攻击最早自2023年8月开始，攻击者通过部署多个伪造软件下载页面来诱导访问者下载仿冒软件，同时以Telegram频道分发的方式进行投递恶意程序，最终实现远控。
攻击者除了针对黑产从业人员常用软件的伪造，还部署伪造了一些常见电脑软件的钓鱼页面，如：WPS-office，火绒安全软件，ToDesk等。
攻击者早期使用sfx自解压文件来进行打包恶意程序，近期为了实现免杀，选择使用MSI文件作为载体，来打包恶意程序，这种方式规避了杀毒软件的检测。
在此次事件中，无论是攻击者采用MSI文件进行免杀、运用白利用手法加载Shellcode，还是实施多阶段的下载恶意载荷，这些行为均与银狐历史上的攻击手法相一致。并且通过对攻击者资产的追踪分析，我们发现其基础设施与银狐早期使用的相符，进一步加强了事件与银狐相关的关联。因此，可得出结论，此次攻击事件说明银狐的攻击范围进一步扩大，对黑产从业人员展开了有针对性的攻击。
微步通过对相关样本、IP 和域名的溯源分析，提取多条相关 IOC ，可用于威胁情报检测。微步威胁感知平台 TDP 、威胁情报管理平台 TIP 、威胁情报云 API 、云沙箱 S、沙箱分析平台 OneSandbox、互联网安全接入服务 OneDNS 、安全情报网关 OneSIG 、主机威胁检测与响应平台 OneEDR 、终端安全管理平台 OneSEC 等均已支持对此次攻击事件的检测与防护。
事件画像 | |
事件名称 | 银狐利用伪造的MSI安装包针对黑产从业者发起攻击 |
技术特点 | 1．使用MSI安装程序进行载荷投递实现免杀； 2．MSI文件安装后利用“白加黑”方式加载恶意载荷； 3．利用动态下载的shellcode获取最终C2地址。 |
攻击目标 | 黑产从业人员 |
平台 | Windows |
传播方式 | 虚假应用程序下载站，Telegram频道分发 |
攻击地区 | 中国 |
攻击目的 | 远控，窃密 |
攻击工具 | Gh0st |
2.2 团伙攻击方式趋势
同时除了伪装为下载页面传播恶意软件实现远控，攻击者还伪装为一些接码平台登录页面，这些登录页面输入用户名密码后显示登陆错误然后跳转，此时黑灰产人员的密码已经被记录。
通过近期捕获的样本发现攻击者已经通过Telegram频道进行投毒，该频道目前活跃人数3000+。
2.3 诱饵文档分析
从捕获的样本来看，攻击者擅长使用白利用手法进行恶意载荷的加载，同时免杀意识比较强，不论是使用MSI文件规避杀毒软件的查杀，还是在恶意的DLL文件中使用控制流平坦化进行对抗分析，以及通过搭建第二阶段载荷下载站进行多阶段载荷加载，内存解密执行shellcode，都可以体现攻击者在对抗杀毒软件查杀以及沙箱动态分析的意识和能力。
| 白利用文件名 | 加载的恶意DLL | DLL文件pdb地址 |
| DouyuUpdate.exe | dyupdate.dll | E:\360MoveData\Users\Administrator\Desktop\7-15\User\dyupdate.pdb |
| SGuard64.exe | ndfhcdiscovery.dll | D:\code6\Release\ACE-Trace.pdb |
| Uninstall.exe | winlogonCHS.dll | D:\code6\Release\winlogonCHS.pdb |
2.4 攻击流程
2.5 资产特点
1. 攻击者在部分下载链接上使用自行搭建的yourls短网址程序跳转服务器并定时更新，以达到隐藏真实恶意下载链接的目的，另外，托管站文件会及时删除更换，以规避封禁机制。
在上图钓鱼页面下载链接上使用下载地址hxxps://aisiaz.site/gm4xj，点击后下载地址跳转到hxxps://cyh-tg.oss-cn-hongkong.aliyuncs.com/jiemabba.zip，其中中间域名aisiaz.site为攻击者注册域名，且下载地址URL不断在变化，规则为5位小写字母加数字组合：
hxxps://aisiaz.site/xvs2k
hxxps://aisiaz.site/0z7yy
hxxps://aisiaz.site/wfiwc
2. 攻击者为了减少暴露面，会将钓鱼站基本都解析到同一IP，大部分使用第三方平台传播，如：谷歌表单，亚马逊云存储，阿里云存储等，减少被溯源的信息。
3.1 基本信息
3.2 详细分析
该样本运行的主要流程为：
3.2.1 第一阶段：初始MSI程序
该MSI文件解压后查看运行的脚本，其运行后释放文件并运行：
运行MSI文件后会在C:\ProgramData\释放初始文件运行，winlogon.exe程序为BossMail卸载程序，主要是为了使用白利用手法加载恶意dll文件winlogonCHS.dll：
加载winlogonCHS.dll，其中winlogonCHS.dll程序经过混淆处理：
winlogonCHS.dll中充斥着大量的数字运算干扰分析：
以及控制流平坦化进行混淆：
3.2.2 第二阶段：下载运行shellcode
其中该样本会从hzj66.vip上下载三个加密后的组件：
GET http://hzj66.vip/v7/43.135.163.43/lib_32
GET http://hzj66.vip/v7/43.135.163.43/reg32
GET http://hzj66.vip/v7/43.135.163.43/code32
下载的shellcode为xor加密，解密算法为使用从0x18到0x2B的20个字节作为密钥，去解密从0x2C开始的密文：
按照解密算法解密后，shellcode恢复为COM文件和PE文件：
然后恶意程序加载执行：
3.2.3 第三阶段：连接最终C2
该C2地址和第二阶段下载载荷URL中地址一致。
4.1 溯源分析
通过对该C2的拓线分析，发现历史上存在样本（ec2ec7c04786d6c54d879f1327e3f269）使用该C2地址，该样本从https://pastebin.com/raw/97RDxeDR 解密下一阶段shellcode下载站。
Base64解密地址：
4.2 拓线信息
同时这些钓鱼资产中除了攻击者自建网站外，攻击者还使用Google Docs做钓鱼页面，相比于自建网站，使用Google的域名可以绕过电子邮件中静态链接扫描程序，并且难以溯源。
C2
43.135.163.43:9600
1.32.249.43:10800
27.124.47.237:8600
169.150.222.238:36061
Phishing
youdaoensk.xyz
youdaodfk.xyz
vibersds.xyz
aisiaz.site
trofmds.com
youdaoesi.xyz
aisizs.xyz
meituxx.xyz
youdaofe.xyz
wpsnf.xyz
youdaoendk.xyz
todtgk.top
leidianuk.xyz
telogiam.top
tefgedmg.top
off1c1e.top
csgo666.top
wuyoujiema1.com
sougouu.top
sogoff.xyz
Malware
hzj66.vip
iloveyou.agency
mqkfxt.top
meiqia.world
wpoff.top
sogollq.top
eyy250.top
sgsrf.top
sgllq.top
ppfcc.xyz
Hash
b427f787b812ec1d93bf5e0506aec802b4e84f2929f9647637bc9faad384ccc9
a46b0711b3d53619360643b27dfcc4c542c12dea977ed3f77ed370c6ae72c1da
7a3c4be9406e94cb80a9a7a65e8e7d69ec685d1afc0668cf5d10989689fad07a
099ac5fc62e2293136fd4bfd3902b03878218460e1025a6583aad6b5a5c61818
2b581f519777db9fc7b480743473003735c54e248cc60c3c2d7048759322ac00
05adf29950a88a7ec7571c087c2aaf63987de401e6b8240827c40d9979c2178c
e2ce527f83bb55509bb4f19822f38cdb0fbf26726717b2f22d3b002d0cf60fed
013285971960f329c2a0880b816262aa58178409eb66b9e2b6fd0237ac3e3ff0
d08bb1072b8a1524f5a6624e80e716c9f44287275b0026578b0883e0d0f25b0d
威胁处置
检查C:\ProgramData\目录下是否存在异常的数字文件；
在任务管理器-启动中查看是否存在未知的启动项。
安全加固
及时更新系统/应用程序补丁或版本； 建立办公软件库，严格把控第三方软件下载渠道； 及时排查威胁检测设备告警、处置相关威胁。
如有侵权请联系:admin#unsafe.sh