告发“银狐」劓容，，，，，，，让威胁无处逃形

颁布功夫 2024-08-08

编者按：


近期，，，，，，，8827太阳集团北斗安全运营中心通过天阗威胁分析一体机（TAR）监测到一路 “(毒鼠)衔接C2服务器”告警事务，，，，，，，第一功夫与产品线进行溯源取证分析，，，，，，，确认源头是某员工装置了LetsVPN。。。。。 。。。经金睛团队分析判定，，，，，，，该LetsVPN装置包被绑缚了银狐的WinOS 4.0远控后门。。。。。 。。。本文将具体告发这一事务的始末，，，，，，，分解其中的安全缝隙与风险，，，，，，，为企业网络安全防护提供警示与借鉴。。。。。 。。。


何为“银狐”？？？？？


银狐木马是一类针对特定指标群体进行垂钓攻击的恶意软件，，，，，，，其重要攻击对象蕴含企事业单元的治理人员、财政人员、销售人员、金融从业人员以及电商卖家等。。。。。 。。。这类木马通过多种伎俩进行传布，，，，，，，对受害者的推算机系统进行节造和窃取隐衷数据，，，，，，，进而为后续的诳骗活动提供方便。。。。。 。。。

“银狐”传布方式


银狐木马重要通过以下几种方式进行传布：


1、即时通讯工具（IM）垂钓

攻击者通过QQ、微信等即时通讯工具发送垂钓文件或网站链接，，，，，，，诱导受害者点击并进行传布。。。。。 。。。这些文件或链接通�；；；；；；；；峒僮俺捎涤杏盏夹缘拿疲�，，，，，如“成就单”“转账通知单”等。。。。。 。。。


2、垂钓网站

攻击者会伪造税务机关、金融机构等官方网站的垂钓网站，，，，，，，使用微信垂钓等方式进行传布。。。。。 。。。这些网站通�；；；；；；；；嵋苑⑵薄⒌ゾ荨⒈ㄋ啊⑺拔袢砑让逵盏际芎φ呦略夭⒅葱卸褚馊砑�。。。。。 。。。


3、假装正常软件

银狐木马还会假装成常用软件，，，，，，，如WPS、MS Office、PDF、微信、钉钉等数十款软件，，，，，，，通过在主流搜索引擎上采办流量进行垂钓传布，，，，，，，这是目前传布量最大的一种传布方式。。。。。 。。。

样本分析


从官网下载的装置包lest-test.3.1.2.msi，，，，，，，被绑缚了银狐WinOS 4.0远控后门，，，，，，，官网链接：https://letpvpn.com。。。。。 。。。分析如下：


MSI文件，，，，，，，即Microsoft Installer的装置包，，，，，，，专为Windows系统设计，，，，，，，用于装置、卸载、建复及更新软件。。。。。 。。。作为文件体式，，，，，，，它不由用户直接执行，，，，，，，而是由系统的MS Installer服务（运行于SYSTEM账户）处置。。。。。 。。。这一机造不仅赋予操作治理员权限，，，，，，，还可能触及SYSTEM最高权限，，，，，，，实现高效安全的软件治理。。。。。 。。。


1、通过Orca工具，，，，，，，查看lest-test.3.1.2.msi装置包文件。。。。。 。。。


图片1.png


2、通过装置包配置详情显著能够看出：装置包里的文件“__4”被装置保留为文件名“1”，，，，，，，“xQJnSaS.exe”被保留为文件名“XPsdjAV.exe”。。。。。 。。。


3、运行lest-test.3.1.2.msi装置包之后，，，，，，，装置开释的文件。。。。。 。。。


图片2.png


4、与Orca工具查看的详情齐全对应的上，，，，，，，其钟装xQGEJun.exe”是真正的letsvpn装置包，，，，，，，用来蛊惑受害者。。。。。 。。。


技术道理


“XPsdjAV.exe”“libcurl.dll”和“1”是以白加黑大局运行的WinOS 4.0远控。。。。。 。。。其中，，，，，，，“XPsdjAV.exe”自身是白文件，，，，，，，且罕见字署名。。。。。 。。。“libcurl.dll”是被篡改的恶意文件。。。。。 。。。“libcurl.dll”被“XPsdjAV.exe”加载执行后，，，，，，，读取文件“1”，，，，，，，解密出WinOS 4.0的远控主题代码。。。。。 。。。

图片3.png

这是一种典型的"白加黑"攻击模式。。。。。 。。。在这种模式下，，，，，，，很多终端杀毒软件会默认信赖那些带有有效数字署名的法式，，，，，，，以为它们是安全的。。。。。 。。。然而，，，，，，，攻击者可能会利用这种机造来实现所谓的"免杀"成效。。。。。 。。。

具体来说，，，，，，，攻击者可能会使用一个带罕见字署名且未被篡改的合法法式（例如"XPsdjAV.exe"），，，，，，，来糊弄杀毒软件。。。。。 。。。而后，，，，，，，他们可能会批改该法式所依赖并挪用的DLL文件（例如"libcurl.dll"），，，，，，，使得恶意的DLL文件被加载并执行。。。。。 。。。此表，，，，，，，攻击者将主题的远控代码（例如WinOS 4.0）以加密大局保留在文件"1"中，，，，，，，这使得杀毒软件难以检测到其存在。。。。。 。。。


8827太阳集团解决规划


1、高级威胁检测规定


银狐木马攻击手法虽多变，，，，，，，但均有�？？？？？裳�，，，，，只有有攻击就会有痕迹。。。。。 。。。TAR内置精准“狩狐”有关检测规定，，，，，，，安全钻研团队缜密跟踪最新攻击伎俩，，，，，，，确保检测规定精准监测。。。。。 。。。


2、高级沙箱检出能力


设备内置多沙箱环境，，，，，，，涵盖window、Linux等环境，，，，，，，选取静态、缝隙、行为分析，，，，，，，内置反沙箱检测机造，，，，，，，对反沙箱、反检测等行为进行躲避，，，，，，，全面监测样本运行过程，，，，，，，深刻发现银狐木马的威胁作为。。。。。 。。。


3、加密流量模型分析


设备嵌入AI算法模型，，，，，，，涵盖ICMP、DNS、HTTP、HTTPS、Webshell隧路模型，，，，，，，以“机械进建、统推算法、威胁谍报、深度包检测”为技术底座，，，，，，，构建“盛行为分析、域名分析、证书分析、包特点分析、握手信息分析”的多模型综合决策系统。。。。。 。。。


4、天阗AI智能体赋能


天阗AI智能体以“智检测，，，，，，，慧守护”为理想，，，，，，，凭据分歧检测场景智能化调度各类检测工具和算法，，，，，，，利用LLM推理总结能力对检测了局“深加工”，，，，，，，大幅度提高检测精准度和整体检测机能，，，，，，，援手安全人员更好地相识攻击事务的性质、起源和潜在影响。。。。。 。。。


天阗威胁分析一体机（TAR）通过天阗AI智能体赋能的高级威胁检测、恶意文件检测、加密流量检测等技术伎俩全面监测银狐木马，，，，，，，深刻洞察潜在威胁，，，，，，，有效预防风险扩散，，，，，，，为客户网络筑起安全防线。。。。。 。。。