关于“银狐”木马“甲蚁（G01）”团伙攻击态势深入分析报告

天融信

2026年9月29日 12:04
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

以下文章来源于国家互联网应急中心CNCERT
，作者CNCERT

国家互联网应急中心CNCERT
.

国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称CNCERT或CNCERT/CC），成立于2001年8月，为非政府非盈利的网络安全技术中心，是中国计算机网络应急处理体系中的牵头单位。

本报告由CNCERT与天融信科技集团股份有限公司共同发布。

一、概述

在“银狐”木马专项工作中，CNCERT联合天融信科技集团股份有限公司共同监测发现，“甲蚁（G01）”团伙近期通过搜索引擎SEO投毒与关键词竞价引流，利用AI批量复刻高仿真软件下载站传播银狐木马。经专项工作组对该团伙攻击资源与传播控制方式开展关联分析发现：其抢先实名注册“.com.cn\.cn”后缀域名并按统一模板批量命名，仿冒“SafeW”“FinalShell”“NexusDesk”等常用工具软件的官方下载入口，恶意载荷统一托管于云对象存储服务；用户被诱导下载并运行恶意MSI安装包与多阶段下载加载器后，样本在显示正常软件安装界面的同时，于后台以“白加黑”侧加载方式分阶段加载后续程序，写入Windows%20Defender排除项、实施进程注入、注册计划任务，并篡改hosts阻断安全软件站点访问，随后连接境外C2服务器，建立远程控制通道。

专项工作组已核验仿冒域名1060个，单日注册峰值110个，活跃C2地址2个。2026年9月15日至22日，CNCERT监测发现该团伙共控制境内肉鸡达8708个。其中，单日上线数量峰值2361个。此次攻击活动威胁使用开发运维类工具的个人及企业用户，此类用户因工作需要，普遍持有高价值主机权限，其终端一旦被控，攻击者可利用这些权限进一步横向移动，扩大影响范围。

图%201%20“甲蚁（G01）”团伙攻击活动总体链路

二、恶意样本分析

该团伙使用单一控制邮箱批量注册数百个域名，借用他人实名信息完成“.com.cn”域名注册，再利用AI批量复刻多个品牌官网。各仿冒站点通过统一后台提供恶意载荷，同名压缩包按次打包，哈希值各不相同。站群托管于价格低廉、溯源困难的境外服务，第三方流量统计平台（51.LA）则用于核算投入产出比、调整仿冒主题。其仿冒对象已从大众软件转向开发运维类工具，此类目标用户持有的主机权限具有更高价值。

（一）团伙概况

表%201%20“甲蚁（G01）”团伙概况

（二）传播资源与基础设施特征

表%202%20传播资源与基础设施特征

域名注册信息显示，注册人姓名和身份证号对应真实公民，控制邮箱则为境外免费邮箱。反查发现，同一控制邮箱关联多个注册人姓名，并轮换使用。这表明攻击者批量借用他人身份注册域名，注册信息中暴露的是无关公民的身份。

图%202%20域名whois身份信息与控制邮箱错位

图%203%20单邮箱多姓名轮换

图%204%20多个仿冒域名解析至香港Cogent

三、典型攻击活动分析

（一）传播入口

用户在搜索引擎检索“FinalShell下载”等关键词后，会被引导至“ssh-finalshell.com[.]cn”等仿冒站点。该站点冒充FinalShell官方正版下载入口，提供携带银狐木马的恶意压缩包。该团伙还批量注册并运营“apps-finalshell.com[.]cn”“www.ch-finalshell.com[.]cn”“web-finalshell.com[.]cn”等域名，均沿用“前缀-finalshell.com.cn”的命名模板。

图%205%20由AI批量复刻生成的高仿真FinalShell仿冒下载页面

本次活动主要仿冒开发运维类工具，早期活动则集中仿冒Chrome、WPS、Telegram等大众软件。FinalShell是常用的远程连接（SSH/SFTP）客户端，用户中有大量持有高价值主机权限的运维与开发人员。此类用户的主机一旦被控，攻击者可利用其权限进一步横向移动。

仿冒页面采用高度标准化的前端结构、规整的HTML注释和通用前端技术栈，与官方网站的文字并非逐句对应。同一仿冒主题下，不同时间注册站点的页面布局和内容也趋于一致。综合这些特征，研判认为，此类页面由AI爬取原官网后批量复刻生成，可同时用于仿冒多个品牌。

该团伙还大量选用需强实名的“.com.cn”后缀，通过前期泄露数据中的“姓名、身份证号”组合完成注册，借用他人身份规避溯源。

（二）跳转与下载链

传播链路为“搜索结果->仿冒域名入口->云对象存储->恶意样本”。恶意资源多托管于阿里云OSS等云对象存储服务，下载过程中设置多层跳转，以迷惑用户并降低早期被检测拦截的概率。

图%206%20“FinalShell”传播链完整跳转及下载链

表%203%20传播链各环节

对同一入口多次下载的样本进行校验发现，文件名相同，哈希值却不同，表明服务端按次打包并持续更新恶意程序，以规避哈希特征检测。FinalShell传播链中的instell\_s2.0.0x.zip存在这一现象，例如，FinalShell与NexusDesk仿冒站点提供的压缩包名称也完全一致。

表%204%20同一下载入口多次下载所得样本的哈希

（三）样本落地与执行

钓鱼站点提供的压缩包仅包含一个伪装成安装程序的Windows%2064位可执行文件，大小为35,473,200字节。不同入口提供的同名文件哈希值不同，表明服务端按次打包并持续更新载荷，以规避哈希特征检测。样本携带的第三方签名与文件实际摘要不符，属于伪造签名。入口程序在公共用户目录释放组件、注册计划任务后退出，后续组件由计划任务逐级启动。各阶段的存放位置、命名方式和触发机制相互独立，部分组件利用带有效签名的第三方程序侧加载恶意模块，形成“白加黑”结构，并通过随机命名和伪装扩展名规避文件名与类型检测。

图%207%20受害者与样本关系

（四）远程控制与恶意功能

样本本体负责从远端下载载荷，自身不直接实施窃密，而是通过释放中间态EXE文件，再由中间态EXE释放最终载荷的分阶段投放方式实施攻击。

各阶段组件的存放位置、命名方式和触发机制相互独立，清除单个环节后，其余载荷仍可运行。执行链共设置6个计划任务，采用登录触发和周期触发，部分任务冒用系统更新名称并设为隐藏，使原始样本退出后仍可定时启动后续载荷。样本还以较高系统权限改写安全组件排除配置，将安全厂商域名指向回环地址。远控组件与境外C2地址保持TCP双向通信；配置和资源托管于云对象存储，可随检测情况替换，控制通道则通过非标端口直连并长期保持稳定。这种分开部署方式便于批量运营，也增加了封堵和溯源难度。

四、典型恶意样本分析

表%205%20样本基本信息

（一）初始载荷与解密加载

样本伪装成安装程序，实际为Windows 64位多阶段下载加载器。加载过程分为两层，依次获取配置、解码资源并加载后续程序。配置地址为“https://02bbe6.oss-cn-beijing.aliyuncs[.]com/tad”，程序还内置同站点下的 /s.dat 与 /s.jpg 资源地址。

原始程序首先在“C:\Users\Public\SXRh6d”目录释放bcCfOw.exe、UxEnhance64.dll及配套数据文件，并注册计划任务“fX8Ia”。原始进程退出后，任务计划服务启动bcCfOw.exe，由其加载同目录的UxEnhance64.dll，继续释放并启动VBV4HZ.exe。随后，VBV4HZ.exe加载同目录的XPSPLOG.dll连接远端服务器，同时释放XsOewfN.exe、Pl6VgrWG.exe与O02PwqGh.exe；O02PwqGh.exe再释放DnsrvKyi.exe。部分程序和目录采用随机命名：aLpkwp.exe与bcCfOw.exe内容完全相同，baKv9z.exe、PnA1azgv.exe分别与VBV4HZ.exe、XsOewfN.exe内容一致。

天融信李雪莹：“行动力”是风险的关键变量，智能体安全须构建体系化能力

天融信李雪莹：以共同任务贯通育人与创新，打造产教融合新范式

大模型如何从“能用”走向“好用”？光明网专访李雪莹：须筑牢安全防护体系

天融信专家对话央视：一句话“骗”过AI，警惕“提示词注入”攻击

天融信：以风险上限为判断依据，智能体安全是让所有行为都可度量、可控制

关注天融信了解更多信息