Crazy 打单软件团伙成员正阔绰正当的职工监控软件与 SimpleHelp 辛勤撑握器用，在企业收罗中保管握久化适度、隐私检测，并为部署打单软件作念准备。
安全谈判东说念主员在侦察多起安全事件时发现了上述入侵步履：过失者会在攻陷的收罗中部署 Net Monitor for Employees Professional 职工监控软件，并和谐 SimpleHelp 兑现辛勤造访，同期将本身步履伪装成平素的经管员操作。
在其中总共入侵事件中，过失者通过 Windows 装配圭表 msiexec.exe 装配了该职工监控器用，径直从征战者官网向受感染系统下发监控代理。
器用装配后，过失者可辛勤稽查受害者桌面、传输文献并试验敕令，本色上得回了受侵系统的好意思满交互式适度权限。
过失者还通过以下敕令尝试启用土产货经管员账户：
net user administrator /active:yes
为兑现冗余握久化，过失者通过 PowerShell 敕令下载并装配 SimpleHelp 辛勤造访客户端，使用的文献名效法了正当的 Visual Studio 程度 vshost.exe。载荷随后被试验，即便职工监控器用被撤废，过失者仍可通过该渠说念保握辛勤造访。
SimpleHelp 二进制文献随机还会使用伪装成 OneDrive 关系的文献名：
C:ProgramDataOneDriveSvcOneDriveSvc.exe
过失者运用这款监控软件辛勤试验敕令、传输文献，并及时监控系统作为。
谈判东说念主员还不雅察到，过失者会尝试住手并删除关系办事，以此禁用 Windows Defender。
禁用 Windows Defender
在某起事件中，过失者在 SimpleHelp 中确立了监控规定：当缔造造访加密货币钱包或使用辛勤经管器用时立即告警，斗鱼体育为部署打单软件和窃取加密货币作念准备。
{jz:field.toptypename/}日记泄漏，代理圭表握续针对加密货币关系枢纽词轮回触发与重置监控规定，包括钱包办事（MetaMask、Exodus、wallet、blockchain）、往复平台（Binance、Bybit、KuCoin、Bitrue、Poloniex、bc.game、Noones）、区块链浏览器（Etherscan、Bscscan）以及支付平台 Payoneer。
除此除外，代理还会监控辛勤造访器用枢纽词，包括 RDP、AnyDesk、UltraView、TeamViewer、VNC 等，概念大要率是检测是否有东说念主正在邻遴选控机器。
SimpleHelp 代理所监控的枢纽词
同期使用多款辛勤造访器用为过失者提供了造访冗余，确保即便其中一款被发现或删除，仍能掌控概念系统。
尽管唯有总共事件最终部署了 Crazy 打单软件，但谈判东说念主员觉得两起事件背后是归拢恫吓组织所为。据不雅察，两起事件复用了换取文献名（vhost.exe）与重迭的 C2 基础设施，热烈标明入侵由归拢操作家或团伙实施。
在打单软件入侵事件中，阔绰正当辛勤经管与监控器用已愈发无数，因为这类器用可让过失者的流量荫藏在平素业务流量中，不易被发现。为此，企业应严实监控未经授权的辛勤监控与撑握器用装配步履。此外，由于两起入侵均始于 SSL VPN 凭据泄露，需对所灵验于造访内网的辛勤办事强制启用多要素认证（MFA）。