魅影埋伏与仿冒陷阱：：银狐组织借OpenClaw装置包执行攻击活动深度分析
颁布功夫 2026-03-26“为智能时期立信，为创新价值护航�！� OG东方厅”
随着开源AI代理框架OpenClaw（“龙虾”）的爆火，黑产团伙“银狐”迅速借势提议垂钓攻击活动。通过天生高仿垂钓页面，注册仿冒域名，利用搜索引擎优化（SEO）和付费告白将恶意链接置顶，诱导用户下载假装成“OpenClaw本地部署工具”的恶意装置包。用户执行恶意装置包后，在开释出合法装置软件的同时，暗中执行恶意法式，最终开释并执行远控木马，对用户推算机进行节制，实现信息窃取 、、内网渗入 、、横向移动等恶意操作。攻击者通过针对装置链路的投毒，达成了对指标主机险些“零门槛”的远程收受。
OG东方厅威胁谍报中心（VenusEye）近期追踪到银狐组织多个仿冒OpenClaw的站点，这些站点上的恶意装置包选取了一样的攻击手法，凭据样本特点和ioc关联，这些攻击活动都归由于银狐组织。下文以一个典型的样本为例进行分析。
用户接见仿冒网站http[:]//ai-openclaw.com.cn/，能看到较为精彩的下载页面，如下图所示：：
用户点击页面中的「下载OpenClaw」按钮后，下载名为opealeAi_7beAole-x64.zip的压缩包。该压缩包内蕴含可执行法式opealeAi_7beAole-x64.exe，其MD5值为ff28115a55b9a11d92bbb458efe0b940。
样本分析
用户执行该恶意装置包之后，在开释出合法装置法式的同时，会暗中执行恶意法式。通过侧加载方式执行恶意DLL�？？�，读取嵌入了恶意数据的png文件，解密出shellcode并执行，经过两层解压执行，最终执行拥有远程节制职能的恶意DLL。整体执行流程如下图所示：：
原始恶意装置包
opealeAi_7beAole-x64.exe是原始恶意装置包，通过Inno Setup工具打包而成，在装置剧本中指定了文件的装置蹊径，并指定在装置过程中执行名为“9k9UV.exe”的文件。如下图所示：：
用户执行opealeAi_7beAole-x64.exe之后，会将多个文件开释到C:\Program Files (x86)\165jut\yPSTY中。装置法式在桌面创建名为“Claw”的快捷方式，指向文件C:\Program Files (x86)\165jut\yPSTY\BTM1j\OpenClaw_77b4b0ac.exe，以蛊惑受害者。BTM1j文件夹中除了OpenClaw_77b4b0ac.exe之外，还有一个图标文件。如下图所示：：
OpenClaw_77b4b0ac.exe是国内某公司开发的合法的OpenClaw本地部署工具，拥有有效的数字署名，如下图所示：：
运行该法式，会进行OpenClaw的本地部署，如下图所示：：
原始恶意装置包会将3个文件开释到dhbZ4文件夹中，如下图所示：：
其中BxakJ.Mx是png体式文件，能够通过图片查看软件正常打开。如下图所示：：
BxakJ.Mx中，在正常图片数据之后嵌入了多个恶意数据块，每个恶意数据块为0x200C字节，其中数据部门占0x2000字节。如下图所示：：
恶意DLL
9k9UV.exe会被原始恶意装置包启动，该文件是经过篡改的白文件，法式启动后，会自动加载同目录下的恶意DLL�？？関TPr.4DH。在 vTPr.4DH执行过程中，首先定位当前过程地点目录，读取文件BxakJ.Mx中的恶意数据，通过RC4算法解密各个恶意数据块并进行拼接，随后创建纤程(Fiber)，在纤程中将解密得到的明文作为shellcode执行。整体流程如下图所示：：
创建纤程执行shellcode如下图所示：：
第一层payload
该shellcode由两部门组成，第一部门是加载器，第二部门是经过压缩的DLL文件数据。加载器的职能是从第二部门数据解压缩出DLL文件，并将其加载执行。如下图所示：：
第二部门的压缩数据如下图所示：：
DLL文件的数据压缩算法为LZNT1，解压缩之后如下图所示：：
解压缩后的DLL文件编译功夫为2026-03-11，该文件经过VMP加壳，代码严重混合。如下图所示：：
该DLL重要有以下3个职能：：
? 首先将当前文件夹及其中的文件设置为暗藏和系统属性；
? 解密出远程节制法式的配相信息，将配相信息的各字段加密后进行Base64编码；
? 再解密出一段shellcode，凭据操作系统版本选择分歧的过程进行注入。在Windows7系统中，将shellcode注入当前过程自身；在Windows10及以上版本的操作系统中，选择系统过程（例如sihost.exe）进行注入。
注入到过程中的shellcode与上一阶段的shellcode类似，同样由两部门组成，其职能同样是解压缩出DLL文件并加载执行。
数据压缩算法同样为LZNT1，解压缩前后如下图所示：：
加载该DLL并执行其入口函数，将配相信息作为参数传入。
最终payload
解压缩出的DLL文件是最终payload，其职能是远程节制工具。该DLL的编译功夫为2026-01-08，也经过vmp加壳处置。如下图所示：：
配相信息被作为参数传递到DLL的入口函数，其中蕴含IP 、、端口 、、木马版本 、、功夫戳等，这些信息经过异或加密和Base64编码。部门内容如下图所示：：
配相信息各字段的内容和寓意如下表所示：：
该DLL启动后，首先在%ALLUSERSPROFILE%下创建名为6C9A2AEAD706160111D90B7F3748D150的文件夹并设置为暗藏和系统属性，在其中创建文件config.ini并写入配相信息。如下图所示：：
config.ini文件的内容经过异或加密，其中蕴含ip 、、port 、、ip1 、、port1 、、ip2 、、port2 、、version等字段，如下图所示：：
而后顺次衔接配相信息中指定的各个C2，若是衔接失败，则切换到下一个。网络衔接情况如下图所示：：
衔接C2成功后，获取本机的推算机名 、、用户名 、、操作系统版本 、、MAC地址 、、内网IP地址 、、当前功夫 、、Telegram和微信装置情况等信息，压缩并加密后发送到C2。网络的信息如下图所示：：
将加密后的数据进行封装，在头部增长了数据长度和固定值0x11 、、0x22 、、0x33 、、0x44，作为上线包发送到C2。对应的网络流量如下图所示：：
将上线包的网络流量解密 、、解压，能够得到原始的明文信息，如下图所示：：
而后从C2接管节制指令并执行，实现远程节制职能，蕴含文件上传 、、文件下载 、、文件执行 、、装置插件 、、键盘纪录 、、CMD号令 、、绕过UAC等。解析节制指令并执行，如下图所示：：
其中绕过UAC进行提权如下图所示：：
接管shellcode并创建线程执行，如下图所示：：
关联样本
我们还追踪到银狐组织的另一个仿冒OpenClaw的站点 https[:]//web-openclaw.com.cn/，该站点界面如下图所示：：
从该站点下载的文件名为openclaw.zip，其中蕴含名为openclaw.exe的恶意法式。该恶意法式选取与上文一样的攻击手法和流程，开释出合法的豆包v2.2.3版以蛊惑受害者。如下图所示：：
装置法式暗中开释并启动恶意�？？�，最终执行远程节制法式。C2为202.95.11.220和yyyndym.icu。
防备建议
银狐是活跃于东南亚区域的中文黑灰产团伙，重要通过仿冒网站和假装热点软件装置包执行垂钓攻击，指标涵盖金融 、、电商 、、教育 、、设计等多个行业。
为有效防备银狐组织的攻击活动，建议用户做好以下措施：：
? 通过官方网站或可信利用商店获取软件装置包，切勿点击搜索引擎告白位中的链接；
? 装置前右键查看文件属性，确认数字署名刊行方为正规企业；
? 装置杀毒软件并实时更新；
? 部署具备垂钓网站鉴别和恶意域名拦截能力的网关/防火墙；
? 终端部署支持行为分析能力的 EDR 产品，并开启过程注入 、、内存木马等高级威胁检测职能。
总结
银狐黑产组织借OpenClaw（“龙虾”）爆火之势提议的垂钓攻击，是黑产团伙“借势热点 、、精准攻击”的典型案例，其攻击链路周密 、、假装性强 、、�：：�，不仅威胁小我用户的信息安全，更对企业 、、科研机构等各类主体的网络安全组成严格挑战。这也提醒宽大用户，在追赶热点技术工具时，务必提高安全警惕，通过官方渠道下载有关法式，仔细核验域名真伪，预防点击陌生链接，同时实时更新安全软件 、、修复系统缝隙，从源头防备此类垂钓攻击，守护自身信息与系统安全。
IoCs
域名
dcleb.com
yyyndym.icu
IP
47.242.9.11
202.95.11.220
MD5
73390ba587e5fd80ae6680480c00b64f (openclawAI 7beAolenc.zip)
ff28115a55b9a11d92bbb458efe0b940 (opealeAi_7beAole-x64.exe)
90dc6ea84b87148ce4eeb723cdc1bf48 (vTPr.4DH，恶意DLL�？？�)
1e3908b4208ba22a4c5297652323841d (openclaw.zip)
e839115ff87a0c12b3b3ec5c4c98a41a (openclaw.exe)
c838a8b4b5f7b8c4fa29beffc23aa016 (9.3x8，恶意DLL�？？�)
京公网安备11010802024551号