银狐给安全中心装上假绿灯：假杀毒注册+重签名驱动内核猎杀火绒，连持久化都借了游戏启动器的签名

原创

安全情报官
安全情报官

AI和提效工具实验记

2026年10月8日 09:17
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

银狐给安全中心装上假绿灯：假杀毒注册+重签名驱动内核猎杀火绒，连持久化都借了游戏启动器的签名

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

1.补录头号增量：Atos 威胁研究中心 Campaign KCPhoenix 完整报告（8-31 披露、9 月上传 44 页 PDF）——银狐通过 AnyDesk 仿冒站（anydesk[.]nx[.]cn）投递木马化安装包，链条三大首创：向 Windows 安全中心注册假杀毒软件（IWscProduct2::Register，系统持续显示\"受保护\"而真实防护已被禁用）、重签名 K7RKScan.sys BYOVD 内核态猎杀火绒 PPL 进程、计划任务只启动签名 Blizzard 二进制再间接拉起恶意载荷。本报 8 月 31 日及 9 月上旬均未覆盖此报告，今日补录。

2.监测面结构性变化一：Derp ValleyRAT 7 天 C2 tracker 已下线——页面改版为\"Malware Profile\"家族画像形态，窗口日期/每日计数/Last activity/地理与托管商统计区块全部消失，仅保留样本库（36 个沙箱样本）。连续 4 天的\"冻结双假设\"判读就此结案：非投放静默、非采集盲区，而是页面产品化改版。C2 观测能力丢失，样本观测保留。

3.监测面结构性变化二：微步 IoC 单日 +372（7,254→7,626，约日常 20 倍）——继 9-04 微软披露后又一次批量入库；热点面板 10-08 已刷新，阿里云 OSS 三桶回归域名榜（3/15），双层随机 DGA zycbmnsuwyq.com 族与拼音串域回潮。

4. Derp 样本面（改版后唯一保留的观测维度）：10/6-10/7 连续两天各 9 个新样本进入沙箱库（此前日均 0-1），投放活跃度回升信号明确，但配套 C2 信息已不可见。

5. 官方通报面无增量：CCTGA 第六批未发布（第五批 9-23 后已 15 天，转常态化后节奏放缓）；过去 24h 无中文厂商新原始披露。

二、重点事件

事件 1（补录·头条）：Atos 披露 Silver Fox「KCPhoenix」活动——假杀软注册 + 重签名驱动 BYOVD + 签名游戏启动器持久化

•时间：2026-08-31（页面披露）/ 2026-09（44 页完整 PDF 上传）；活动期 2026-07 至 2026-08

•来源：Atos Threat Research Center（Campaign KCPhoenix: Inside Silver Fox's latest ValleyRAT chain）

•要点：

•投递：AnyDesk 仿冒站点 anydesk[.]nx[.]cn 下发木马化 AnyDesk v9.7.4 安装包（PyInstaller dropper）；同活动诱饵家族含 LetsVPN、Bitbrowser、chorme\_setup（拼写陷阱版 Chrome）、TD\_setup 共 7+ 仿冒品牌

•五阶段链：AnyDesk.exe（PyInstaller）→ setup.exe 核心编排器 → SafeCenterController.exe（WSC 欺骗）→ Donut 加载器（Chaskey 加密）→ ValleyRAT（KCP/UDP C2）

•防御破坏三连：① route -p add 0.0.0.0 空网关路由使 360 云查询失效；② SafeCenterController.exe 调用 IWscProduct2::Register() 向 Windows 安全中心注册假 AV（\"安全中心持续绿灯\"）；③ 重签名 K7RKScan.sys（K7 Computing 合法驱动）经 DosK7RKScnDrv 服务加载，IOCTL 0x222018 内核态 ZwTerminateProcess 终止火绒 PPL 保护进程（HipsDaemon/HipsMain/HipsTray/wsctrlsvc），用毕即删

•持久化创新：计划任务（\Microsoft\WindowsUpdate / \Microsoft\WindowsSafe）不直接执行恶意文件，而是启动签名 Blizzard 启动器（Battle.net.exe --from-launcher）再拉起 C:\config\Battle.net.exe 恶意副本——\"签名链套娃\"绕过执行链信任检查

•C2：8.210.132.145:8888/UDP（KCP 协议，主备双条目同主机 + 127.0.0.1 占位）；配置以倒序 UTF-16 存储抗字符串提取；HKCU\\Console\\IpDate 注册表热轮换 C2（无需重部署）；构建标签\"默认\"，版本 1.0，构建日期 2026-07-03

•命名由来：KCP 传输协议 + PDB 路径字符串 BOP\_phoenix\_release\_2.51.0（嵌入的 Blizzard 签名二进制）

•归因：Silver Fox / TA4922，高置信（ValleyRAT 技术标记与既往分析吻合）

•影响面：中文用户（AnyDesk/VPN/浏览器仿冒生态）；火绒个人版与企业版终端均为驱动猎杀目标；依赖 Windows 安全中心状态做合规判断的企业面临\"假绿灯\"风险

事件 2：Derp ValleyRAT C2 tracker 下线，页面转型家族画像

•时间：确认于 2026-10-08（页面已无 tracker 区块，HTML 级验证）

•来源：derp.ca/win\_valley\_rat（改版后形态）

•要点：

• 7 天滚动窗口、每日新增计数、Last activity、地理/托管商统计、逐日 C2 明细全部消失；替代内容为家族能力画像（BYOVD/侧加载/注入等）、36 个沙箱样本库（最新 24 个可见）、105 项 ATT&CK 技术、2 个关联 CVE（CVE-2023-52251 wsftprm.sys / CVE-2025-68947 NSecKrnl，与 Alpha Cyber 9-28 驱动清单互证）、关联威胁主体（mallory.ai actor 链接）

•10/04-10/07 连续 4 天\"窗口冻结 9/28-10/4\"之谜结案：既非真休眠（假设 A）也非采集盲区（假设 B），而是页面改版期间数据管线停更——双假设框架一并作废

• 样本库成为唯一连续观测维度：10/3=1、10/4=1、10/5=4、10/6=9、10/7=9——近 48h 提交量跳升一个数量级

•影响面：以 Derp 为银狐 C2 脉搏的监测流程需要重建替代源；样本哈希仍可用于狩猎（10/7 九哈希已列入 IOC 表）

事件 3：微步 IoC 库单日 +372，热点面板全量换血

•时间：2026-10-08（\"08日更新\"）

•来源：微步在线银狐情报共享站

•要点：

• IoC 总量 7,254 → 7,626（+372），为 9-04（微软披露 +438）后最大单日增量，推测与 Alpha Cyber 9-28 签名驱动报告的批量化入库有关（微步事件库 10-07 已收录该报告为含 IoC 事件）

• 域名榜：阿里云 OSS 三桶占 3/15（26nn + mm2027 杭州、s18yun 北京）；双层随机 DGA 回归（dlcbezpq.zycbmnsuwyq.com / iqdpnftajtgp.zycbmnsuwyq.com，9-06 首现后二次成簇）；拼音辅音串域回潮（ttpkklghss.cn、pcjasjadnwwqe.cn，9-17 世代）

• IP 榜 15 条全换新：阿里云 HK（47.243.36.18 / 8.218.118.101 / 47.75.119.86）+ AWS HK（18.166.189.193 / 43.199.102.3）+ 137.220.153.x 段双 IP + 134.122.173.x 段双 IP

• 微步事件库 10-06 条目标题为「银狐谱系近24小时无新增披露，C2窗口停滞需回撞排查」——微步侧也独立观察到 C2 窗口停滞，与 Derp 改版时间线吻合（佐证 9/28-10/4 数据静止为管线层现象）

•影响面：存量 C2 回撞排查（30 天日志）仍是当前最有效狩猎动作；HK 云厂商 IP 段告警优先级维持

三、技术分析

3.1 KCPhoenix 五阶段链拆解（Atos，补录）

AnyDesk 仿冒站 anydesk.nx.cn   └─ AnyDesk.exe（PyInstaller dropper，9f1effd1… 合法 AnyDesk v9.7.4 诱饵并行释放）       └─ setup.exe（核心编排器，bad1a1ee…）           ├─ 反沙箱：资源/环境检查           ├─ 360 破坏：route -p add 0.0.0.0（云查询黑洞）           ├─ explorer.exe 启动合法 AnyDesk 诱饵（前台掩护）           └─ XOR 解密 shellcode 内存执行               └─ SafeCenterController.exe（0a6241dd…）                   ├─ 注册假 AV 到 Windows 安全中心（IWscProduct2::Register）                   ├─ SafeCenterService（AUTO_START）+ SecurityCenterPipe 命名管道                   └─ ProgramData\\SecurityCenter\\Runtime\\SecurityProviderCore.dll                       └─ Donut 加载器（Chaskey 加密，f5449806…）                           └─ ValleyRAT（380fec9c…）                               ├─ 进程注入 tracerpt.exe（T1055.012 hollowing）                               ├─ K7RKScan.sys BYOVD（e2461a17…，重签名）                               │   └─ IOCTL 0x222018 → 内核态杀火绒 PPL 进程                               ├─ C2: 8.210.132.145:8888/UDP (KCP)                               └─ 计划任务 → Blizzard 签名启动器 → C:\\config\\Battle.net.exe

3.2 ATT&CK 映射（KCPhoenix 增量项）

3.3 Derp 改版后样本面信号

• 10/6-10/7 各 9 个新 SHA256 入库（10/7 全列见 IOC 4.4）；家族标注 SilverFox/Winos4.0

• 页面引用 Qt loader 样本 2cb56149…（编译于 2026-04-08，内嵌阿里云 HK IP 列表）作为家族关系参照——4 月编译的加载器仍在当前样本簇中复用，侧写银狐\"旧件新用\"的工程习惯

• 关联 CVE 双驱动（wsftprm.sys / NSecKrnl64.sys）与 Alpha Cyber 9-28 报告的 13+ 驱动清单形成三角互证

四、IOC 清单

4.1 KCPhoenix 网络 IOC（Atos，补录）

4.2 KCPhoenix 文件哈希（SHA-256，主链 9 个）

同活动附加样本（hunting 用）：045200c6…（TD\_setup\_x86）、cbb932c3…/764b50ab…（LetsVPN ×2）、8fd76ab0…（Bitbrowser）、fef2d795…/17e67705…/81b0f7b1…（chorme\_setup ×3）——完整值见 Atos 报告 12.2 节。

4.3 KCPhoenix 主机侧 IOC（高价值检测点）

4.4 Derp 样本库 10/7 新增（9 个 SHA256）

96c47aec9e0b6b27609818ca4380f44d7b05ac1955952e1f18a9db4f88f8a40b / 714eb0d131c6acc719fd7613d98fb2955ff4db085d7796b01289ebd9621d8f4c / ebcdd96e39d287d2ca4fa6a87212d015f10c1b8356b9dece8614591ca6ed4c42 / 18b4f2dd3635a88ebe1cfaebf7989f3c094668a53ddae3b1a327591a10d17590 / 8873d01e1ab920276566c04b21966d470fa4a56dd487b86d5ce504fcc33c7294 / aca73902d6b216553b38176fdd1181e4dd669f8d25868db4eb8feaf7fb19df5d / 5b7e8eff2805f6fe579abda73e84f752457d621d908d016c0be5d74f4d12e2ba / 70b0eff99a3496edfeff7beb47a508bee36c3b5b1414df3f1e2ebe225e44ce2a / 65446b72ba26b2b02e1a4b172ba5217cc0e0cc487eeab25e2bdf59ec4a91b73e

4.5 微步热点 IoC（10-08 批次，节选）

五、检测与防护建议

1.Windows 安全中心\"假绿灯\"检测（本轮最优先）：监控非安全进程调用 IWscProduct2::Register()；审计 SafeCenterService 服务创建与 ProgramData\\SecurityCenter\\Runtime\\ 路径落盘；安全中心显示\"已保护\"与 EDR/AV 实际进程存活状态做双源交叉校验——两者不一致即为高危信号。

2.K7RKScan BYOVD 阻断：将 K7RKScan.sys 已知哈希（e2461a17…）加入驱动黑名单；监控 DosK7RKScnDrv 服务注册与 \\Device\\NTK7RKScnDrv 设备创建；微软漏洞驱动黑名单（HVCI）确认已更新至包含 K7RKScan 的版本。

3.持久化链审计：\Microsoft\ 命名空间下新建 WindowsUpdate / WindowsSafe 计划任务且注册者为 PowerShell/非系统进程 → 告警；Battle.net.exe --from-launcher 命令行出现在非 Blizzard 安装路径（C:\config\）→ 告警；Local\MyLoveMutex\_Fixed mutex 创建 → 立即隔离。

4.C2 面向网络侧：8.210.132.145:8888/UDP 全量回撞；KCP over UDP 特征（非标端口高包频 UDP 会话）纳入流量基线偏差检测；HKCU\\Console\\IpDate 注册表值监控（C2 热轮换通道）。

5.存量回撞（延续建议）：Derp tracker 下线后，9/28-10/4 窗口 12 个 C2 与历史全量 C2 清单的 30 天日志回撞仍是当前最高性价比动作；10/6-10/7 的 18 个新样本哈希加入沙箱/EDR 检索。

6.邮件网关：AnyDesk/LetsVPN/Bitbrowser/\"chorme\"（拼写陷阱）安装包主题的投递过滤维持最高优先级；anydesk.nx.cn 及同类 .nx.cn 仿冒域加入封禁。

六、参考来源

二次传播甄别（不计增量）：buzonalia「MODBEACON 新 RAT」= 奇安信红雨滴 2026-07-07 披露的旧闻（本报 7 月底已覆盖）；南通大学 10-07 转载 CCTGA 第二批通报 = 9-01 旧文；网安局 5 起银狐案例 = 6-16 公安部旧案回流。

脚注：CCTGA 专项节奏（8-28/9-01/9-11/9-17/9-23 五批）后第六批未发，9-28 专项转常态化治理；Derp「冻结双假设」框架（10-06 提出）随 tracker 下线正式结案。

本日报由自动化脚本生成 · 仅供企业蓝队参考