隨著數(shù)字化進(jìn)程的加速，網(wǎng)絡(luò)已經(jīng)深度融入社會(huì)各層面，在極大地促進(jìn)了信息交流與經(jīng)濟(jì)發(fā)展的同時(shí)，也滋生了大量網(wǎng)絡(luò)犯罪活動(dòng)，為網(wǎng)絡(luò)安全領(lǐng)域帶來了嚴(yán)峻挑戰(zhàn)。自2021年起，“銀狐”團(tuán)伙在網(wǎng)絡(luò)世界中悄然崛起。作為活躍在黑色產(chǎn)業(yè)鏈中的犯罪團(tuán)伙，其制作的“銀狐”木馬病毒不斷演變升級(jí)，憑借高度一致的技術(shù)手段與攻擊策略，對(duì)企業(yè)和個(gè)人造成持續(xù)性威脅。本文將梳理“銀狐”木馬的迭代過程和傳播方式，并進(jìn)行溯源分析，期望大家能夠深入了解此類病毒，提高警惕，防止遭受攻擊。
銀狐團(tuán)伙的黑色產(chǎn)業(yè)鏈廣泛滲透至金融、詐騙、政府機(jī)構(gòu)及多個(gè)行業(yè)領(lǐng)域。從2021年直至2024年12月，“銀狐”木馬活動(dòng)顯著增多，且始終保持相當(dāng)高的活躍度。起初，“銀狐”組織將目標(biāo)鎖定在企業(yè)與機(jī)構(gòu)中的關(guān)鍵崗位人員，如管理層、財(cái)務(wù)部門、銷售團(tuán)隊(duì)以及電子商務(wù)從業(yè)者，通過定向釣魚攻擊獲取敏感信息。隨著時(shí)間的推移，銀狐病毒高效的攻擊模式與成功的示范效應(yīng)逐漸引起其他網(wǎng)絡(luò)犯罪分子的關(guān)注，他們開始模仿其攻擊手段并進(jìn)行傳播，導(dǎo)致全球范圍內(nèi)類似攻擊事件頻發(fā)。不同于傳統(tǒng)釣魚木馬攻擊，“銀狐”木馬采用更為隱蔽的多級(jí)白進(jìn)程劫持技術(shù)進(jìn)行搭載。如今，不僅企業(yè)和機(jī)構(gòu)深受其害，普通網(wǎng)民也面臨著日益嚴(yán)峻的安全威脅。
銀狐事件曲線
源代碼對(duì)比圖
Win0s 功能圖
群聊傳播木馬：控制電腦屏幕將惡意木馬文件轉(zhuǎn)發(fā)至群聊，誘導(dǎo)群成員點(diǎn)擊下載。一旦木馬被運(yùn)行，更多設(shè)備可能被感染，之后，迅速退出群聊以降低被發(fā)現(xiàn)的風(fēng)險(xiǎn)。 冒充上級(jí)實(shí)施詐騙：控制領(lǐng)導(dǎo)社交賬號(hào)或管理人員，單獨(dú)創(chuàng)建新群，假借緊急事務(wù)或企業(yè)內(nèi)部需求，誘騙財(cái)務(wù)人員轉(zhuǎn)賬或泄露敏感信息。
IP-Guard 群聊傳播
群聊二次傳播
控制社交平臺(tái)詐騙
Ping32 功能圖
木馬傳播方式
1.定向政企財(cái)務(wù)釣魚郵件
郵件偽裝：通過偽裝成看似合法的發(fā)件人身份（如供應(yīng)商、合作伙伴或客戶）發(fā)送含有惡意附件或鏈接的郵件。這些附件通常以PDF、Word、Excel等常見文檔格式出現(xiàn)，并會(huì)利用社會(huì)工程手段誘使受害者將其打開。
宏代碼攻擊：如果附件是Office文件，則常常嵌入有惡意宏代碼。一旦啟用宏功能，這些惡意腳本就會(huì)被執(zhí)行，進(jìn)而下載和安裝木馬程序。
釣魚郵件
2.偽造應(yīng)用下載網(wǎng)頁并推廣
假冒合法應(yīng)用：創(chuàng)建高仿的應(yīng)用下載頁面，偽裝為熱門工具、游戲或辦公軟件，誘騙受害者下載含有木馬的應(yīng)用程序。
搜索引擎廣告投放：通過購買廣告位或優(yōu)化搜索引擎排名，使偽造頁面出現(xiàn)在搜索結(jié)果前列，從而提高受害者下載惡意程序的概率。
釣魚網(wǎng)頁
3.網(wǎng)頁掛馬
水坑攻擊：在政企人員頻繁訪問的網(wǎng)站或論壇中植入惡意代碼，受害者一旦訪問，瀏覽器會(huì)自動(dòng)下載并執(zhí)行木馬程序。
廣告劫持：利用惡意廣告注入技術(shù)，在正常網(wǎng)頁的廣告彈窗分發(fā)木馬。
4.色情信息誘導(dǎo)
誘導(dǎo)下載：利用偽裝成色情視頻、圖片等資源的鏈接和附件，引誘受害者下載惡意文件。
釣魚網(wǎng)站：搭建釣魚網(wǎng)站并將其偽裝成色情網(wǎng)站，受害者在訪問或嘗試下載內(nèi)容時(shí)會(huì)被植入木馬。
色情引誘
5.游戲資源傳播
盜版游戲私服：通過私服游戲客戶端或外掛工具捆綁木馬程序，吸引受害者下載。
論壇分享：在游戲論壇或社群中發(fā)布偽裝成游戲補(bǔ)丁、福利資源的木馬程序，誘導(dǎo)受害者下載。
游戲私服
6.常見web Nday漏洞
已知漏洞攻擊：利用受害者使用的網(wǎng)站中常見的Nday漏洞（如Struts2、Log4j、WebLogic等）直接植入木馬，入侵受害者系統(tǒng)。
工具化攻擊：借助自動(dòng)化漏洞掃描工具批量檢測(cè)受害者系統(tǒng)，并在漏洞存在時(shí)植入惡意程序。
鍵盤和鼠標(biāo)劫持：通過木馬獲取受害者設(shè)備的控制權(quán)限，利用受害者的社交軟件（如微信、企業(yè)微信、Telegram）向其聯(lián)系人群發(fā)惡意鏈接或文件，達(dá)到木馬傳播的目的。
信任鏈攻擊：偽裝為受害者本人發(fā)送的消息，增強(qiáng)惡意鏈接的可信度，從而擴(kuò)散木馬傳播。
社交平臺(tái)傳播
8.供應(yīng)鏈
軟件更新劫持：通過入侵第三方軟件庫，篡改其中的更新包或安裝包，將木馬偽裝為合法軟件的部分功能，借助供應(yīng)鏈傳播至受害者系統(tǒng)。
外包或合作渠道滲透：利用受感染的外包服務(wù)商或合作伙伴的程序或系統(tǒng)，以共享文件或系統(tǒng)集成為媒介傳播木馬。
Github投毒事件
木馬迭代
單文件加載器：釋放白加黑文件
白加黑實(shí)現(xiàn)權(quán)限維持
執(zhí)行后門模塊
而木馬在各個(gè)階段的攻擊手法，也隨著時(shí)間的推移在不斷演變。其中，加載器的種類日趨多樣，從最初的.exe文件發(fā)展到如今的.chm、.bat、.vbs、.msi等格式。同時(shí)，在編程語言的運(yùn)用上也越發(fā)多元，涵蓋了C、C++、C#、Go等多種語言。這一演變使得“銀狐”木馬能夠更加靈活地突破安全防御，增加了防范和檢測(cè)的難度。
偽裝文件名
第一階段：Gh0st
Gh0st 加載流程
Gh0st 服務(wù)端
大灰狼服務(wù)端
第二階段：DcRat
DcRat加載器
DcRat服務(wù)端
第三階段：Win0s
自“銀狐”木馬采用 Win0s 作為后門模塊以來，其權(quán)限維持技術(shù)在不斷升級(jí)，與安全軟件的對(duì)抗也進(jìn)入了白熱化階段?！般y狐”通過持續(xù)優(yōu)化惡意代碼加載器，結(jié)合內(nèi)存加載 PE、白加黑技術(shù)以及多樣化的進(jìn)程注入手段，不斷突破安全防線。其中，“銀狐”對(duì)白加黑技術(shù)的利用尤為突出，它通過劫持白名單軟件，將自身偽裝為可信程序，從而規(guī)避殺軟的監(jiān)控和檢測(cè)。此外，“銀狐”還會(huì)通過多種系統(tǒng)特性進(jìn)行提權(quán)操作，成功繞過進(jìn)程鏈檢測(cè)機(jī)制，并利用BYOVD技術(shù)在驅(qū)動(dòng)層展開對(duì)抗，由此確保攻擊者可以長期保持對(duì)目標(biāo)系統(tǒng)的控制，以實(shí)現(xiàn)攻擊行為的持續(xù)隱蔽與高效執(zhí)行。
RPC 創(chuàng)建system權(quán)限進(jìn)程
RPC提權(quán)
RPC創(chuàng)建計(jì)劃任務(wù)
RPC創(chuàng)建計(jì)劃任務(wù)
2.COM（組件對(duì)象模型）
計(jì)劃任務(wù)
計(jì)劃任務(wù)
提權(quán)
提權(quán)
創(chuàng)建快捷方式
快捷方式
設(shè)置防火墻
防火墻
回調(diào)執(zhí)行惡意代碼
回調(diào)執(zhí)行惡意代碼
越權(quán)復(fù)制文件
復(fù)制文件
3.注入
APC注入
APC注入
CreateRemoteThread & NtCreateThreadEx 注入
遠(yuǎn)程線程注入
ResumeThread 注入
線程注入
4.DDR（Dead Drop Resolvers）
遠(yuǎn)程載荷 云對(duì)象存儲(chǔ)COS
云對(duì)象存儲(chǔ)COS
云筆記
云筆記
5.BYOVD（Bring Your Own Vulnerable Driver）
BYOVD
Win0s服務(wù)端
第四階段：行為管理與監(jiān)控軟件的利用
IP-Guard是某廠商開發(fā)的行為監(jiān)控管理軟件，具有實(shí)時(shí)監(jiān)控與記錄、遠(yuǎn)程控制、文件管理等功能，能夠?qū)τ脩艚K端的操作行為進(jìn)行實(shí)時(shí)監(jiān)控、審計(jì)以及管理，廣泛應(yīng)用于企業(yè)內(nèi)部的安全管理。
IP-Guard 服務(wù)端
2.Ping32
Ping32 是國內(nèi)廠商開發(fā)的行為管理與監(jiān)控軟件，與IP-Guard類似，它通過多種功能模塊記錄、分析和控制終端用戶的行為，提供IT管理支持。
Ping32 服務(wù)端
溯源分析
Rejetto HFS（HTTP File Server） 是一款免費(fèi)的 Windows 上基于 HTTP 協(xié)議的輕量級(jí)文件服務(wù)器軟件，以簡單易用、高度自定義的特性而受到歡迎，常用于快速文件共享和小型文件服務(wù)器的搭建。
http://69.165.***.***:8888/
文件服務(wù)器
http://202.58.***.***:8821/
文件服務(wù)器
漏洞利用
2.搜索引擎
惡意攻擊者會(huì)將釣魚網(wǎng)頁進(jìn)行合法備案，將其偽裝成正規(guī)網(wǎng)站。因?yàn)楹戏▊浒冈黾恿司W(wǎng)站的可信度，所以用戶很容易對(duì)惡意網(wǎng)站產(chǎn)生信任。同時(shí)，攻擊者能夠利用搜索引擎的推廣機(jī)制，通過為惡意網(wǎng)頁支付推廣費(fèi)用來提高其曝光率和排名，從而誘騙用戶點(diǎn)擊釣魚網(wǎng)頁，下載并運(yùn)行病毒樣本。
釣魚網(wǎng)站信息
搜索引擎廣告推廣
信息溯源
域名指向公司的工商信息
樣本分析
該樣本的加載流程圖如下：
加載流程圖
檢測(cè)虛擬機(jī)
釋放惡意代碼
接著，樣本通過APC & NtTestAlert的方式執(zhí)行惡意代碼。
APC 注入
內(nèi)存加載DLL
1.若為Win10、Win11系統(tǒng)：
進(jìn)程名稱檢測(cè)：檢測(cè)程序名稱是否包含執(zhí)行數(shù)字。
注入：采用線程池注入的方法，將惡意代碼注入到explorer.exe 中。
2.若為Win10以下系統(tǒng)：
注入方式
匹配文件名稱
檢測(cè)完成后，將惡意代碼以及后門網(wǎng)址寫入注冊(cè)表\HKEY_CURRENT_USER\Console，并釋放到本地文件C:\Users\Public\Downloads\bb.jpg 中。
惡意代碼注冊(cè)表
線程池注入
注冊(cè)表修改
注入explorer
下載后門模塊
導(dǎo)出函數(shù)
上線模塊.dll
分析發(fā)現(xiàn)，該樣本的后門模塊與2024年8月份火絨安全發(fā)布的“李鬼”軟件暗設(shè)后門，對(duì)抗殺軟侵蝕系統(tǒng)文章中的后門模塊類型相同，同屬于Win0s后門，具體細(xì)節(jié)可查看往期分析報(bào)告。
自動(dòng)截圖
附錄
1.分析樣本C&C：
2.分析樣本HASH：
3.近期活躍銀狐樣本C&C：
4.近期活躍銀狐樣本HASH：
