在我們之前的文章裡，趨勢科技報導了被稱為PlugX的新品種遠端存取工具（RAT），它被用在Poison Ivy相關的APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT) /目標攻擊中。乍一看，這個遠端存取工具似乎只是個簡單的工具，具備有限的遠端存取能力。然而，進一步分析PlugX會發現它有更多微妙之處。
在典型的攻擊中，PlugX通常具備三個組成部分，即：
- 一個正常檔案
- 一個可以由正常檔案載入的惡意DLL
- 一個包含惡意程式碼，可以由DLL載入的二進位檔案。
攻擊是由包含惡意附件檔的釣魚郵件所開始，通常是壓縮過或精心製造的文件檔，可以攻擊 Adobe Acrobat Reader或微軟Office（特別是 CVE-2010-3333）的漏洞。在此案例中，它透過特製文件檔到達（偵測為TROJ_ARTIEF.LWO）。這個木馬程式會植入並執行BKDR_PLUGX.SME，它接著會植入以下檔案：
所有使用者的%User Profile%\Gf\NvSmart.exe – 一個正常的NVIDIA檔案（NVIDIA Smart Maximise Helper Host）
- 所有使用者的%User Profile%\Gf\NvSmartMax.dll – BUT
- 所有使用者的%User Profile%\Gf\boot.ldr – TROJ_PLUGX.SME
要注意的是，這惡意軟體會植入檔案NvSmart.exe，這是一個已知的正常NVIDIA檔案。