“银狐”团伙再度出击：利用易语言远控木马实施钓鱼攻击
内容提要
自2023年上半年以来，多个黑产团伙使用“银狐”工具攻击国内企事业单位，窃取资金和隐私信息。其中一个团伙使用易语言编写的远控木马“刺客远程”，通过钓鱼网站自动下载初始载荷文件到受害者主机上。建议加强网络安全和数据安全，防范此类攻击。
延伸解读
攻击链的隐蔽性设计
该团伙的初始载荷采用两阶段执行：第一阶段下载器在安装母体并实现持久化的同时，还会检测360杀软进程，若存在则临时删除路由表信息以干扰安全软件通信，待服务项添加完成后再恢复。这种针对安全软件的规避手法增加了检测难度，也表明攻击者会针对国内常见防护环境进行适配。
持久化与注入手法分析
样本通过添加名为“IZukEe CSbpO”的服务项实现持久化，服务路径指向伪装成系统文件的“%ProgramFiles%\EzNYshQLnQq.exe”。随后利用进程镂空技术，将恶意PE数据注入到排除svchost.exe后的系统进程中执行，以隐藏自身并绕过基于进程信誉的防护。
远控通信与指令处理
远控模块使用bbtcp.dll网络通讯库与控制端交互，上线消息和指令数据均经zlib压缩后发送，并定期发送心跳包维持连接。指令以6字节值标识，模块还会收集用户名、系统版本、IP、进程列表、桌面文件和窗口列表等信息回传，使攻击者能全面掌握受害主机状态。
工具迭代与防御重点
此次使用的“刺客远程”远控木马最早于2023年6月在Telegram公开售卖，至今年6月已更新到V13版本，说明黑产工具在持续迭代。尽管投递方式未变，但载荷不断更换，防御方需关注钓鱼网站自动下载行为、异常服务创建及进程注入迹象，并加强终端与网络层面的检测能力。
Q&A
银狐团伙主要攻击哪些行业？
银狐团伙主要攻击金融、教育、医疗等行业。
银狐团伙使用什么工具进行攻击？
银狐团伙使用易语言编写的远控木马“刺客远程”进行攻击。
钓鱼攻击是如何实施的？
钓鱼攻击通过钓鱼邮件和钓鱼网站传播远控木马，受害者访问后会自动下载恶意文件。
初始载荷文件通常命名为什么？
初始载荷文件通常命名为“setup*****.exe”。
如何防范银狐团伙的攻击？
建议加强网络安全和数据安全，防范此类攻击。
刺客远程木马的执行流程是怎样的？
刺客远程木马分为两个阶段，第一阶段为下载器，第二阶段为远控模块。
