文章总结： 攻击者利用已签名的合法ahost.exe（c-ares库组件）进行DLL侧加载，植入AgentTesla、Remcos等十余种窃密与远控木马，目标覆盖全球金融与供应链企业，通过重命名为订单等文件名诱导点击，传统杀软难以识别，建议部署EDR/XDR并严控白名单加载路径 综合评分： 88 文章分类： 恶意软件,漏洞分析,威胁情报,终端安全,数据泄露

受信任的工具反叛：签名“ahost.exe”被恶意利用，侧载恶意软件

sec随谈 sec随谈

sec随谈

2026年1月16日 08:51 北京

网络犯罪分子利用一款通常与开发者工具捆绑在一起的常规实用程序，绕过安全扫描器并植入破坏性极强的恶意软件。 Trellix 高级研究中心发现，有人正在利用 ahost.exe 中的 DLL 侧加载漏洞进行攻击。 ahost.exe 是用于 DNS 查询的开源 c-ares 库的合法组件。

此次攻击的目标是全球商业和工业领域，诱骗金融和供应链员工运行看似可信的、经过数字签名的应用程序。

该攻击的核心是一种称为 DLL 侧加载的技术。攻击者获取一个合法的、经过签名的 ahost.exe 副本（通常是随流行的 GitKraken 开发工具一起分发的副本），并将其放置在一个文件夹中，该文件夹内还包含一个名为 libcares-2.dll 的恶意文件。

由于该实用程序被设计为信任并从其自身目录加载此特定 DLL 文件，因此会在不知不觉中执行恶意软件。报告解释说： “这种策略之所以有效，是因为它利用了用户对已签名合法应用程序的固有信任，从而增加了检测难度。”

对操作系统而言，这看起来像是一个安全的应用程序正在运行。对受害者而言，这看起来像是一份商业文档。攻击者经常将可执行文件重命名为类似 order.exe、Faktura od DHL.exe 或 1DOC-PDF.exe 之类的文件名，以此诱骗受害者点击。

一旦执行，恶意软件并不会就此停止运行。该攻击活动会释放一系列常见的威胁，其中包括：

信息窃取：AgentTesla、FormBook、Lumma Stealer、Vidar 和 CryptBot。

远程访问木马（RAT）：Remcos、QuasarRAT、DCRat 和 XWorm。

在对 DCRat 进行分析的一个案例中，该恶意软件启动了 Addinprocess32.exe 并将自身注入到该进程中以保持持久性，使其即使在初始程序关闭后也能隐蔽运行。

此次攻击活动不受地域限制。 Trellix 检测到了阿拉伯语、西班牙语、葡萄牙语、波斯语和英语的本地化文件名，表明其采用了“全球化和定制化”的策略。遥测数据显示，该恶意文件已被 115 位不同的提交者提交至 VirusTotal 190 次，遍及从美国到埃及的全球各地。

利用可信应用程序隐藏恶意软件对传统防病毒解决方案构成重大挑战。 “对于缺乏高级端点检测与响应 (EDR) 或扩展检测与响应 (XDR) 解决方案的目标组织而言，利用可信应用程序进行攻击会构成重大风险，”研究人员警告说。

参考链接：

https://www.trellix.com/en-au/blogs/research/hiding-in-plain-sight-multi-actor-ahost-exe-attacks/

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《受信任的工具反叛：签名“ahost.exe”被恶意利用，侧载恶意软件》