银狐
病毒分析报告

01 / 执行摘要

该样本是一个无密码保护的 ZIP 压缩包，伪装为常规软件安装包，通过钓鱼邮件或即时通讯工具进行广撒网式投放。

攻击链采用多层释放 + 多阶段加载架构，融合了 Lotok（释放/解密器）、SilverFox（远控）和 Tedy / Emotet（银行窃密）三大恶意家族的技术特征。样本具备强对抗性（VMProtect加壳、反沙箱、长休眠），并利用多个主流云服务商的对象存储作为 C2 中继，实现隐蔽通信和数据外泄。

02 / 关键发现

样本哈希、家族归属、核心载荷等基础信息汇总如下：

• 样本哈希：ZIP MD5 dc5b55331235b2d90feecb2c4a46d75a / SHA256 e31f3a279e3ef5859a65307421200b404277f0adc5296948a099e48c408af468
• 核心载荷：install_mal006.msi (MD5: dd435d1c68550e4ef1b176f51a947b54) / Binary.ENCPP (SHA256: ad7fef57d3b60a996ebb2ee0902a7059571e77cb19e5628eaca07b37744286c1)
• 家族归属：SilverFox / Lotok / Tedy / Emotet（多引擎交叉确认）
• 加壳保护：VMProtect（ESET-NOD32 检出）
• 主要目的：远程控制、银行凭证窃取、信息侦察、数据渗漏

03 / 详细攻击链

阶段 0：初始访问

投递方式：钓鱼邮件 / 社交工程
文件名：install_mal006(1).zip
特性：无密码保护，用户双击即可解压，降低操作门槛，实现大规模自动化感染。
解压内容：释放 install_mal006.msi 至本地。

阶段 1：执行与反分析

• 启动进程：msiexec.exe /I C:\Users\*\AppData\Local\Temp\install_mal006.msi
• 系统服务执行：通过 services.exe 创建子进程 msiexec.exe /V，以高权限运行。
• 环境探测（反沙箱）：
  • 检测 CPU 核心数（反虚拟化）
  • 检测系统内存大小（虚拟机通常内存较小）
  • 检查网络适配器类型（识别虚拟网卡）
  • 长休眠（long-sleeps）：若探测到调试/沙箱环境，主动挂起执行数分钟，逃避动态分析。

阶段 2：Lotok 释放器

第一阶段 MSI 通过 msiexec.exe /V 触发 Lotok 释放逻辑。

• 堆喷射（Heap Spray）：在内存中布局 Shellcode，绕过 ASLR 并准备进程注入。
• 分配 RWX 内存：分配可读、可写、可执行内存页，用于动态解压自身代码。
• 释放文件：
  • 核心 DLL（Binary.ENCPP / MSIA1CE.tmp）：加密存储的远控模块，运行时动态解密加载。
  • 持久化模块（anret.exe）：伪装为文本文件的木马主体，释放至 %APPDATA%\Roaming\Tummo\。
  • 脚本载荷（_StringData）：JavaScript / VBS 脚本，用于辅助持久化或 AMSI 绕过。
  • 组件包（main1.cab）：包含额外配置或注入组件。
  • 临时文件：释放至 C:\Config.Msi\ 和 C:\Windows\Installer\。

阶段 3：命令与控制（C2）

样本建立双重冗余 C2 通道，确保连接稳定性：

主通道（载荷下载）

• 目标：多个主流云服务商的对象存储，主要集中于华北、华东地域的节点
• 路径：GET /tad、GET /a.gif、GET /b.gif（伪装为图片/数据文件）
• 协议：HTTPS（JA3 指纹：a0e9f5d64349fb13191bc781f81f42e1）

备用通道（心跳与远控）

• 独立域名：rqrjpl.net（随机 DGA 风格，指向恶意基础设施）
• TCP 直连：非标准端口（阿里云归属），用于长连接远控

数据渗漏通道（隐蔽外泄）

• UDP 直连：20.201.210.7:3544（Teredo 隧道穿透）/ 20.201.210.7:65444（高端口）
• 归属：微软 Azure 云（新加坡节点）
• 手法：使用非标准/隧道协议绕过防火墙（MITRE T1048，替代协议渗漏）。

阶段 4：持久化

• 注册表 Run 项：写入 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 指向 anret.exe。
• 计划任务/系统服务：利用合法系统进程 SrTasks.exe 执行恶意任务，伪装成系统恢复操作。
• 脚本启动：通过注册表或启动文件夹调用 _StringData 脚本。

阶段 5：信息发现与窃取

• 系统信息收集：查询计算机名、用户名、操作系统版本；遍历进程列表；枚举注册表 Uninstall 键，重点查询 WinRAR。
• 特定目标：尝试定位浏览器（Chrome/Edge/Firefox）安装路径，意图窃取 Cookie / 密码。
• 渗漏方式：通过 UDP 加密通道或 HTTPS 伪装回传，结合 rqrjpl.net 进行数据传输。

04 / MITRE ATT&CK 技术映射

• 执行：T1059.001 (PowerShell / Scripting)、T1218 (System Binary Proxy Execution)
• 持久化：T1547.001 (Registry Run Keys)、T1053.005 (Scheduled Tasks)
• 防御规避：T1027 (Obfuscated Files)、T1055 (Process Injection)、T1497 (Virtualization/Sandbox Evasion)
• 发现：T1082 (System Information Discovery)、T1083 (File and Directory Discovery)
• 收集：T1560 (Archive Collected Data)
• C2：T1071.001 (Web Protocols)、T1095 (Non-Application Layer Protocol)
• 渗漏：T1048 (Exfiltration Over Alternative Protocol)

05 / 完整 IOC 清单

网络指标

文件/主机指标

06 / 检测与缓解措施

A. 网络层阻断

• 防火墙：立即封堵全部已确认的恶意 IP 和域名（出站）。
• IDS/IPS：导入 JA3 指纹进行告警，阻断对云存储 /tad 路径的 GET 请求。
• DNS 过滤：将 rqrjpl.net 加入黑洞列表。
• 流量监控：重点监控 UDP 3544、65444 端口及非标准端口的 TCP 长连接。

B. 终端/EDR 检测

• 文件搜索：全网搜索 anret.exe、Binary.ENCPP、MSIA1CE.tmp、!_StringData，发现即隔离。
• 内存扫描：检测 msiexec.exe 或 explorer.exe 进程中是否存在堆喷射特征或异常 RWX 内存页。
• 注册表检查：排查 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 及计划任务中是否存在可疑条目。

C. 终端加固

• 组策略：禁止从 %Temp% 和 %Desktop% 执行 msiexec.exe。
• 受控文件夹访问：阻止非系统进程写入 C:\Windows\Installer\ 和 C:\Config.Msi\。

07 / 结论

这是一个高度复杂、模块化且极具针对性（针对中文网银用户）的高级威胁样本。它利用无密码 ZIP + MSI 的形式实现低门槛投放，结合 VMProtect 加壳、ROT17 解码、反沙箱长休眠等高级对抗技术规避检测，同时通过 Lotok 释放器 + SilverFox 远控 + Tedy 银行窃密的复合架构实现全方位攻击。

其利用多家主流云服务商的对象存储作为 C2 中继，使恶意流量混入正常云服务流量中，大大提高了传统黑名单的防护难度。