首页 > 关于我们 > 新闻动态 > 深度解读

揭露“银狐”真容，让威胁无处遁形

发布时间 2024-08-08

编者按：


近期，和记北斗安全运营中心通过天阗威胁分析一体机（TAR）监测到一起 “(毒鼠)连接C2服务器”告警事件，第一时间与产品线进行溯源取证分析，确认源头是某员工安装了LetsVPN。经金睛团队分析判定，该LetsVPN安装包被捆绑了银狐的WinOS 4.0远控后门。本文将详细揭露这一事件的始末，剖析其中的安全漏洞与风险，为企业网络安全防护提供警示与借鉴。


何为“银狐”？


银狐木马是一类针对特定目标群体进行钓鱼攻击的恶意软件，其主要攻击对象包括企事业单位的管理人员、财务人员、销售人员、金融从业人员以及电商卖家等。这类木马通过多种手段进行传播，对受害者的计算机系统进行控制和窃取隐私数据，进而为后续的诈骗活动提供便利。

“银狐”传播方式


银狐木马主要通过以下几种方式进行传播：


1、即时通讯工具（IM）钓鱼

攻击者通过QQ、微信等即时通讯工具发送钓鱼文件或网站链接，诱导受害者点击并进行传播。这些文件或链接通常会伪装成具有诱导性的名称，如“成绩单”“转账通知单”等。


2、钓鱼网站

攻击者会伪造税务机关、金融机构等官方网站的钓鱼网站，使用微信钓鱼等方式进行传播。这些网站通常会以发票、单据、报税、税务软件等名义诱导受害者下载并执行恶意软件。


3、伪装正常软件

银狐木马还会伪装成常用软件，如WPS、MS Office、PDF、微信、钉钉等数十款软件，通过在主流搜索引擎上购买流量进行钓鱼传播，这是目前传播量最大的一种传播方式。

样本分析


从官网下载的安装包lest-test.3.1.2.msi，被捆绑了银狐WinOS 4.0远控后门，官网链接：https://letpvpn.com。分析如下：


MSI文件，即Microsoft Installer的安装包，专为Windows系统设计，用于安装、卸载、修复及更新软件。作为文件格式，它不由用户直接执行，而是由系统的MS Installer服务（运行于SYSTEM账户）处理。这一机制不仅赋予操作管理员权限，还可能触及SYSTEM最高权限，实现高效安全的软件管理。


1、通过Orca工具，查看lest-test.3.1.2.msi安装包文件。


图片1.png


2、通过安装包配置详情明显可以看出：安装包里的文件“__4”被安装保存为文件名“1”，“xQJnSaS.exe”被保存为文件名“XPsdjAV.exe”。


3、运行lest-test.3.1.2.msi安装包之后，安装释放的文件。


图片2.png


4、与Orca工具查看的详情完全对应的上，其中“xQGEJun.exe”是真正的letsvpn安装包，用来迷惑受害者。


技术原理


“XPsdjAV.exe”“libcurl.dll”和“1”是以白加黑形式运行的WinOS 4.0远控。其中，“XPsdjAV.exe”本身是白文件，且有数字签名。“libcurl.dll”是被篡改的恶意文件。“libcurl.dll”被“XPsdjAV.exe”加载执行后，读取文件“1”，解密出WinOS 4.0的远控核心代码。

图片3.png

这是一种典型的"白加黑"攻击模式。在这种模式下，许多终端杀毒软件会默认信任那些带有有效数字签名的程序，认为它们是安全的。然而，攻击者可能会利用这种机制来实现所谓的"免杀"效果。

具体来说，攻击者可能会使用一个带有数字签名且未被篡改的合法程序（例如"XPsdjAV.exe"），来欺骗杀毒软件。然后，他们可能会修改该程序所依赖并调用的DLL文件（例如"libcurl.dll"），使得恶意的DLL文件被加载并执行。此外，攻击者将核心的远控代码（例如WinOS 4.0）以加密形式保存在文件"1"中，这使得杀毒软件难以检测到其存在。


和记解决方案


1、高级威胁检测规则


银狐木马攻击手法虽多变，但均有迹可循，只要有攻击就会有痕迹。TAR内置精准“狩狐”相关检测规则，安全研究团队紧密跟踪最新攻击手段，确保检测规则精准监测。


2、高级沙箱检出能力


设备内置多沙箱环境，涵盖window、Linux等环境，采用静态、漏洞、行为分析，内置反沙箱检测机制，对反沙箱、反检测等行为进行规避，全面监测样本运行过程，深入发现银狐木马的威胁动作。


3、加密流量模型分析


设备嵌入AI算法模型，涵盖ICMP、DNS、HTTP、HTTPS、Webshell隧道模型，以“机器学习、统计算法、威胁情报、深度包检测”为技术底座，构建“流行为分析、域名分析、证书分析、包特征分析、握手信息分析”的多模型综合决策体系。


4、天阗AI智能体赋能


天阗AI智能体以“智检测，慧守护”为理念，依据不同检测场景智能化调度各种检测工具和算法，利用LLM推理总结能力对检测结果“深加工”，大幅度提高检测精准度和整体检测性能，帮助安全人员更好地了解攻击事件的本质、来源和潜在影响。


天阗威胁分析一体机（TAR）通过天阗AI智能体赋能的高级威胁检测、恶意文件检测、加密流量检测等技术手段全面监测银狐木马，深入洞察潜在威胁，有效避免风险扩散，为客户网络筑起安全防线。

上一篇 下一篇