告发“银狐”真容，，让威胁无处遁形

颁布功夫 2024-08-08

编者按：：


近期，，OG东方厅北斗安全运营中心通过天阗威胁分析一体机（TAR）监测到一路 “(毒鼠)衔接C2服务器”告警事务，，第一功夫与产品线进行溯源取证分析，，确认源头是某员工装置了LetsVPN。�！＞鹁ν哦臃治雠卸�，，该LetsVPN装置包被绑缚了银狐的WinOS 4.0远控后门。�！１疚慕咛甯娣⒄庖皇挛竦氖寄�，，分解其中的安全缝隙与风险，，为企业网络安全防护提供警示与借鉴。�！�


何为“银狐”？？


银狐木马是一类针对特定指标群体进行垂钓攻击的恶意软件，，其重要攻击对象蕴含企事业单元的治理人员、、财政人员、、销售人员、、金融从业人员以及电商卖家等。�！Ｕ饫嗄韭硗ü嘀旨苛┙写�，，对受害者的推算机系统进行节制和窃取隐衷数据，，进而为后续的诳骗活动提供方便。�！�

“银狐”传布方式


银狐木马重要通过以下几种方式进行传布：：


1、、即时通讯工具（IM）垂钓

攻击者通过QQ、、微信等即时通讯工具发送垂钓文件或网站链接，，诱导受害者点击并进行传布。�！Ｕ庑┪募蛄唇油ǔ；峒僮俺捎涤杏盏夹缘拿�，，如“成就单”“转账通知单”等。�！�


2、、垂钓网站

攻击者会伪造税务机关、、金融机构等官方网站的垂钓网站，，使用微信垂钓等方式进行传布。�！Ｕ庑┩就ǔ；嵋苑⑵�、、单据、、报税、、税务软件等名义诱导受害者下载并执行恶意软件。�！�


3、、假装正常软件

银狐木马还会假装成常用软件，，如WPS、、MS Office、、PDF、、微信、、钉钉等数十款软件，，通过在主流搜索引擎上采办流量进行垂钓传布，，这是目前传布量最大的一种传布方式。�！�

样本分析


从官网下载的装置包lest-test.3.1.2.msi，，被绑缚了银狐WinOS 4.0远控后门，，官网链接：：https://letpvpn.com。�！７治鋈缦�：：


MSI文件，，即Microsoft Installer的装置包，，专为Windows系统设计，，用于装置、、卸载、、修复及更新软件。�！Ｗ魑募迨�，，它不由用户直接执行，，而是由系统的MS Installer服务（运行于SYSTEM账户）处置。�！Ｕ庖换撇唤龈秤璨僮髦卫碓比ㄏ�，，还可能触及SYSTEM最高权限，，实现高效安全的软件治理。�！�


1、、通过Orca工具，，查看lest-test.3.1.2.msi装置包文件。�！�


图片1.png


2、、通过装置包配置详情显著能够看出：：装置包里的文件“__4”被装置保留为文件名“1”，，“xQJnSaS.exe”被保留为文件名“XPsdjAV.exe”。�！�


3、、运行lest-test.3.1.2.msi装置包之后，，装置开释的文件。�！�


图片2.png


4、、与Orca工具查看的详情齐全对应的上，，其中“xQGEJun.exe”是真正的letsvpn装置包，，用来蛊惑受害者。�！�


技术道理


“XPsdjAV.exe”“libcurl.dll”和“1”是以白加黑大局运行的WinOS 4.0远控。�！Ｆ渲�，，“XPsdjAV.exe”自身是白文件，，且罕见字署名。�！！！發ibcurl.dll”是被篡改的恶意文件。�！！！發ibcurl.dll”被“XPsdjAV.exe”加载执行后，，读取文件“1”，，解密出WinOS 4.0的远控主题代码。�！�

图片3.png

这是一种典型的"白加黑"攻击模式。�！Ｔ谡庵帜Ｊ较�，，很多终端杀毒软件会默认信赖那些带有有效数字署名的法式，，以为它们是安全的。�！Ｈ欢�，，攻击者可能会利用这种机制来实现所谓的"免杀"成效。�！�

具体来说，，攻击者可能会使用一个带罕见字署名且未被篡改的合法法式（例如"XPsdjAV.exe"），，来糊弄杀毒软件。�！６�，，他们可能会批改该法式所依赖并挪用的DLL文件（例如"libcurl.dll"），，使得恶意的DLL文件被加载并执行。�！４送�，，攻击者将主题的远控代码（例如WinOS 4.0）以加密大局保留在文件"1"中，，这使得杀毒软件难以检测到其存在。�！�


OG东方厅解决规划


1、、高级威胁检测规定


银狐木马攻击手法虽多变，，但均有�？？裳�，，只有有攻击就会有痕迹。�！AR内置精准“狩狐”有关检测规定，，安全钻研团队缜密跟踪最新攻击伎俩，，确保检测规定精准监测。�！�


2、、高级沙箱检出能力


设备内置多沙箱环境，，涵盖window、、Linux等环境，，选取静态、、缝隙、、行为分析，，内置反沙箱检测机制，，对反沙箱、、反检测等行为进行躲避，，全面监测样本运行过程，，深刻发现银狐木马的威胁作为。�！�


3、、加密流量模型分析


设备嵌入AI算法模型，，涵盖ICMP、、DNS、、HTTP、、HTTPS、、Webshell隧道模型，，以“机械学习、、统推算法、、威胁谍报、、深度包检测”为技术底座，，构建“盛行为分析、、域名分析、、证书分析、、包特点分析、、握手信息分析”的多模型综合决策系统。�！�


4、、天阗AI智能体赋能


天阗AI智能体以“智检测，，慧守护”为理念，，凭据分歧检测场景智能化调度各类检测工具和算法，，利用LLM推理总结能力对检测了局“深加工”，，大幅度提高检测精准度和整体检测机能，，援手安全人员更好地相识攻击事务的性质、、起源和潜在影响。�！�


天阗威胁分析一体机（TAR）通过天阗AI智能体赋能的高级威胁检测、、恶意文件检测、、加密流量检测等技术伎俩全面监测银狐木马，，深刻洞察潜在威胁，，有效预防风险扩散，，为客户网络筑起安全防线。�！�