告发“银狐」劓容 ，让威胁无处逃形

颁布功夫 2024-08-08

编者按：


近期 ，宝运莱官方网站北斗安全运营中心通过天阗威胁分析一体机（TAR）监测到一路 “(毒鼠)衔接C2服务器”告警事务 ，第一功夫与产品线进行溯源取证分析 ，确认源头是某员工装置了LetsVPN。经金睛团队分析判定 ，该LetsVPN装置包被绑缚了银狐的WinOS 4.0远控后门。本文将具体告发这一事务的始末 ，分解其中的安全缝隙与风险 ，为企业网络安全防护提供警示与借鉴。


何为“银狐” ？


银狐木马是一类针对特定指标群体进行垂钓攻击的恶意软件 ，其重要攻击对象蕴含企事业单元的治理人员、财政人员、销售人员、金融从业人员以及电商卖家等。这类木马通过多种伎俩进行传布 ，对受害者的推算机系统进行节造和窃取隐衷数据 ，进而为后续的诳骗活动提供方便。

“银狐”传布方式


银狐木马重要通过以下几种方式进行传布：


1、即时通讯工具（IM）垂钓

攻击者通过QQ、微信等即时通讯工具发送垂钓文件或网站链接 ，诱导受害者点击并进行传布。这些文件或链接通� ；峒僮俺捎涤杏盏夹缘拿� ，如“成就单”“转账通知单”等。


2、垂钓网站

攻击者会伪造税务机关、金融机构等官方网站的垂钓网站 ，使用微信垂钓等方式进行传布。这些网站通� ；嵋苑⑵薄⒌ゾ荨⒈ㄋ啊⑺拔袢砑让逵盏际芎φ呦略夭⒅葱卸褚馊砑�。


3、假装正常软件

银狐木马还会假装成常用软件 ，如WPS、MS Office、PDF、微信、钉钉等数十款软件 ，通过在主流搜索引擎上采办流量进行垂钓传布 ，这是目前传布量最大的一种传布方式。

样本分析


从官网下载的装置包lest-test.3.1.2.msi ，被绑缚了银狐WinOS 4.0远控后门 ，官网链接：https://letpvpn.com。分析如下：


MSI文件 ，即Microsoft Installer的装置包 ，专为Windows系统设计 ，用于装置、卸载、建复及更新软件。作为文件体式 ，它不由用户直接执行 ，而是由系统的MS Installer服务（运行于SYSTEM账户）处置。这一机造不仅赋予操作治理员权限 ，还可能触及SYSTEM最高权限 ，实现高效安全的软件治理。


1、通过Orca工具 ，查看lest-test.3.1.2.msi装置包文件。


图片1.png


2、通过装置包配置详情显著能够看出：装置包里的文件“__4”被装置保留为文件名“1” ，“xQJnSaS.exe”被保留为文件名“XPsdjAV.exe”。


3、运行lest-test.3.1.2.msi装置包之后 ，装置开释的文件。


图片2.png


4、与Orca工具查看的详情齐全对应的上 ，其钟装xQGEJun.exe”是真正的letsvpn装置包 ，用来蛊惑受害者。


技术道理


“XPsdjAV.exe”“libcurl.dll”和“1”是以白加黑大局运行的WinOS 4.0远控。其中 ，“XPsdjAV.exe”自身是白文件 ，且罕见字署名。“libcurl.dll”是被篡改的恶意文件。“libcurl.dll”被“XPsdjAV.exe”加载执行后 ，读取文件“1” ，解密出WinOS 4.0的远控主题代码。

图片3.png

这是一种典型的"白加黑"攻击模式。在这种模式下 ，很多终端杀毒软件会默认信赖那些带有有效数字署名的法式 ，以为它们是安全的。然而 ，攻击者可能会利用这种机造来实现所谓的"免杀"成效。

具体来说 ，攻击者可能会使用一个带罕见字署名且未被篡改的合法法式（例如"XPsdjAV.exe"） ，来糊弄杀毒软件。而后 ，他们可能会批改该法式所依赖并挪用的DLL文件（例如"libcurl.dll"） ，使得恶意的DLL文件被加载并执行。此表 ，攻击者将主题的远控代码（例如WinOS 4.0）以加密大局保留在文件"1"中 ，这使得杀毒软件难以检测到其存在。


宝运莱官方网站解决规划


1、高级威胁检测规定


银狐木马攻击手法虽多变 ，但均有� ？裳� ，只有有攻击就会有痕迹。TAR内置精准“狩狐”有关检测规定 ，安全钻研团队缜密跟踪最新攻击伎俩 ，确保检测规定精准监测。


2、高级沙箱检出能力


设备内置多沙箱环境 ，涵盖window、Linux等环境 ，选取静态、缝隙、行为分析 ，内置反沙箱检测机造 ，对反沙箱、反检测等行为进行躲避 ，全面监测样本运行过程 ，深刻发现银狐木马的威胁作为。


3、加密流量模型分析


设备嵌入AI算法模型 ，涵盖ICMP、DNS、HTTP、HTTPS、Webshell隧路模型 ，以“机械进建、统推算法、威胁谍报、深度包检测”为技术底座 ，构建“盛行为分析、域名分析、证书分析、包特点分析、握手信息分析”的多模型综合决策系统。


4、天阗AI智能体赋能


天阗AI智能体以“智检测 ，慧守护”为理想 ，凭据分歧检测场景智能化调度各类检测工具和算法 ，利用LLM推理总结能力对检测了局“深加工” ，大幅度提高检测精准度和整体检测机能 ，援手安全人员更好地相识攻击事务的性质、起源和潜在影响。


天阗威胁分析一体机（TAR）通过天阗AI智能体赋能的高级威胁检测、恶意文件检测、加密流量检测等技术伎俩全面监测银狐木马 ，深刻洞察潜在威胁 ，有效预防风险扩散 ，为客户网络筑起安全防线。