恶意推广！瑞星InpEnhSvc.exe分析报告

    泡泡网安全相关频道8月22日 InpEnhSvc.exe拥有典型的后门特征，相比于其它后门程序，该病毒侧重于后台应用推广，包括PC应用和手机Android应用，其病毒文件带有正常的数字签名：

本报告主要分析了该后门的功能点，InpEnhSvc主要有三个大功能点：

后台恶意推广手机应用

常规的远程控制操作

自动更新升级

功能点主要执行流程

    病毒运行时，会创建一个隐藏的0大小的窗口，并注册接收USB、DISK、COMPORT等硬件设备的更改通知，病毒通过接收远程不同的功能号来执行相应的功能函数。

后台恶意推广手机应用

    执行时会检测常见的调试类软件是否存在，存在的话就不执行后面的流程，检测的调试类软件包括procexp.exe、procmon.exe、windbg.exe等。

常规的远程控制操作

    该功能主要实现了8个普通的远程控制功能，根据不同的远程指令id执行对应的函数，功能简要描述如下：

功能1：下载安装PC应用

功能2：下载安装手机Android应用

功能3：添加到桌面快捷方式

功能4：添加网址到收藏夹

功能5：设置IE浏览器主页

功能6：查询扫描注册表操作

功能7：扫描桌面，确定是否存在指定文件

功能8：扫描收藏夹，确定是否存在指定文件■