安全分析与研究

专注于全球恶意软件的分析与研究

原文首发出处：

https://xz.aliyun.com/t/15941

先知社区 作者：熊猫正正

TG群、暗网是黑灰产的聚集地，也是钓鱼攻击的重灾区，搞钱也是大多数黑产组织最直接的攻击目的，有利益的地方就有黑灰产，最近一些年随着WEB3以及数字货币的流行与发展，产生了很多新型的产业链，同时也催生出了很多新型的黑客攻击活动，例如挖矿、勒索、盗币等。

近日，在某个欧易OKX官方中文数字货币交流群(群成员有快20万人)里捕获到一个银狐黑产组织的最新攻击样本，对该攻击样本加载母体进行了详细分析，分享出来供大家参考学习。

1.初始样本是一个MSI安装程序，相关信息，如下所示：

2.解析MSI安装程序，如下所示：

3.CustomAction安装脚本，调用DriveAstuteSupporterCSE安装脚本，如下所示：

4.DriveAstuteSupporterCSE安装脚本，内容如下所示：

5.初始化相关的文件名、调用参数以及解压密码等，如下所示：

6.设置指定的排除文件目录扫描，对抗系统Windows Defender安全软件，如下所示：

7.在指定的文件目录下生成相关的恶意文件并通过指定的参数调用，然后删除多余的文件，如下所示：

8.生成的恶意文件，如下所示：

9.相关进程信息，如下所示：

10.判断主机是否联网以及解析调用参数，如下所示：

11.在内存分配相关的空间，然后将解密出来的shellcode代码拷贝到该内存，如下所示：

12.跳转执行ShellCode代码，如下所示：

13.ShellCode分配相关的内存空间，如下所示：

14.解密ShellCode后面的PayLoad数据，如下所示：

15.解密之后，如下所示：

16.解密出来的PayLoad编译时间为2024年10月15日，如下所示：

17.银狐木马变种标识性导出函数fuckyou，如下所示：

18.初始化样本的相关信息，如下所示：

19.远程服务器IP为38.47.232.92，如下所示：

20.通过威胁情报平台查询相关域名信息，已经标记为银狐木马，如下所示：