工具概述
此工具是APT34工具包里的一个模块，原型是IntelliAdmin Remote Execute v1.0。用于远程执行。
使用方法
rx.exe -h [host] -u [user] -p [pass] [option] [filename] [arguments]
使用效果：
使用192.168.120.232远程主机上的cmd.exe
效果截图：
流量分析
1.协议协商和会话建立
2.连接到admin$共享
3.复制IntelliAdminRPC文件夹和rx.exe文件
4.连接到IPC共享
5.命令执行时的数据流量情况
如果不在CMD中执行命令，会在每2个TCP包中间隔12个SMB2包；如果在远程主机中的CMD中执行命令，则变成每2个TCP包中间隔3个SMB2包。且第一个SMB2包和第三个SMB2包会在DATA里面携带将要执行的命令。
6.明文返回远程执行的结果
检测方案
基于载荷的检测方法：
特征字符：IntelliAdminRPC、rx.exe、各种命令明文和返回执行结果的明文。
通过检测445端口，过滤携带特征字符信息数据包的ip地址。
基于统计的检测方法：
根据445端口或者根据ip地址统计TCP包和SMB2包
重点关注在2个TCP数据包之间间隔12个SMB2包的发送方ip地址。尤其是当收到明文命令的SMB2数据包后，TCP之间间隔的SMB2数据包变成了3个，并且会在之后的第一个TCP数据包后通过SMB2数据包返回执行结果明文。