文章总结： 攻击者利用4个仿冒OpenClaw官网的钓鱼站点投递带后门的安装包，使用图片隐写、XOR加密和内存加载技术绕过检测，最终连接C2服务器实现远程控制。建议用户从官方渠道下载、封堵恶意域名/IP并检测终端异常行为。 综合评分： 85 文章分类： 恶意软件,威胁情报,漏洞分析,WEB安全,安全意识
第三阶段：一张 JPG 图片里的杀机
魔数校验——只有”对的钥匙”才能打开
iusb3mon.exe 读取 ziliao.jpg 后，并不会急于执行任何操作，而是先对文件头部进行严格的握手验证：
- 前 4 字节必须精确匹配
0x7B7FE992（小端字节序：92 E9 7F 7B） - 第 5 字节必须为
0x7B
这是攻击者设计的自定义魔数校验。如果文件头部不匹配，程序直接退出——不报错、不留痕。 下面是 ziliao.jpg 的十六进制视图，开头的 92 E9 7F 7B 魔数清晰可见：
载荷搜索路径——三次机会，一个目标
通过逆向分析，我们还原了 ziliao.jpg 的搜索路径逻辑。程序会依次在以下位置查找这张”图片”：
① C:\Users\<username>\Desktop\ziliao.jpg ← 当前用户桌面
② <AppData>\Local\ziliao.jpg ← AppData\Local 目录
③ C:\Users\<username>\AppData\Local\Local\ziliao.jpg
三个路径逐一尝试，只要有一处命中就启动后续攻击链。这种多路径容错设计说明攻击者充分考虑了不同安装场景下文件的可能落点。
关键代码实证
以下是静态分析得到的载荷搜索与加载核心逻辑：
c
def loader():
# 初始化文件名缓冲区（260字节）
filename = bytearray(260)
# 构建文件路径
filename = "ziliao.jpg"
# 尝试打开文件 (0x80000000 = GENERIC_READ, 3 = OPEN_EXISTING)
file_handle = CreateFileA(filename, GENERIC_READ, FILE_SHARE_READ,
None, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, None)
# 如果文件打开失败
if file_handle == INVALID_HANDLE_VALUE:
# 获取当前用户名
username_buffer = bytearray(260)
buffer_size = 260
if not GetUserNameA(username_buffer, buffer_size):
buffer_size = 0
# 尝试从桌面路径加载文件
filename = f"C:\\Users\\{username}\\Desktop\\ziliao.jpg"
# 如果路径构建成功（长度检查）
if len(filename) <= 0x103: # 259 + 1
file_handle = CreateFileA(filename, GENERIC_READ, FILE_SHARE_READ,
None, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, None)
# 继续尝试其他路径...
# 获取文件大小
file_size = GetFileSize(file_handle, None)
# 如果文件无效或为空，静默退出
if file_size == -1 or file_size == 0:
return # 静默退出
可以看到，代码使用 GetUserNameA 动态获取当前用户名，拼接出完整的文件路径。如果第一个路径打不开文件（CreateFileA 返回 -1），就尝试下一个——直到找到 ziliao.jpg 或者全部失败静默退出。
第四阶段：建立远控通道
内存中的 PE 后门执行后，会立即与攻击者预设的 C2 服务器建立通信连接。一旦连接成功，攻击者即可远程下发任意指令，包括但不限于：窃取浏览器保存的账号密码与 Cookie、键盘记录、屏幕截图、文件窃取与上传、横向渗透内网其他主机——受害者的整台设备将完全处于攻击者的控制之下。
C2 地址和端口均以明文硬编码在样本的数据段中：
C2 地址: 27.124.44.134
通信端口: 25449 (0x6369)
至此，攻击者完成了从钓鱼引流到远程控制的完整闭环。受害者的机器已经沦为一台安静的傀儡，等待来自 27.124.44.134:25449 的下一步指令。
完整攻击链
回顾整个攻击流程，从初始接触到最终控制，每一步都经过精心设计：
IOCs（威胁指标）
| 类型 | 指标 | 备注 |
| — | — | — |
| 钓鱼域名 | zh-openclaw[.]com[.]cn openclaw-cc[.]com[.]cn wap-openclaw[.]com[.]cn cc-openclaw[.]com[.]cn | 4 个仿冒 OpenClaw 官网，均为 .com[.]cn 后缀 |
| 下载地址 | hxxps://wjrdq5o[.]oss-ap-southeast-1[.]aliyuncs[.]com/openclaw1.1.zip | 新加坡节点托管 |
| C2 | 27.124.44[.]134:25449 （端口 0x6369） | 硬编码于数据段 |
| MD5 | ea6686bc1cb192007e4b43f51d4c0f74 829f2888dac28affe0515f3f5c171bf9 | 恶意样本哈希 |
| 关键文件 | openclaw1.1.zip （投递包） iusb3mon.exe（恶意主体） ziliao.jpg（图片隐写载荷） | 攻击链涉及文件 |
| 载荷特征 | 魔数 0x7B7FE992（小端 92 E9 7F 7B） 解密密钥 0x7B（XOR 单字节异或） PE 偏移 0x5BF | ziliao.jpg 隐写载荷校验与解密参数 |
总结与建议
这不是一次粗糙的钓鱼攻击。从多站点多风格的仿冒矩阵，到图片隐写 + XOR 加密 + 内存加载的组合拳，攻击者在每个环节都展现了不俗的工程化能力。他们瞄准的是当下最炙手可热的赛道——AI 智能体工具，利用开发者对开源社区的天然信任，将恶意软件包装成”一键部署”的便捷工具。
银狐家族的这个变种告诉我们一个朴素的道理：越是热门的工具，越可能成为攻击者的伪装外衣。
防护建议
- 验证下载源：始终从 OpenClaw 官方 GitHub 仓库下载安装包，不要轻信搜索引擎中排名靠前的”官网”链接。核对域名中是否包含多余的前后缀（如
zh-、-cc、wap-） - 警惕
.com.cn仿冒域名：本次攻击的 4 个钓鱼域名均使用.com.cn后缀，而 OpenClaw 官方并不使用该域名后缀 - 网络层封堵：在防火墙 / IDS 中封禁 C2 地址
27.124.44.134及端口25449，同时将恶意 OSS 地址wjrdq5o.oss-ap-southeast-1.aliyuncs.com加入黑名单 - 域名黑名单：将上述 4 个钓鱼域名加入 DNS 黑名单 / 安全网关拦截策略
- 终端行为检测：重点关注以下行为组合——进程搜索并读取
ziliao.jpg文件、VirtualAlloc分配可执行内存后立即跳转执行、向27.124.44.134:25449发起外联连接 - 文件排查：检查系统中是否存在
ziliao.jpg文件（桌面、AppData\Local 等路径），如有发现应立即隔离并提交样本分析
针对OpenClaw安全风险，腾讯推出多场景安全防护矩阵：
腾讯将持续跟进AI时代面临的新型威胁态势，为拥抱AI的每位用户保驾护航。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：腾讯安全威胁情报中心 腾讯安全威胁情报 腾讯安全威胁情报《龙虾陷阱 | 伪装 OpenClaw 投递后门事件分析》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论