告发“银狐”真容，，，让威胁无处遁形

颁布功夫 2024-08-08

编者按：


近期，，，OG东方厅北斗安全运营中心通过天阗威胁分析一体机（TAR）监测到一路 “(毒鼠)衔接C2服务器”告警事务，，，第一功夫与产品线进行溯源取证分析，，，确认源头是某员工装置了LetsVPN。经金睛团队分析判定，，，该LetsVPN装置包被绑缚了银狐的WinOS 4.0远控后门。本文将具体告发这一事务的始末，，，分解其中的安全缝隙与风险，，，为企业网络安全防护提供警示与借鉴。


何为“银狐”？？


银狐木马是一类针对特定指标群体进行垂钓攻击的恶意软件，，，其重要攻击对象蕴含企事业单元的治理人员、财政人员、销售人员、金融从业人员以及电商卖家等。这类木马通过多种伎俩进行传布，，，对受害者的推算机系统进行节制和窃取隐衷数据，，，进而为后续的诳骗活动提供方便。

“银狐”传布方式


银狐木马重要通过以下几种方式进行传布：


1、即时通讯工具（IM）垂钓

攻击者通过QQ、微信等即时通讯工具发送垂钓文件或网站链接，，，诱导受害者点击并进行传布。这些文件或链接通�；峒僮俺捎涤杏盏夹缘拿�，，，如“成就单”“转账通知单”等。


2、垂钓网站

攻击者会伪造税务机关、金融机构等官方网站的垂钓网站，，，使用微信垂钓等方式进行传布。这些网站通�；嵋苑⑵薄⒌ゾ荨⒈ㄋ啊⑺拔袢砑让逵盏际芎φ呦略夭⒅葱卸褚馊砑�。


3、假装正常软件

银狐木马还会假装成常用软件，，，如WPS、MS Office、PDF、微信、钉钉等数十款软件，，，通过在主流搜索引擎上采办流量进行垂钓传布，，，这是目前传布量最大的一种传布方式。

样本分析


从官网下载的装置包lest-test.3.1.2.msi，，，被绑缚了银狐WinOS 4.0远控后门，，，官网链接：https://letpvpn.com。分析如下：


MSI文件，，，即Microsoft Installer的装置包，，，专为Windows系统设计，，，用于装置、卸载、修复及更新软件。作为文件体式，，，它不由用户直接执行，，，而是由系统的MS Installer服务（运行于SYSTEM账户）处置。这一机制不仅赋予操作治理员权限，，，还可能触及SYSTEM最高权限，，，实现高效安全的软件治理。


1、通过Orca工具，，，查看lest-test.3.1.2.msi装置包文件。


图片1.png


2、通过装置包配置详情显著能够看出：装置包里的文件“__4”被装置保留为文件名“1”，，，“xQJnSaS.exe”被保留为文件名“XPsdjAV.exe”。


3、运行lest-test.3.1.2.msi装置包之后，，，装置开释的文件。


图片2.png


4、与Orca工具查看的详情齐全对应的上，，，其中“xQGEJun.exe”是真正的letsvpn装置包，，，用来蛊惑受害者。


技术道理


“XPsdjAV.exe”“libcurl.dll”和“1”是以白加黑大局运行的WinOS 4.0远控。其中，，，“XPsdjAV.exe”自身是白文件，，，且罕见字署名。�！發ibcurl.dll”是被篡改的恶意文件。�！發ibcurl.dll”被“XPsdjAV.exe”加载执行后，，，读取文件“1”，，，解密出WinOS 4.0的远控主题代码。

图片3.png

这是一种典型的"白加黑"攻击模式。在这种模式下，，，很多终端杀毒软件会默认信赖那些带有有效数字署名的法式，，，以为它们是安全的。然而，，，攻击者可能会利用这种机制来实现所谓的"免杀"成效。

具体来说，，，攻击者可能会使用一个带罕见字署名且未被篡改的合法法式（例如"XPsdjAV.exe"），，，来糊弄杀毒软件。而后，，，他们可能会批改该法式所依赖并挪用的DLL文件（例如"libcurl.dll"），，，使得恶意的DLL文件被加载并执行。此外，，，攻击者将主题的远控代码（例如WinOS 4.0）以加密大局保留在文件"1"中，，，这使得杀毒软件难以检测到其存在。


OG东方厅解决规划


1、高级威胁检测规定


银狐木马攻击手法虽多变，，，但均有�？？裳�，，，只有有攻击就会有痕迹。TAR内置精准“狩狐”有关检测规定，，，安全钻研团队缜密跟踪最新攻击伎俩，，，确保检测规定精准监测。


2、高级沙箱检出能力


设备内置多沙箱环境，，，涵盖window、Linux等环境，，，选取静态、缝隙、行为分析，，，内置反沙箱检测机制，，，对反沙箱、反检测等行为进行躲避，，，全面监测样本运行过程，，，深刻发现银狐木马的威胁作为。


3、加密流量模型分析


设备嵌入AI算法模型，，，涵盖ICMP、DNS、HTTP、HTTPS、Webshell隧道模型，，，以“机械学习、统推算法、威胁谍报、深度包检测”为技术底座，，，构建“盛行为分析、域名分析、证书分析、包特点分析、握手信息分析”的多模型综合决策系统。


4、天阗AI智能体赋能


天阗AI智能体以“智检测，，，慧守护”为理念，，，凭据分歧检测场景智能化调度各类检测工具和算法，，，利用LLM推理总结能力对检测了局“深加工”，，，大幅度提高检测精准度和整体检测机能，，，援手安全人员更好地相识攻击事务的性质、起源和潜在影响。


天阗威胁分析一体机（TAR）通过天阗AI智能体赋能的高级威胁检测、恶意文件检测、加密流量检测等技术伎俩全面监测银狐木马，，，深刻洞察潜在威胁，，，有效预防风险扩散，，，为客户网络筑起安全防线。