9002 RAT についての記事、persistence の仕組みとしては LNK ファイルを利用。 www.proofpoint.com スタートアップに UpdateCheck.lnk を作成、中身としては Powrshell を利用する仕組みとなっているようです。 プロパティを確認 バイナリを確認 スタートアップに LNK ファイルが作成された状態で、Autoruns を利用して結果を確認してみます。(Windows 10環境上でAutorunsを実行) LNKファイルの登録は確認できますが、参照されている Powershell の部分を確認できない状況です。 GUI 版では黄色ハイライトとなりファイルが無い状態となりますが、コマンドライン版での実行結果でも同じく参照先ファイルが無い結果となります。 <2017/9/3 Update> LECmd Version 0.9.7.0 を利
![9002 RAT と LNK - @port139 Blog](https://cdn-ak-scissors.b.st-hatena.com/image/square/7474525740177da1503af56ec18f31620529c8bd/height=288;version=1;width=512/https%3A%2F%2Fcdn-ak.f.st-hatena.com%2Fimages%2Ffotolife%2Fh%2Fhideakii%2F20170827%2F20170827072136.png)