色婷婷激婷婷深爱五月小说-色婷婷精品-色婷婷精品大全在线视频-色婷婷精品视频-全免费午夜一级毛片真人-全免费一级毛片在线播放

銀狐團伙再出新招，利用.NET特性隱蔽攻擊

2025-03-12 18:37:25
我要分享


微信掃碼分享

關于銀狐

銀狐木馬是近年來國內最為活躍的遠控釣魚類木馬，該木馬與電詐活動緊密相關，是一類危害較高的木馬家族。通常而言，銀狐木馬主要是針對企事業單位管理、財務、銷售相關崗位人員或電商賣家進行釣魚攻擊。該家族木馬主要通過偽裝成與工作相關的文件（如發票或財稅文件等）誘騙用戶點擊下載和執行，從而實現對目標用戶計算機的遠程控制。

近期，該木馬團伙依然活躍，而與以往不同的則是該團伙出現了一類使用.NET特性發起攻擊的案例。下文中我們將對此類案例進行分析介紹。

攻擊分析

在此類攻擊事件中，攻擊者首先會發送帶有釣魚鏈接的PDF文件。

圖1. 釣魚PDF文件內容

攻擊者之所以選擇通過PDF文件攜帶釣魚鏈接而非直接發送釣魚鏈接,與360安全終端產品與通訊軟件的攔截不無關系。通過各種途徑直接傳遞釣魚鏈接，極易被安全產品事先防御攔截，所以攻擊者才會選擇通過PDF、Excel等文件中的圖片、文字來包藏釣魚鏈接，以此試圖蒙混過關。因此，用戶如果見到通過PDF等文檔直接內嵌鏈接的情況要格外謹慎，以防是釣魚或其他類型惡意鏈接。

而用戶一旦被誤導后點擊鏈接，就會直接調用瀏覽器觸發下載行為。常見的攻擊案例中，下載到的文件往往是一個經過偽裝的壓縮包，并且通常會使“解壓文件后閱覽.zip”、“查詢明細.zip”等一類具有迷惑性的名稱。

圖2. 用戶被誤導后下載的釣魚文件?

對樣本進行解壓后，可以看到下面一個不尋常的組合（除exe文件外，其它文件一般都會被設置為隱藏屬性）。

圖3. 解壓后的釣魚文件

可以看到，文件中還包括一個與exe主程序同名的config文件。而打開這個config文件可以看到其內容如下：

圖4. 配置文件內容?

而對于這個配置文件的加載，便是我們本次要重點介紹的銀狐木馬所利用了.NET程序的一個特性。

在.NET應用程序的默認運行狀況下，會自動讀取這個與應用程序可執行文件（.exe）同名且帶有.config擴展名的配置文件。而該配置文件采用XML格式，用于存儲應用程序的運行參數以便在不修改代碼的情況下調整應用程序的行為。而當前攻擊案例中的銀狐木馬正是利用了這一特性，添加了一條MyAppDomainManager（使用自定義 AppDomain 管理器）的記錄來指向ipc.dll這個動態鏈接庫文件。

以下則是常見用戶劫持的DLL文件代碼結構：

圖5. 常見用于劫持的DLL文件代碼結構

在進行了這種配置后，主程序便會在初始化時自動加載文件中指定的ipc.dll文件，并執行其InitializeNewDomain(AppDomainSetup)完成初始化。

下面是兩個劫持DLL的代碼對比，可以看到其劫持的結構均相同。如果發現當前程序并非以管理員權限執行，便會嘗試提升至管理員權限再次啟動，成功后再執行后續的惡意代碼。

圖6. 初始化函數代碼對比?

完成上述初始化操作后，便進入了核心的病毒執行代碼。解密病毒主體部分size.pe并執行病毒主體功能。

圖7. 進入病毒主體功能的代碼?

當前分析的案例樣本會利用注冊表中的“UserInitMprLogonScript”實現長期駐留，該注冊表位置會在用戶成功登錄系統時自動運行木馬主程序。

圖8. 木馬通過修改注冊表實現開機啟動及長期駐留?

病毒完成引導后，會啟動perfmon.exe進程，然后注入到perfmon.exe進程里。

圖9. 啟動并注入perfmon.exe進程

最終的惡意載荷是一款功能強大的遠控木馬。其具備記錄鍵盤輸入、打開/關閉屏幕、在瀏覽器中搜索和刪除用戶數據、執行文件操作等常規木馬所具有的功能。

圖10. 遠控木馬功能代碼?

不僅如此，當前的銀狐木馬還會在受害者的電腦中下載IP-guard等其他工具來保護其木馬主體不被查殺。

圖11. 木馬通過其他工具來保護木馬主體?

實現長期駐留后，攻擊者將監控用戶的一舉一動，竊取用戶的微信密鑰與聊天記錄文件來獲取用戶全部的聊天記錄。此外，木馬還會搜索并竊取設備中疑似是企業財稅文件、企業工資單等企業財務相關數據，最終將這些信息售賣給詐騙團伙。

利用這一機制，木馬作者可以使用任意.NET程序做為木馬的“主程序”，加載其病毒代碼執行，以此實現與免殺相同的效果。不過360安全終端產品已對此類問題進行處理，使用360終端安全產品的用戶無需過分擔心，360終端安全產品可以正常防御該病毒木馬的攻擊。懷疑中招的電腦，也可以使用360終端安全產品進行查殺。

圖12. 360客戶端攔截銀狐木馬

熱點排行

色婷婷激婷婷深爱五月小说-色婷婷精品-色婷婷精品大全在线视频-色婷婷精品视频-全免费午夜一级毛片真人-全免费一级毛片在线播放

銀狐團伙再出新招，利用.NET特性隱蔽攻擊

熱點排行

關注我們