优化，下载来的wfreerdp目前仅用于爆破密码，不用其进行RDP远程感染，取而代之的是系统内置的远程桌面工具。爆破密码成功后，利用系统的cmdkey工具将IP、账户和密码保存起来。然后修改远程桌面的注册表项，关闭登录时的认证警告以及结束远程桌面连接时的弹窗。紧接着启动系统内置的远程桌面工具，指定IP，设置为全屏模式。休眠40秒后利用之前的技巧将远程桌面窗口置顶，然后运行命令。命令执行完成后休眠10秒，删除保存在系统内的账户及密码信息，结束启动的远程桌面进程。
图：作者对RDP爆破模块的第二次优化
在运行命令方面作者也对其进行了一些改进，将原来的逐字发送按键指令来输入要执行的命令改为了修改剪贴板内容然后发送Ctrl+V快捷键来更高效地输入命令，提升了攻击成功率。
图：DTLMiner两个版本运行命令函数的对比（左边为10月30日新版）
图：Paste函数实际上为修改剪贴板内容
