揭破“银狐”真容，，，，，，，让威胁无处遁形

宣布时间 2024-08-08

编者按：


近期，，，，，，，鉴黑担保网北斗清静运营中心通过天阗威胁剖析一体机（TAR）监测到一起 “(毒鼠)毗连C2效劳器”告警事务，，，，，，，第一时间与产品线举行溯源取证剖析，，，，，，，确认源头是某员工装置了LetsVPN。。。。。。经金睛团队剖析判断，，，，，，，该LetsVPN装置包被捆绑了银狐的WinOS 4.0远控后门。。。。。。本文将详细揭破这一事务的委屈，，，，，，，剖析其中的清静误差与危害，，，，，，，为企业网络清静防护提供警示与借鉴。。。。。。


作甚“银狐”？？？？？？？


银狐木马是一类针对特定目的群体举行垂纶攻击的恶意软件，，，，，，，其主要攻击工具包括企事业单位的治理职员、财务职员、销售职员、金融从业职员以及电商卖家等。。。。。。这类木马通过多种手段举行撒播，，，，，，，对受害者的盘算机系统举行控制和窃取隐私数据，，，，，，，进而为后续的诈骗活动提供便当。。。。。。

“银狐”撒播方法


银狐木马主要通过以下几种方法举行撒播：


1、即时通讯工具（IM）垂纶

攻击者通过QQ、微信等即时通讯工具发送垂纶文件或网站链接，，，，，，，诱导受害者点击并举行撒播。。。。。。这些文件或链接通常唬唬会伪装成具有诱导性的名称，，，，，，，如“效果单”“转账通知单”等。。。。。。


2、垂纶网站

攻击者会伪造税务机关、金融机构等官方网站的垂纶网站，，，，，，，使用微信垂纶等方法举行撒播。。。。。。这些网站通常唬唬会以发票、票据、报税、税务软件等名义诱导受害者下载并执行恶意软件。。。。。。


3、伪装正常软件

银狐木马还会伪装成常用软件，，，，，，，如WPS、MS Office、PDF、微信、钉钉等数十款软件，，，，，，，通过在主流搜索引擎上购置流量举行垂纶撒播，，，，，，，这是现在撒播量最大的一种撒播方法。。。。。。

样天职析


从官网下载的装置包lest-test.3.1.2.msi，，，，，，，被捆绑了银狐WinOS 4.0远控后门，，，，，，，官网链接：https://letpvpn.com。。。。。。剖析如下：


MSI文件，，，，，，，即Microsoft Installer的装置包，，，，，，，专为Windows系统设计，，，，，，，用于装置、卸载、修复及更新软件。。。。。。作为文件名堂，，，，，，，它不由用户直接执行，，，，，，，而是由系统的MS Installer效劳（运行于SYSTEM账户）处置惩罚。。。。。。这一机制不但付与操作治理员权限，，，，，，，还可能触及SYSTEM最高权限，，，，，，，实现高效清静的软件治理。。。。。。


1、通过Orca工具，，，，，，，审查lest-test.3.1.2.msi装置包文件。。。。。。


图片1.png


2、通过装置包设置详情显着可以看出：装置包里的文件“__4”被装置生涯为文件名“1”，，，，，，，“xQJnSaS.exe”被生涯为文件名“XPsdjAV.exe”。。。。。。


3、运行lest-test.3.1.2.msi装置包之后，，，，，，，装置释放的文件。。。。。。


图片2.png


4、与Orca工具审查的详情完全对应的上，，，，，，，其中“xQGEJun.exe”是真正的letsvpn装置包，，，，，，，用来疑惑受害者。。。。。。


手艺原理


“XPsdjAV.exe”“libcurl.dll”和“1”是以白加黑形式运行的WinOS 4.0远控。。。。。。其中，，，，，，，“XPsdjAV.exe”自己是白文件，，，，，，，且有数字署名。。。。。。“libcurl.dll”是被改动的恶意文件。。。。。。“libcurl.dll”被“XPsdjAV.exe”加载执行后，，，，，，，读取文件“1”，，，，，，，解密出WinOS 4.0的远控焦点代码。。。。。。

图片3.png

这是一种典范的"白加黑"攻击模式。。。。。。在这种模式下，，，，，，，许多终端杀毒软件会默认信任那些带有有用数字署名的程序，，，，，，，以为它们是清静的。。。。。。然而，，，，，，，攻击者可能会使用这种机制来实现所谓的"免杀"效果。。。。。。

详细来说，，，，，，，攻击者可能会使用一个带有数字署名且未被改动的正当程序（例如"XPsdjAV.exe"），，，，，，，来诱骗杀毒软件。。。。。。然后，，，，，，，他们可能会修改该程序所依赖并挪用的DLL文件（例如"libcurl.dll"），，，，，，，使得恶意的DLL文件被加载并执行。。。。。。别的，，，，，，，攻击者将焦点的远控代码（例如WinOS 4.0）以加密形式生涯在文件"1"中，，，，，，，这使得杀毒软件难以检测到其保存。。。。。。


鉴黑担保网解决计划


1、高级威胁检测规则


银狐木马攻击手法虽多变，，，，，，，但均有�？？？？？？？裳�，，，，，，，只要有攻击就会有痕迹。。。。。。TAR内置精准“狩狐”相关检测规则，，，，，，，清静研究团队细密跟踪最新攻击手段，，，，，，，确保检测规则精准监测。。。。。。


2、高级沙箱检出能力


装备内置多沙箱情形，，，，，，，涵盖window、Linux等情形，，，，，，，接纳静态、误差、行为剖析，，，，，，，内置反沙箱检测机制，，，，，，，对反沙箱、反检测等行为举行规避，，，，，，，周全监测样本运行历程，，，，，，，深入发明银狐木马的威胁行动。。。。。。


3、加密流量模子剖析


装备嵌入AI算法模子，，，，，，，涵盖ICMP、DNS、HTTP、HTTPS、Webshell隧道模子，，，，，，，以“机械学习、统盘算法、威胁情报、深度包检测”为手艺底座，，，，，，，构建“盛行为剖析、域名剖析、证书剖析、包特征剖析、握手信息剖析”的多模子综合决议系统。。。。。。


4、天阗AI智能体赋能


天阗AI智能体以“智检测，，，，，，，慧守护”为理念，，，，，，，依据差别检测场景智能化调理种种检测工具和算法，，，，，，，使用LLM推理总结能力对检测效果“深加工”，，，，，，，大幅度提高检测精准度和整体检测性能，，，，，，，资助清静职员更好地相识攻击事务的实质、泉源和潜在影响。。。。。。


天阗威胁剖析一体机（TAR）通过天阗AI智能体赋能的高级威胁检测、恶意文件检测、加密流量检测等手艺手段周全监测银狐木马，，，，，，，深入洞察潜在威胁，，，，，，，有用阻止危害扩散，，，，，，，为客户网络筑起清静防地。。。。。。