银狐投递包变工具箱：一个PyInstaller包塞7款伪装软件，连假Defender都敢冒充

原创

安全情报官
安全情报官

AI和提效工具实验记

2026年10月11日 10:12
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

银狐投递包变工具箱：一个PyInstaller包塞7款伪装软件，连假Defender都敢冒充

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

1.ValleyRAT 10 月投放确认连续 7 天：Derp 样本库 54→62（+8），10/9 计数从 3 回填至 11（回填规律第 2 次兑现）；10 月序列 10/3=1、10/4=1、10/5=4、10/6=9、10/7=9、10/8=13（修正）、10/9=11——10 月第二周日均约 8.6 个样本，远超 9 月日均 0-1，为 9 月中旬以来最强连续投放期；「10.4 构建」活动（C2 156.247.40.74:9295/9296）仍在收样窗口内。

2.微步共享站恢复刷新（「11日更新」批次）——连续 2 日未刷新的异常解除（符合历史 2-3 天恢复规律）。热点三榜大换血；样本痕迹池出现「PyInstaller 工具箱全家桶」投递包：Temp\\_MEI0000138c2\\_pack_tools\\ 单包内嵌 7 款伪装系统工具（机器码查询/DX 修复/驱动总裁/Windows Defender 等）；域名↔落盘同名规则第二次验证（域名榜 htrjhj.fit 与痕迹池 C:\\Users\\Public\\Videos\\htrjhj__fit.dll 同批次互证）。

3.微步社工关键词进入「Q3 人员调整」季：近 30 天热词「人员名单 / 第三季度 / 补偿 / 裁员 / 违纪 / 违规」——Q4 初以「第三季度考核/裁员名单」为饵的定向钓鱼进入活跃期，中文区 HR/财务岗位为首要目标。

4.谱系相邻新案例（本报首覆盖）：Morphisec 10-8 发布《From WhatsApp to SYSTEM: VulcanRAT207.A》——WhatsApp 财务文档诱饵 → PoolParty 变体 7 注入 Task Scheduler 获取 SYSTEM → GoFly64.sys BYOVD 内核杀百度安全进程 → Vulkan 三件套侧载持久化（计划任务「USOPrivate Kit」）→ WebSocket RAT（61.18.208.27:8888）。Morphisec 明确声明与 ValleyRAT/Silver Fox 不建立共同操作者，但 PoolParty 注入/BYOVD/侧载/计划任务 TTP 与银狐高度同构，Derp 已将其收录进 ValleyRAT 报告页。

5. CCTGA 第六批通报 19 天未发（第五批 9-23 后，超历史最大间隔 10 天）；Triage 沙箱服务今日 502 宕机，10/9 回填样本的 C2 配置补验受阻（待核实项）。

二、重点事件

事件 1（今日头条）：ValleyRAT 10 月投放连续 7 天——10/9 回填 +8，第二周日均 8.6 个样本创 9 月中旬以来新高

•时间：样本分析日期 10/3-10/9（构建标记 2026.10.4 活动主体）

•来源：Derp ValleyRAT Malware Profile 样本库（54→62，今日 09:15 解析）

•要点：

• 样本库 +8（全部为 10/9 回填：3→11），回填规律第 2 次兑现（T+1 回填 +8，昨日待办①完成）

• 10/8 计数核定为 13（昨日日报记 15，系当日把部分 10/9 计数并入，今日以页面 24 条全量解析修正）

• 投放序列（T+2 以上可信）：10/3=1 → 10/4=1 → 10/5=4 → 10/6=9 → 10/7=9 → 10/8=13 → 10/9=11（T+2 初判）——连续 7 天无零日，与 9 月「日均 0-1 + 脉冲」形态彻底分化

• 新回填 8 个样本（a5b7a603 / fb99a659 / 5cf12f54 / d1b771c6 / 86d1d60b / 8bc8cf4b / 2116cdfc / 913d1884，SHA256 见 4.1）：C2 配置待补验（Triage 服务 502 中）——按活动聚类先验（前 4 个已核样本均指向 156.247.40.74:9295/9296），高概率属同一 10.4 活动

•影响面：中文区企业终端；10.4 活动投放期未见收敛，156.247.40.74 阻断建议维持；新 8 哈希应立即入 EDN/NGFW 检索集

事件 2：微步恢复刷新——「11日更新」批次热点大换血 + PyInstaller「工具箱全家桶」投递包首现

•时间：2026-10-11（微步批次标签「11日更新」）

•来源：微步在线银狐情报共享站

•要点：

•刷新恢复：连续 2 日未刷新后恢复（10-09、10-10 两日为 09 批次），平台节奏符合历史 2-3 天规律；IoC 总量数字因页面改为 JS 动态加载暂无法读取（待核实）

•PyInstaller 工具箱全家桶（本期最高价值新指纹）：C:\\Users\\Administrator\\AppData\\Local\\Temp\\_MEI0000138c2\\_pack_tools\\ 目录下同包释放 7 款伪装工具——EPTHWID.exe、机器码专业查询工具.exe、Windows Defender.exe、DX修复\\DirectX Repair.exe、KSQD.exe、PE.exe、DrvCeo.exe（驱动总裁）——投递形态从「单一伪装安装包」升级为「系统维修工具箱集合」，捆绑真实工具名降低戒心；_MEI0000138c2 后缀跨 7 条痕迹一致 = 同一投递包指纹

•域名↔落盘同名规则第 2 次验证：域名榜 htrjhj.fit（9-20 首现的 .fit 新 TLD）与痕迹池 C:\\Users\\Public\\Videos\\htrjhj__fit.dll 同批次互证——「DGA 域名主域 ↔ 落盘 DLL 名（下划线替换点）」关联规则可信度上升，可用于溯源落盘样本对应 C2

• 热点域名大换血（vs 09 批次）：新面孔 shybw6.oss-cn-beijing（北京新桶，09 批次为 zz9jy8）、dnyk123.xyz、asdopdkdz.cn、yuanqi2.top、fa727.com、lymjfvofm.zycbmnsuwyq.com（双层随机 DGA 回潮）、oone8de.cn、dfsgrew.vip、tyyyoksdgxs.cn、nvpkkuallin.com、yyyndym.icu、yusx04.cc；留存 mm2027/26usdm OSS 桶、htrjhj.fit

• 热点 IP 段内轮换持续：137.220.153.172（137.220.x 段第 4 IP）、156.251.16.148（156.251.x 新 IP）、134.122.185.201（134.122.x 段第 4 IP）、95.40.212.12（95.40.212.x 回归）+ 45.202.1.159、47.86.107.81、64.90.27.220、45.64.52.195、8.210.119.139、45.119.98.6、8.217.62.89、45.194.37.131、13.251.141.20、192.229.87.72、18.167.107.230

•影响面：_MEI0000138c2\\_pack_tools\\ 与 Public\\Videos\\*__*.dll 应纳入终端狩猎规则；四个段（137.220.x / 156.251.x / 134.122.x / 95.40.212.x）段级评分再获增量证据

事件 3（谱系相邻）：Morphisec 披露 WhatsApp→VulcanRAT207.A 全链——PoolParty 变体 7 + GoFly64.sys BYOVD，TTP 与银狐高度同构但归因切割

•时间：2026-10-08 发布（Derp 10-9 收录，本报今日首覆盖）

•来源：Morphisec Blog《From WhatsApp to SYSTEM: Inside the VulcanRAT207.A Intrusion Chain》

•要点：

•投递链：WhatsApp 财务文档诱饵携带 Statement.exe（ZIP 内）→ NRV2E 压缩壳（纯内存解包、零落盘）→ 8 点环境筛查 → COM 提权（runas 兜底）→ 还原干净 ntdll.dll 去 user-mode hooks → PoolParty 变体 7（线程池 IoCompletion）注入下载器 shellcode 至 Task Scheduler 服务进程（LocalSystem，后续组件全部继承 SYSTEM 令牌）→ HTTP POST 信标 61.18.208.27:8888（0x0207 magic header 校验）→ Huffman 解码 Deployment DLL → 三路并行：① GoFly64.sys BYOVD（合法签名中国网络过滤驱动，LOLDrivers 已收录）IOCTL 0x12227A 内核态杀百度安全进程；② 内存执行 vulkan-1.bin WebSocket RAT；③ 写 Vulkan 侧载三件套至 C:\\Program Files\\Common Files\\（Intel 签名 vulkaninfo-64.exe + vulkan-1.dll + vulkan-1.bin）+ SYSTEM 计划任务 「USOPrivate Kit」 持久化

•VulcanRAT207.A 能力面：主机监控、远程桌面、账户操纵、进程注入、WFP 流量过滤、事件日志访问、命令驱动内核驱动部署

•归因边界（重要）：Morphisec 原文明确「the reports do not establish a common operator」——与 ValleyRAT/银狐不建立共同操作者；但 PoolParty 线程池注入（微步 2025-10 月报银狐已用）、BYOVD 杀国产安全软件、签名宿主侧载、计划任务持久化四项 TTP 与银狐完全同构，属中文黑产通用战术池的最新复用样本；Derp 已收录至 ValleyRAT 报告页（附带 Check Point ValleyRAT 6000 样本/builder 泄露背景复核）

• 该报告为系列第 1 篇，第 2 篇（RomulusLoader 相关包）未发布，后续跟踪

•影响面：企业 IM 使用策略（WhatsApp 附件）；GoFly64.sys 应加入驱动黑白名单管控；「USOPrivate Kit」计划任务名与 Common Files\\vulkan* 三件套为可落地检测点

事件 4：CCTGA 第六批 19 天未发 + Triage 服务宕机（数据面备注）

•时间：核实于 2026-10-11

•来源：ANVA 共享平台列表页 / Tria.ge

•要点：

• ANVA 列表页 HTML 级核查：最新条目仍为 9-28 阶段成效通稿（webinfoId=813）+ 9-30 表彰通知（webinfoId=815），第六批恶意资产披露未发布（19 天，为此前最大间隔 10 天的近两倍）——结合投放回升，官方新批披露条件持续累积

• Triage（tria.ge）今日多次 502（Cloudflare 报主机错误），Derp 样本条目直链报告暂不可达——10/9 回填 8 样本 C2 提取受阻，列待核实；Derp 页面本身正常

•影响面：样本级 C2 管线单点依赖 Triage，恢复后应补验（本报明日例行）

事件 5（甄别）：过去 24h 中文/国际厂商零新原始披露（Morphisec 为唯一有效增量）

•时间：2026-10-10 ~ 10-11 检索

•来源：多源检索

•要点：

• 检索命中的 thehackingpost（印度税务钓鱼 = CloudSEK 9 月旧闻）、positioniseverything / techbloat（假 Teams = Kaspersky 9 月派生）、pid.co.il（Cato 日本制造商 = 9-30 更新的 7 月旧案，本报 10-07 经 Alpha Cyber 报告已核）、天际友盟（QN Wallpaper = Kaspersky 8-31 旧文）、Mallory.ai（actor 页面例行聚合，Last seen Oct 8 数据与本报已覆盖样本一致）、pcrisk（ValleyRAT 科普页更新）——均不计增量

• SecLens 两条 bulletins（347508 / 348061）为本报 10-06 / 10-07 期内容的知识库收录，无新数据

•影响面：无

三、技术分析

3.1 ValleyRAT 10.4 活动样本面更新（投放节奏与形态）

活动标记：   campaign_date = 2026.10.4（主体）+ 2026.9.3（ZillberReleyHost 大包） 已核 C2：   156.247.40.74:9295 / :9296（双端口冗余，4 样本共享）             161.248.15.160:80 / :443（+ 127.0.0.1:80 本地兜底） 10月序列：  1/1/4/9/9/13/11（10/3→10/9，连续 7 天） 形态分布：  小体积加载器（143KB-959KB）为主力 + 29MB 完整诱饵包（ZillberReleyHost.exe） 待补验：    10/9 回填 8 样本 C2（Triage 502，高概率同 156.247.40.74）

•Derp Actors 区块基础设施归组更新（今日新观察）：ZPAQ 六阶段链样本 2cb56149…（10-10 入库，「The Great Thief of Valley」条目）被标注绑定阿里云 HK 基础设施集群，操作者自 2025 年 3 月起持续运营同一命名空间，且与该集群内多节点关联——单样本→长期基础设施→运营时长三层归组，是 tracker 下线后 Derp 页面新增的情报维度

• 投放面结论：10.4 活动未随本周样本积累而收敛，投放端（仿冒站/IM 投递渠道）与收样端（C2）均处活跃期

3.2 PyInstaller「工具箱全家桶」投递包解构（微步 11 批次）

投递包目录： C:\\Users\\...\\Temp\\_MEI0000138c2\\_pack_tools\\   ← PyInstaller 运行时解包目录                                                           _MEI0000138c2 = 固定指纹（7 条痕迹一致） 内嵌伪装工具（7 款）：   EPTHWID.exe            （硬件 ID 查询语义）   机器码专业查询工具.exe    （真实工具名复用）   Windows Defender.exe    （伪 Defender，同目录出现=直接证据）   DX修复\\DirectX Repair.exe（真实工具名复用，DirectX 修复大师）   KSQD.exe                （语义待解，疑似\"快速启动\"）   PE.exe                  （通用工具名）   DrvCeo.exe              （驱动总裁，真实国产驱动工具）

•战术含义：单包多工具 = 「工具箱」形态投递，目标人群从「需要装某软件的用户」扩展到「修电脑/装机的运维与普通用户」；真实工具名（DirectX Repair/DrvCeo/机器码查询）在搜索引擎有真实下载需求，SEO 投毒承接面扩大

•与既有指纹关系：与 Public\\{随机6位}\\UxEnhance64.dll（本期痕迹池延续 13 个目录实例）、XPSPLOG.dll（Program Files (x86)\\{随机大小写}\\，本期 aLlFsd/y99aLY/Ju8uGZ 三目录 + Desktop\9W8uaTj\0J86wOt8 双层）为并行投递线；nvml.dll/nvml.bin（Common Files + Internet Explorer 双位）延续

• 其他新痕迹点：Temp\\WPD\\{GUID}\\A1CECF\\DtSuO.exe / i8hRuF.exe（WPD 双 GUID 目录）、C:\\golang\\Zp5Tm\\...\\AliyunWrap.dll（golang 目录伪装）、C:\\bstlog\\55IndI\\...\\OR.vd、AppData\\Roaming\\234HJG5FHG...（67 字符键盘串）\\is-OTDKO.tmp、ProgramData\\Microsoft\\EdgeUpdate\\active_desktop_render_x64.dll + Roaming\\Microsoft\\EdgeUpdate\\edgestore.dll（EdgeUpdate 目录新载荷名）、Temp\\PDFCORE8.DLL（与 Cato 日本案 rogue DLL 同名）、assembly\\dl3 双层（Local\\Local\\assembly\\dl3\\Lqky5Q\\... 注意 Local 双写）、client\\19F83r2G\\is-*.tmp（Inno Setup 临时）

3.3 ATT&CK 映射（本期增量项）

3.4 监测面数据质量备注

•Derp 样本回填规律第 2 次兑现（10/9：3→11，+8）——T+1 回填滞后为常态，单日计数 T+2 复核制继续执行；T+0/T+1 只作趋势参考

•微步 IoC 总量暂不可读：页面统计区改为 JS 动态渲染，静态抓取与 WebFetch 均无法取得数字——总量曲线中断一天，待平台侧数据接口可访问后恢复（不影响热点三榜与痕迹池采集）

•Triage 单点故障：Derp→Triage 直链是当前样本级 C2 唯一管线，今日 502 中断暴露单点依赖；恢复后补验 10/9 批次（明日例行）

四、IOC 清单

4.1 Derp 10/9 回填新样本（8 个，C2 待 Triage 恢复后补验）

4.2 活动级 C2（延续有效，10-10 期核验）

4.3 微步「11日更新」热点（域名 15 / IP 15，全量）

4.4 样本哈希（微步 11 批次热点 Hash 前 5）

4.5 落盘路径指纹（本期新观察）

五、检测与防护建议

1._MEI0000138c2\\_pack_tools\\ 与「Windows Defender.exe 出现在 Temp」零容忍告警：合法 Defender 从不落盘 Temp\_MEI 路径；_pack_tools 目录名 + 7 款工具集合为高置信组合指纹，建议 EDR 文件规则 + 邮件网关/IM 传输扫描同步布防（该形态面向装机/维修场景，运维人员也是受众）。

2.10/9 回填 8 哈希立即入检索集（4.1 节）：虽 C2 待补验，活动归组先验下按 10.4 活动同链处置；156.247.40.74 双端口阻断维持，回溯窗口建议 30 天。

3.四个段级评分再加固：137.220.x / 134.122.x / 156.251.x / 95.40.212.x 各自段内第 4 个 IP 出现——「段级告警优于单 IP 封禁」连续第 N 次兑现；新桶 shybw6.oss-cn-beijing 与既有 26usdm 并存，OSS 桶子域（数字/字母串前缀 + oss- 区域后缀）维持优先告警策略。

4.VulcanRAT207.A 检测点落地（谱系相邻防御）：计划任务名「USOPrivate Kit」、Common Files\\vulkan-1.dll 与签名 vulkaninfo-64.exe 同目录组合、GoFly64.sys 驱动加载（建议加入 Microsoft vulnerable driver blocklist 核对 + 自建 LOLDrivers 比对）、对 61.18.208.27:8888 出站阻断——即便归因不同，同一战术池的攻击者会复用这些组件。

5.Q3 人员调整话术季提醒（邮件网关/IM DLP）：「第三季度 + 名单/裁员/补偿/违纪」关键词组合的附件投递进入活跃期，HR 与财务岗位定向；建议对含此类关键词的压缩包/EXE 附件执行拦截-白名单制。

6.Triage 恢复后补验 10/9 批次 C2（本报明日例行）：若出现新 C2（非 156.247.40.74），则 10.4 活动可能已进入基础设施轮换期，需重估封禁策略时效。

六、参考来源

二次传播甄别（不计增量）：thehackingpost 印度税务 = CloudSEK 9 月旧闻；positioniseverything / techbloat 假 Teams = Kaspersky 9 月派生；pid.co.il 日本制造商 = Cato 7 月旧案（Alpha Cyber 10-07 已核）；天际友盟 QN Wallpaper = Kaspersky 8-31；Mallory.ai = actor 聚合页；pcrisk = 科普页更新；SecLens 347508/348061 = 本报 10-06/10-07 期内容收录。

脚注：CCTGA 专项五批（8-28/9-01/9-11/9-17/9-23）后第六批 19 天未发；Derp C2 tracker 已下线，样本级 C2 提取为替代管线（依赖 Triage 可用性）；昨日「10/8=15」计数修正为 13（页面 24 条全量解析口径）；微步 IoC 总量数字因 JS 渲染暂不可读（待核实）。历史背景（银狐命名之争、勒索延伸框架、专项打击成效、DoH 链、KCPhoenix）见本报 10-03 / 10-04 / 10-08 / 10-09 期。

本日报由自动化脚本生成 · 仅供企业蓝队参考