文章总结： 俄罗斯黑客组织开发的未公开远程控制工具包CTRL整合了凭证钓鱼、键盘记录、RDP劫持和FRP反向隧道技术，通过恶意LNK文件传播。该工具包采用多层加密加载机制，利用注册表存储payload并实现无文件攻击，其C2基础设施位于德国法兰克福且未修复已知SSH漏洞。分析显示该工具专用于定向攻击，尚未出现在公开威胁情报平台。 综合评分： 87 文章分类： 恶意软件,渗透测试,漏洞分析,威胁情报,红队

俄罗斯“CTRL”远控工具包分析

原创

censys censys

暗镜

2026年4月2日 06:00 北京

一个名为“CTRL”的、此前未被记录的、源自俄罗斯的远程访问工具包已被监测到，该工具包将凭证钓鱼、键盘记录、RDP 劫持和基于 FRP 的反向隧道技术整合到一个统一的后渗透攻击包中，并通过一个恶意 LNK 文件进行分发。该工具包位于 hui228[.]ru 的 C2 中继基础设施仍在运行，该基础设施位于一个最近注册的 ASN（2025 年 2 月）上，并且被发现未针对已知的 SSH 漏洞进行修补。

截至撰写本报告时，VirusTotal、Hybrid Analysis 和公共威胁情报中仍未发现任何相关痕迹，这表明该工具包是私人开发的，尚未广泛传播。

介绍

“CTRL”是一款由一名俄语攻击者开发的定制版.NET远程访问工具包，并通过伪装成私钥文件夹的恶意LNK文件进行传播。该工具包是通过Censys开放目录扫描发现的，扫描结果显示hui228.ru:82/hosted/目录下存在一个暴露的有效载荷托管目录，其中包含三个.NET可执行文件。这些可执行文件共同实现了加密有效载荷加载、通过精心设计的Windows Hello钓鱼界面窃取凭据、键盘记录、RDP会话劫持以及通过FRP进行反向代理隧道传输等功能。该工具包的FRP中继基础设施已在两个IP地址上被发现：（活跃于2026年1月至2月）和（DNS于2026年2月27日切换至该地址），这两个IP地址均位于Partner Hosting LTD位于法兰克福的基础设施内。这些二进制文件或基础设施均未出现在任何公开的威胁情报源中，这使得该工具包成为一个此前未记录的工具包，专门用于对单个目标进行持久远程访问、凭证窃取和键盘操作。

背景

CTRL 工具包于 2026 年 2 月从 146.19.213[.]155 的一个开放目录中恢复。此次调查源于 Censys 对 LNK 文件的开放目录扫描，扫描结果显示，一个托管在独立服务器上的 LNK 文件指向 hui228[.]ru 以下载有效载荷。该域名使用 FreeDNS (afraid.org) 进行域名解析——FreeDNS 是一种免费的动态 DNS 服务，深受希望避免留下注册商痕迹的运营商欢迎——其服务器托管于 Partner Hosting LTD (AS215826)，该公司于 2025 年 2 月在英国注册，服务器位于德国法兰克福。

托管 LNK 加载器的目录

该工具包包含三个 .NET 可执行文件，它们共享同一个开发环境（C:\Users\Admin\repos\repos\），目标框架为 .NET Framework 4.7.2，并使用 AES-256-CBC 加密进行嵌入式有效载荷保护。PDB 路径、FRP 包装器中的俄语错误字符串（“Не найдена функция GoMain”）以及 .ru 域名共同指向一位讲俄语的开发者。这些二进制文件的版权日期为 2025 年，并支持 Windows 24H2 版本，表明其开发仍在进行中。所有 PE 时间戳均被故意篡改（设置为 2044 年至 2103 年之间的日期），以阻碍时间线分析。

该恶意软件利用名为“私钥#kfxm7p9q_yek.lnk”的LNK文件进行传播，该文件伪装成Windows文件夹图标，诱骗受害者双击打开。LNK文件的元数据时间戳被清零，并包含描述信息“Polycue”，这可能是一个项目代号。创建者的Windows SID（S-1-5-21-445479930-4070444189-1846254649-1001）嵌入在LNK文件的元数据中。

LNK 属性显示“Polycue”

攻击能力

凭证窃取

一个完整的 WPF 应用程序，模拟 Windows Hello PIN 码提示，包含受害者的真实显示名称、帐户头像、主题检测以及从正版 Windows 资源中提取的 Lottie 动画。底层键盘钩子会阻止 Alt+Tab、Alt+F4 和 Win 键，以防止用户退出。捕获的 PIN 码会通过 UI 自动化流程与真实的 Windows 凭证提示进行验证，验证通过后才会被接受。

键盘记录：持续后台按键捕获并写入 C:\Temp\keylog.txt。

远程桌面访问：自动修补 termsrv.dll 并安装 RDP Wrapper，以启用无限并发 RDP 会话，并自动应用 Defender 排除项。

反向代理隧道：FRP v0.65.0（编译为 Go DLL，通过手动 PE 映射加载到内存中）通过运营商的 FRP 服务器为 RDP 和原始 TCP shell 建立反向隧道。

持久性和防溯源

有效载荷以二进制注册表值的形式存储，伪装成资源管理器设置，并通过运行编码 PowerShell 的计划任务在启动时加载。通过 fodhelper.exe 注册表劫持绕过 UAC。隐藏的后门用户帐户被添加到管理员和远程桌面用户组。

浏览器通知欺骗：模仿 Edge、Chrome、Opera、Brave、Vivaldi、Yandex 和其他基于 Chromium 的浏览器的 Toast 通知，以进行社会工程攻击，获取更多凭据。

技术特性

攻击链分析

攻击链分为六个阶段。该设计采用分层结构：每个阶段都会对下一个阶段进行解码、解密或解压缩，关键基础设施地址 (hui228[.]ru) 只有在阶段执行程序在内存中运行时才会出现。为了方便起见，下文提供了包含各个阶段的解包、反混淆、解密和分析过程的概要信息。

第一阶段：LNK Dropper

入口点是一个名为 Private Key#kfxm7p9q_yek.lnk 的 60 KB Windows 快捷方式文件。它使用 SHELL32.dll 的图标索引 3（文件夹图标），因此在资源管理器中显示为目录，而不是可执行文件。该 LNK 文件指向 C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe，并以 SW_SHOWMINNOACTIVE 窗口样式（最小化，无焦点）运行，因此受害者看不到任何控制台窗口。所有内部时间戳（创建、访问、修改）均被清零以防止取证日期推断，并且描述字段包含字符串“Polycue”。

LNK 文件中嵌入的命令行参数如下：

powershell.exe -NoProfile -WindowStyle Hidden -Command “$b=’<~30,000 char base64 blob>‘; iex([System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String($b)))”

整个有效载荷链都编码在 LNK 的命令行参数字段中，使得快捷方式文件是自包含的；初始代码执行无需外部下载。

第二阶段：PowerShell 加载器（3层）

base64 编码的数据块在执行 .NET 阶段程序之前，需要经过三层解码：

第 1 层（base64 解码后的明文 PowerShell）：擦除受害者的启动文件夹（%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\*）以消除竞争持久性，然后将第二个 base64 blob 传递给带有 -nop -Sta 的新 PowerShell 进程。

第2层（第二次 base64 解码）：包含压缩后的暂存器二进制文件和基于注册表的加载逻辑。变量名已随机化（例如，$4pX9Fl2uqGjR、$J16wnFD5Q33hjl、$ov31va9OSp8tj），以避免静态模式匹配。注册表路径中使用的字符串字面量使用字符算术混淆进行拆分和重组：

“o” is computed as: (297 – 93) – (127 – 34) = 111 = ‘o’

‘SOFTWARE\Microsoft\Wind’ + Char)) + ‘ws\CurrentVersion\Explorer’

该层按顺序执行三个操作：

• ## 解压缩：解码第三个 base64 blob（原始 stager 字节），通过 System.IO.Compression.DeflateStream 将其解压缩 28 KB 的 .NET 程序集。
• ## 写入注册表：将解压缩后的二进制文件作为 REG_BINARY 值存储在 HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellStateVersion1 — 选择此路径和值名称是为了与合法的 Explorer shell 设置融合。
• ## 从注册表执行：通过注册表值上的 [System.Reflection.Assembly]::Load() 在内存中加载并运行暂存器，并通过 Invoke($null, $null) 传递入口点。
• 暂存器不会以独立文件的形式写入磁盘。它仅以压缩 blob 的形式存在于 LNK 的命令行参数中，然后作为二进制注册表值存在，最后作为内存中的 .NET 程序集存在。

第三阶段：Stager（“独立程序”，28 KB .NET）

暂存器（命名空间 StandaloneProgram）是协调器。它使用 WindowsIdentity 检查当前完整性级别，通过 OpenProcessToken/GetTokenInformation 检查令牌提升，并检查完整性级别 SID RID（SYSTEM = 0x4000，High = 0x3000）：

完整性：触发 UAC 绕过，然后退出。绕过程序会将一个 VBS 启动器写入 C:\Temp\win_update.vbs，并将 HKCU\Software\Classes\ms-settings\Shell\Open\command 设置为调用 wlrmdr.exe 并指向该 VBS 脚本，然后通过 explorer.exe 启动 fodhelper.exe。wlrmdr.exe 是一个已签名的 Microsoft 二进制文件（Windows 启动器资源管理器诊断程序），此处用作 LOLBin。通过它路由执行而不是直接启动 VBS 脚本，可以避免 EDR 检测，从而防止未签名进程生成脚本解释器而被标记。由于 fodhelper.exe 会自动提升权限并检查 ms-settings 中是否存在其处理程序，因此该程序会在高完整性下重新执行自身。绕过程序执行后会清理所有注册表项和 VBS 文件。

系统完整性：使用互斥锁（Global\SystemStagerMutex 或 Global\AdminStagerMutex）防止重复实例，然后执行完整安装：

第四阶段：ctrl.exe（AES 加载器 + 双模式 C2 代理）

外部二进制文件是一个最小化的 .NET 加载器（PDB：C:\Users\Admin\repos\repos\ControlCenter\Loader\obj\Debug\net472\LoaderV2.pdb），以调试配置编译，包含完整的符号信息。它读取嵌入资源 Loader.payload.exe.encrypted，使用 AES-256-CBC 加密（硬编码密钥 RGH2uoFyojSArtXQLh3tObdGA9nfv41i6+XUn0MJgyc=，IV 8pgYdEWqV41Pg/qBM73piA==，PKCS7 填充）对其进行解密，并通过 Assembly.Load() 调用解密后的程序集入口点。解密后的有效载荷是“ctrl Management Platform v2.0.0”（21 MB，包含 SkiaSharp、LottieSharp 和 Costura.Fody 5.7.0 依赖项）。“CTRL”的名称由此而来。

硬编码密钥和 IV

解密后的 C2 代理程序根据命令行参数既可以作为服务器也可以作为客户端，并通过 Windows 命名管道 (ctrlPipe) 进行通信：

服务器模式

（默认，或使用 -debug/–debug 参数）：在 ctrlPipe 上启动一个 NamedPipeServerStream，注册所有命令处理程序，并启动后台键盘记录器。在调试模式下，它会分配一个可见的控制台窗口并输出诊断消息（[Program] 调试模式已启用。控制台已分配。，[PipeServer] 正在等待客户端连接…，[CommandProcessor] 正在执行自定义命令：…）。在生产环境中，它以无头模式运行。

客户端模式

（ctrl.exe 客户端）：分配一个控制台，显示 ASCII 横幅（“ctrl 管理平台 / 版本 2.0.0 (管道)”），连接到 ctrlPipe 命名管道，并显示交互式 > 提示符。某些服务器响应会触发客户端的本地操作：SHADOW_REQUEST:: 在本地启动 mstsc /shadow: /noconsentprompt [/control]，COPY_REQUEST:: 通过 Win32_ShadowCopy WMI 启动卷影复制，然后从 VSS 快照执行 robocopy /E /COPYALL。

直接命令模式

（ctrl.exe <命令>）：连接到管道，将参数字符串作为单个命令发送，打印响应，然后退出。此模式支持脚本编写和一次性操作。

任何与已注册命令（info、help、echo、toast、logs、shadow、stealuser、copy）不匹配的输入都会直接传递给 powershell.exe -NoProfile -Command 作为兜底命令。帮助输出甚至记录了这一点：[PowerShell] 任何其他命令都将以 PS 身份执行。

双模设计意味着操作员只需在目标主机上部署一次 ctrl.exe（通过预置服务器），然后通过 FRP 隧道 RDP 会话运行 ctrl.exe 客户端与之交互。命名管道架构将所有 C2 命令流量限制在目标主机本地——除了 RDP 会话本身之外，没有任何流量会经过网络。

CommandProcessor 中注册的完整命令集：

| | | | | — | — | — | | 命令 | 句法 | 执行 | | 信息 | 信息 | 返回平台版本字符串、当前用户名（Environment.UserName）和机器名称（Environment.MachineName）。 | | 帮助 | 帮助 | 以 ASCII 格式打印命令参考列表，列出所有命令和用法示例。 | | 回声 | echo <文本> | 原样返回参数字符串；可能用于连接性测试。 | | 日志 | 日志 | 读取并返回 C:\Temp\keylog.txt 的全部内容；如果文件不存在，则返回“未找到日志”。 | | 窃取者 | 窃取者 | 在新的 STA 线程上启动 WPF 凭据收集器；从 ctrl.StealUser 命名空间启动 App 和 MainWindow；立即返回“StealUser 窗口已在服务器上启动”。 | | 阴影 | 阴影 [控制] | 调用 WTSGetActiveConsoleSessionId() 获取活动会话 ID，并向客户端返回 SHADOW_REQUEST::，客户端随后在本地启动 mstsc /shadow: /noconsentprompt [/control] 命令，以查看或接管受害者的实时桌面会话。 | | 复制 | 复制 | 返回 COPY_REQUEST:: 给客户端，客户端通过 Win32_ShadowCopy WMI 创建卷影副本，创建快照符号链接，并运行 robocopy /E /COPYALL /R:3 /W:5 以完整保留 ACL 的整个目录树进行备份。 | | 吐司 | toast