魅影潜在与仿冒陷阱：银狐组织借OpenClaw装置包实验攻击活动深度剖析
宣布时间 2026-03-26“为智能时代立信，，，，，，，为立异价值护航。。。。。。—— 鉴黑担保网”
随着开源AI署理框架OpenClaw（“龙虾”）的爆火，，，，，，，黑产团伙“银狐”迅速借势提倡垂纶攻击活动。。。。。。通过天生高仿垂纶页面，，，，，，，注册仿冒域名，，，，，，，使用搜索引擎优化（SEO）和付费广告将恶意链接置顶，，，，，，，诱导用户下载伪装成“OpenClaw外地安排工具”的恶意装置包。。。。。。用户执行恶意装置包后，，，，，，，在释放出正当装置软件的同时，，，，，，，漆黑执行恶意程序，，，，，，，最终释放并执行远控木马，，，，，，，对用户盘算机举行控制，，，，，，，实现信息窃取、内网渗透、横向移动等恶意操作。。。。。。攻击者通过针对装置链路的投毒，，，，，，，告竣了对目的主机险些“零门槛”的远程接受。。。。。。
鉴黑担保网威胁情报中心（VenusEye）近期追踪到银狐组织多个仿冒OpenClaw的站点，，，，，，，这些站点上的恶意装置包接纳了相同的攻击手法，，，，，，，凭证样本特征和ioc关联，，，，，，，这些攻击活动都归由于银狐组织。。。。。。下文以一个典范的样本为例举行剖析。。。。。。
用户会见仿冒网站http[:]//ai-openclaw.com.cn/，，，，，，，能看到较为细腻的下载页面，，，，，，，如下图所示：
用户点击页面中的「下载OpenClaw」按钮后，，，，，，，下载名为opealeAi_7beAole-x64.zip的压缩包。。。。。。该压缩包内包括可执行程序opealeAi_7beAole-x64.exe，，，，，，，其MD5值为ff28115a55b9a11d92bbb458efe0b940。。。。。。
样天职析
用户执行该恶意装置包之后，，，，，，，在释放出正当装置程序的同时，，，，，，，会漆黑执行恶意程序。。。。。。通过侧加载方法执行恶意DLL�？？？�，，，，，，，读取嵌入了恶意数据的png文件，，，，，，，解密出shellcode并执行，，，，，，，经由两层解压执行，，，，，，，最终执行具有远程控制功效的恶意DLL。。。。。。整体执行流程如下图所示：
原始恶意装置包
opealeAi_7beAole-x64.exe是原始恶意装置包，，，，，，，通过Inno Setup工具打包而成，，，，，，，在装置剧本中指定了文件的装置路径，，，，，，，并指定在装置历程中执行名为“9k9UV.exe”的文件。。。。。。如下图所示：
用户执行opealeAi_7beAole-x64.exe之后，，，，，，，会将多个文件释放到C:\Program Files (x86)\165jut\yPSTY中。。。。。。装置程序在桌面建设名为“Claw”的快捷方法，，，，，，，指向文件C:\Program Files (x86)\165jut\yPSTY\BTM1j\OpenClaw_77b4b0ac.exe，，，，，，，以疑惑受害者。。。。。。BTM1j文件夹中除了OpenClaw_77b4b0ac.exe之外，，，，，，，尚有一个图标文件。。。。。。如下图所示：
OpenClaw_77b4b0ac.exe是海内某公司开发的正当的OpenClaw外地安排工具，，，，，，，具有有用的数字署名，，，，，，，如下图所示：
运行该程序，，，，，，，会举行OpenClaw的外地安排，，，，，，，如下图所示：
原始恶意装置包会将3个文件释放到dhbZ4文件夹中，，，，，，，如下图所示：
其中BxakJ.Mx是png名堂文件，，，，，，，可以通过图片审查软件正常翻开。。。。。。如下图所示：
BxakJ.Mx中，，，，，，，在正常图片数据之后嵌入了多个恶意数据块，，，，，，，每个恶意数据块为0x200C字节，，，，，，，其中数据部分占0x2000字节。。。。。。如下图所示：
恶意DLL
9k9UV.exe会被原始恶意装置包启动，，，，，，，该文件是经由改动的白文件，，，，，，，程序启动后，，，，，，，会自动加载同目录下的恶意DLL�？？？関TPr.4DH。。。。。。在 vTPr.4DH执行历程中，，，，，，，首先定位目今历程所在目录，，，，，，，读取文件BxakJ.Mx中的恶意数据，，，，，，，通过RC4算法解密各个恶意数据块并举行拼接，，，，，，，随后建设纤程(Fiber)，，，，，，，在纤程中将解密获得的明文作为shellcode执行。。。。。。整体流程如下图所示：
建设纤程执行shellcode如下图所示：
第一层payload
该shellcode由两部分组成，，，，，，，第一部分是加载器，，，，，，，第二部分是经由压缩的DLL文件数据。。。。。。加载器的功效是从第二部分数据解压缩出DLL文件，，，，，，，并将其加载执行。。。。。。如下图所示：
第二部分的压缩数据如下图所示：
DLL文件的数据压缩算法为LZNT1，，，，，，，解压缩之后如下图所示：
解压缩后的DLL文件编译时间为2026-03-11，，，，，，，该文件经由VMP加壳，，，，，，，代码严重混淆。。。。。。如下图所示：
该DLL主要有以下3个功效：
? 首先将目今文件夹及其中的文件设置为隐藏和系统属性；；；；；
? 解密出远程控制程序的设置信息，，，，，，，将设置信息的各字段加密后举行Base64编码；；；；；
? 再解密出一段shellcode，，，，，，，凭证操作系统版本选择差别的历程举行注入。。。。。。在Windows7系统中，，，，，，，将shellcode注入目今历程自身；；；；；在Windows10及以上版本的操作系统中，，，，，，，选择系统历程（例如sihost.exe）举行注入。。。。。。
注入到历程中的shellcode与上一阶段的shellcode类似，，，，，，，同样由两部分组成，，，，，，，其功效同样是解压缩出DLL文件并加载执行。。。。。。
数据压缩算法同样为LZNT1，，，，，，，解压缩前后如下图所示：
加载该DLL并执行其入口函数，，，，，，，将设置信息作为参数传入。。。。。。
最终payload
解压缩出的DLL文件是最终payload，，，，，，，其功效是远程控制工具。。。。。。该DLL的编译时间为2026-01-08，，，，，，，也经由vmp加壳处置惩罚。。。。。。如下图所示：
设置信息被作为参数转达到DLL的入口函数，，，，，，，其中包括IP、端口、木马版本、时间戳等，，，，，，，这些信息经由异或加密和Base64编码。。。。。。部分内容如下图所示：
设置信息各字段的内容和寄义如下表所示：
该DLL启动后，，，，，，，首先在%ALLUSERSPROFILE%下建设名为6C9A2AEAD706160111D90B7F3748D150的文件夹并设置为隐藏和系统属性，，，，，，，在其中建设文件config.ini并写入设置信息。。。。。。如下图所示：
config.ini文件的内容经由异或加密，，，，，，，其中包括ip、port、ip1、port1、ip2、port2、version等字段，，，，，，，如下图所示：
然后依次毗连设置信息中指定的各个C2，，，，，，，若是毗连失败，，，，，，，则切换到下一个。。。。。。网络毗连情形如下图所示：
毗连C2乐成后，，，，，，，获取本机的盘算机名、用户名、操作系统版本、MAC地点、内网IP地点、目今时间、Telegram和微信装置情形等信息，，，，，，，压缩并加密后发送到C2。。。。。。网络的信息如下图所示：
将加密后的数据举行封装，，，，，，，在头部增添了数据长度和牢靠值0x11、0x22、0x33、0x44，，，，，，，作为上线包发送到C2。。。。。。对应的网络流量如下图所示：
将上线包的网络流量解密、解压，，，，，，，可以获得原始的明文信息，，，，，，，如下图所示：
然后从C2吸收控制指令并执行，，，，，，，实现远程控制功效，，，，，，，包括文件上传、文件下载、文件执行、装置插件、键盘纪录、CMD下令、绕过UAC等。。。。。。剖析控制指令并执行，，，，，，，如下图所示：
其中绕过UAC举行提权如下图所示：
吸收shellcode并建设线程执行，，，，，，，如下图所示：
关联样本
我们还追踪到银狐组织的另一个仿冒OpenClaw的站点 https[:]//web-openclaw.com.cn/，，，，，，，该站点界面如下图所示：
从该站点下载的文件名为openclaw.zip，，，，，，，其中包括名为openclaw.exe的恶意程序。。。。。。该恶意程序接纳与上文相同的攻击手法和流程，，，，，，，释放出正当的豆包v2.2.3版以疑惑受害者。。。。。。如下图所示：
装置程序漆黑释放并启动恶意�？？？�，，，，，，，最终执行远程控制程序。。。。。。C2为202.95.11.220和yyyndym.icu。。。。。。
提防建议
银狐是活跃于东南亚区域的中文黑灰产团伙，，，，，，，主要通过仿冒网站和伪装热门软件装置包实验垂纶攻击，，，，，，，目的涵盖金融、电商、教育、设计等多个行业。。。。。。
为有用提防银狐组织的攻击活动，，，，，，，建议用户做好以下步伐：
? 通过官方网站或可信应用市肆获取软件装置包，，，，，，，切勿点击搜索引擎广告位中的链接；；；；；
? 装置前右键审查文件属性，，，，，，，确认数字署名刊行方为正规企业；；；；；
? 装置杀毒软件并实时更新；；；；；
? 安排具备垂纶网站识别和恶意域名阻挡能力的网关/防火墙；；；；；
? 终端安排支持行为剖析能力的 EDR 产品，，，，，，，并开启历程注入、内存木马等高级威胁检测功效。。。。。。
总结
银狐黑产组织借OpenClaw（“龙虾”）爆火之势提倡的垂纶攻击，，，，，，，是黑产团伙“借势热门、精准攻击”的典范案例，，，，，，，其攻击链路缜密、伪装性强、危害极大，，，，，，，不但威胁小我私家用户的信息清静，，，，，，，更对企业、科研机构等种种主体的网络清静组成严肃挑战。。。。。。这也提醒宽大用户，，，，，，，在追逐热门手艺工具时，，，，，，，务必提高清静小心，，，，，，，通过官方渠道下载相关程序，，，，，，，仔细核验域名真伪，，，，，，，阻止点击生疏链接，，，，，，，同时实时更新清静软件、修复系统误差，，，，，，，从源头提防此类垂纶攻击，，，，，，，守护自身信息与系统清静。。。。。。
IoCs
域名
dcleb.com
yyyndym.icu
IP
47.242.9.11
202.95.11.220
MD5
73390ba587e5fd80ae6680480c00b64f (openclawAI 7beAolenc.zip)
ff28115a55b9a11d92bbb458efe0b940 (opealeAi_7beAole-x64.exe)
90dc6ea84b87148ce4eeb723cdc1bf48 (vTPr.4DH，，，，，，，恶意DLL�？？？�)
1e3908b4208ba22a4c5297652323841d (openclaw.zip)
e839115ff87a0c12b3b3ec5c4c98a41a (openclaw.exe)
c838a8b4b5f7b8c4fa29beffc23aa016 (9.3x8，，，，，，，恶意DLL�？？？�)
京公网安备11010802024551号