远程访问木马数据库

此数据库中的所有样本仅供研究使用。

所有RAT家族的状态，包括编写RAT桩所使用的编程语言、RAT家族的首次露面年份以及确定该年份的来源

第四列表示我们确定年份所依据的来源，可分为三类：公开在线文档、编译时间戳和关于描述。关于信息方面，一些RAT开发者在RAT控制面板的“关于”窗口中留下了带有时间戳的更改日志，这对于确定首次露面年份很有帮助。

名称	编程语言	首次露面年份	确定年份的来源
Sub-7	Delphi	1999	https://bit.ly/2p5xjsh
Nuclear	Delphi	2003	https://bit.ly/2qMzbGH
Turkojan	Delphi	2003	https://symc.ly/2qJXfdb
Poison Ivy	MASM32	2007	关于
DarkComet	Delphi	2008	https://bit.ly/367tAe6
Spycronic	Delphi	2010	编译时间戳
Spy-Net	Delphi	2010	https://symc.ly/32N7lYR
CyberGate	Delphi	2010	https://bit.ly/33Y0NXA
Xtreme	Delphi	2010	https://bit.ly/2NdavQj
Imperium	.NET	2011	编译时间戳
NovaLite	Delphi	2011	关于
NjRAT	.NET	2012	https://bit.ly/2p5HsFl
D-RAT

键盘记录器	描述与关键API
K1	RAT调用NtUserSetWindowsHookEx将回调函数注册到Windows的消息钩子链中。当受害者按下按键时，该回调函数会收到虚拟键码。
K2	RAT在一个无限循环中调用NtUserGetAsyncKeyState来轮询每个按键的状态。
K3	RawInput是获取用户输入的另一种通道。当发生WM_INPUT消息时，RAT调用NtUserGetRawInputData来获取输入。

远程摄像头	描述与关键API
C1	利用DirectShow访问摄像头。DirectShow是Microsoft Windows的一种媒体流架构。RAT首先调用CoCreateInstance和CreateClassEnumerator来查找视频输入设备。然后调用多个API（如SetFiltergraph、SetOutputFileName等）进行配置工作。最后调用RenderStream捕获视频。
C2	VFW是Microsoft开发的另一个多媒体框架，允许Windows播放和编码数字视频。RAT首先调用capGetDriverDescription获取视频输入设备的信息，然后调用capCreateCaptureWindow创建捕获窗口。最后调用SendMessage向创建的窗口发送消息以连接并捕获摄像头。

音频录制	描述与关键API
A1	利用内置的波形音频接口捕获音频。RAT首先调用waveInOpen打开音频输入设备，然后调用waveInPrepareHeader和waveInAddBuffer为音频数据准备缓冲区块，最后调用waveInStart开始捕获音频。
A2	媒体控制接口（MCI）是另一个内置接口，为录制多媒体设备提供标准命令。RAT首先使用MCI_OPEN命令调用mciSendCommand打开音频输入设备，然后使用另一个命令MCI_RECORD调用同一API mciSendCommand开始音频录制。

TBC