由于Radmin并不是“木马型”监控软件,所以它的服务端是由r_server.exe、raddrv.dll、AdmDll.dll三个文件组成,而一般的“木马”服务端通常只有一个可执行文件。这是个比较麻烦的硬伤,但这难不倒Cytkk,他熟练地运行了一款名为“超级捆绑”的软件。
1.在界面点击右边白色图标,将Radmin服务端的三个文件添加进文件列表,捆绑方式设置成“按文件捆绑方式”,然后点击右边的“高级”按钮进入详细设置,在“常规”选项内(图2),将图标自定义为一个文本文件以增加更好的隐蔽性,文件大小则采用默认。
2.随后,Cytkk又将“属性”中的“只读”、“隐藏”和“系统”三项全部选中,这样就使捆绑后的文件更具隐蔽和安全性。
3.Cytkk点击“运行”标签,出现捆绑程序运行设置,将文件分解运行目录设置成 “在捆绑后的文件所在目录中运行”,窗口状态则设为“隐藏窗口”。
4.他将“参数”页面内的全部个性化设置选项前面的√取消。点击“确定”退回上级窗口,最后设置好捆绑文件输出路径。为了增强隐蔽性,可以将捆绑后的执行文件更名,Cytkk将它命名为svchosts.exe。
5.点击“合并”就完成了服务端的文件捆绑工作。现在的Radmin已经基本上从一款商业化的远程控制软件变成了一个不折不扣的木马了。