银狐钓鱼站5天一轮换样本：签名DLL尾部拼接骗证书，载荷藏进火山引擎TOS
原创
安全情报官
安全情报官
AI和提效工具实验记
2026年8月29日 09:34
日本
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
银狐钓鱼站5天一轮换样本：签名DLL尾部拼接骗证书，载荷藏进火山引擎TOS
SILVER FOX THREAT INTELLIGENCE DAILY
一、今日概览
1.火绒安全 08-25 发布银狐仿冒 DeepSeek 钓鱼站深度拆解（今日头号）：确认银狐黑产伪造 DeepSeek 官网、元宝下载站等 3 个同风格钓鱼页面，钓鱼下载链接以 5 天为周期快速迭代（第一代样本内部时间戳 2026.8.13、第二代 2026.8.18）；两代样本均基于 Setup Factory 框架 + HBuilderX 白加黑链，AES-256-CBC 解密密钥取自正常版本文件 151.0.7922.76.manifest 的 SHA-256；载荷托管从阿里云 OSS 扩展至火山引擎 TOS（volces.com）——银狐云托管版图新增一极。
2.52pojie 真实感染取证帖（08-25 06:18 编辑）补全完整 IOC：AI-Compare 的证据包新增完整域名后缀与 8 个阿里云 OSS 恶意载荷 URL（含 2bbaz2.oss-cn-beijing.aliyuncs.com 桶），确认投递站群包括仿冒 DeepSeek 域名 decpseek.com.cn——与火绒同日报告的仿冒 DeepSeek 主题互为印证，\"AI 品牌钓鱼 + AI 助手导流\"双线交汇。
3.微步 26 日批次（05:03）域名池 4 进 4 出：DGA 族长存活锚点 lysynur/lyryvex 跨批 >312h（13 天）、pujyjav 在榜，昨批 7 个 DGA 回归域名中 6 个继续留存；IP 侧 185.62.56.182 跨六批、217.23.9.206 跨五批继续长存活；累计 IoC 6,421（-9，平台去重）、事件 1,140 持平、狩猎 1,158 天；08-24 单日事件 1,119（复核值）、08-25 单日 934。
4.Derp 双档案观测延伸至 08-25：ValleyRAT 7d 窗口 C2 回落至 70 个（-6），但 08-25 单日新增 6 个样本中 5 个同时命中 ValleyRAT 与 SilverFox 双档案（跨族重合哈希），HK 53（76%）仍主导；SilverFox 7d C2 11 个（-3），08-25 同步 +5 样本。
5. 微步样本释放路径新亮点：伪装火绒安装包WebBrowser Plus\\sysdiag-all-x64-6.0.8.5-2026.01.11.1.exe（火绒产品名+版本号+火绒官方版本日期格式全仿真）、cloudflared 隧道工具滥用（genteeBD\\cloudflared_installer.exe）、Cndom6.sys 根目录驱动再现、YouDaoDic\\adddf.vbe 有道词典目录伪装、游戏辅助主题桌面载荷（HD_公益辅助.exe 等 3 个）。
二、重点事件
1. 火绒 08-25 新披露：银狐仿冒 DeepSeek 钓鱼站 5 天周期迭代 + 火山引擎 TOS 托管（今日头号）
| 项目 | 内容 |
|---|---|
| 时间 | 2026-08-25（火绒官网技术报告 vir\_report/2042） |
| 来源 | 火绒安全（huorong.cn） |
| 要点 | ① 三个同风格钓鱼页面：页面 1 伪造 DeepSeek 官网（蓝色，主推广目标，截至 08-20 已更新两轮下载地址）、页面 2 伪造元宝下载（下载已失效）、页面 3 伪造 DeepSeek 官网（紫色，仅完成域名映射、尚未绑定下载链接——银狐域名储备又一实证）；② 两代样本迭代周期约 5 天（第一代 2026.8.13 / 第二代 2026.8.18，依据文件修改时间戳+样本内部 bz 字段交叉印证）；③ 启动载荷用 Setup Factory 框架（一代 9.5.0.0 / 二代降回 8.2.1.0，低版本解压不释放中间文件），魔数 e0 e0 e1 e1 … e7 e7 定位加密数据；④ 白加黑链：白文件 HBuilderX.exe 侧载黑 DLL，黑 DLL 采用\"恶意代码 + 截断的真签名老版 HBuilderX.dll 追加在尾部\"构造——文件大小与属性页证书欺骗人工分析，但机器校验必失败；⑤ AES-256-CBC 密钥 = SHA256(151.0.7922.76.manifest)，解密 chrome\_proxy.exe 后内存反射加载；⑥ C2 明文配置（WINOS 标准格式倒序存放）：一代 202.162.99.165:441、二代 156.247.41.9:668，含构建日期字段 bz:2026.8.13/8.18；⑦ 最终载荷分两阶段：先以白驱动漏洞（EmbeddedDriverService 服务、0xB822200C 指令）关闭杀软，成功后才下载功能插件 shellcode 至注册表、注入 tracerpt.exe；⑧ 持久化：计划任务 MyApplicationTask/AutoRun（检测 360 存活时双模式切换）+ HKCU Run 键 MyUniqueCppApp；⑨ 通过注册表探测微信/QQ/钉钉安装与摄像头硬件；⑩ 火绒评估：开发者技术水平有限（或所用 AI 代码生成能力不足），存在启动项拼写错误等逻辑缺陷，但设计思路持续向\"正常软件释放逻辑\"靠拢 |
| 影响面 | ① 银狐\"5 天周期\"样本轮换节奏首次被量化披露——按日/按周更新的特征库天然滞后，蓝队需以行为+基础设施（TOS 桶、DGA 族）为主检测面；② 载荷托管新增火山引擎 TOS（deesv4/deev3/yuanbao1.tos-cn-beijing.volces.com）——此前仅见阿里 OSS/腾讯 COS/AWS S3，企业出口侧需把 volces.com 纳入\"未知子域下载\"审查清单；③ 未上线的紫色 DeepSeek 页面 + DomainTools 400 域名储备 + 8818 域名拓线，共同指向银狐域名储备式作战的运营常态 |
2. 52pojie 取证帖补全：完整投递域名后缀 + 8 个 OSS 载荷 URL（08-25 06:18 编辑）
| 项目 | 内容 |
|---|---|
| 时间 | 2026-08-25 06:18（AI-Compare 编辑；主帖 08-24 01:40 汤圆） |
| 来源 | 吾爱破解论坛 thread-2124432 |
| 要点 | ① 证据包补全完整域名：站群外壳域apps-hupu.com.cn（伪装虎扑）、decpseek.com.cn（仿冒 DeepSeek）；落地通信/中继域noah-ssh.com.cn、workers.dev（Cloudflare Workers）；下载服务域xujvgk.cn；② 8 个阿里云 OSS 恶意载荷 URL（含 2bbaz2.oss-cn-beijing.aliyuncs.com 桶）；③ 楼主补充受害细节：CPU 占用异常高、进程被结束后很快自动拉起（看门狗行为）、自装 AppControl UMCI 策略连带拦截部分恶意文件；④ 第三方查杀反馈：智甲个人版报 win32.ravartar、火绒 6.0.11.2（08-23 病毒库）报 Trojan/Injector.c!crit 并删除；⑤ 帖内无新受害者反馈，官方结论仍为\"重装系统是唯一可信恢复方案\" |
| 影响面 | ① decpseek.com.cn 与火绒同日披露的仿冒 DeepSeek 钓鱼站主题互证——银狐 AI 品牌钓鱼已成体系化产线；② OSS 恶意桶池扩容（2bbaz2 + 此前 26nn/bnqyz8/7new14/s18yun/710new），单桶封禁策略持续失效，建议按 *.oss-cn-beijing.aliyuncs.com/*.oss-cn-hangzhou.aliyuncs.com 未知桶名加严审查；③ .com.cn 双段仿冒域名（decpseek/xujvgk/noah-ssh）提示蓝队域信誉库需覆盖 com.cn 段 |
3. Derp 双档案：08-25 五哈希跨双档案重合，ValleyRAT C2 回落至 70
| 项目 | 内容 |
|---|---|
| 时间 | 观测窗口至 2026-08-25 |
| 来源 | Derp ValleyRAT 7d C2 Tracker（/valleyrat/）、Derp SilverFox 档案（/silverfox/） |
| 要点 | ① ValleyRAT 7d 窗口 70 唯一 C2（较昨日 76 回落 6），HK 53（76%）、US 11、CN 6、SG 4、AE 1（连续在榜，阿联酋节点从\"单次观测\"转为持续存在）；托管商前列：CTG Server 12、Amazon 11、Alibaba (US) 8、ABCDE 4、Turing 4、Cloudflare 3；② 08-25 单日 6 个 ValleyRAT 新样本中 5 个同时命中 SilverFox 档案（75a3ae54/765d34b2/86b34bd9/be2d998b/facf78d4）——继 08-22 首次发现跨档案重合后重合规模扩大，ValleyRAT 与 SilverFox 样本级同源再获实证；③ SilverFox 7d C2 11 个（-3），HK 10/US 1，托管商 CTG/Netsec 各 2；08-25 单日 +5 样本（与 ValleyRAT 侧重合 5 个）+ 08-23 的 9 个；④ 双档案样本与微步 26 日批次 30 哈希零重合，三平台捕获不同样本集群 |
| 影响面 | ① 跨档案哈希重合从 5 个（08-22）扩大到持续出现，银狐/ValleyRAT 样本归因界限进一步模糊，IOC 管理宜按\"银狐系\"整体运营而非按家族分池；② AE 节点持续在榜值得中东方向布防关注；③ CTG Server 连续多期居托管首位，可作托管商级封禁锚点 |
4. 微步 26 日批次：DGA 长存活锚点跨批 13 天，4 进 4 出
| 项目 | 内容 |
|---|---|
| 时间 | 2026-08-26 05:03 |
| 来源 | 微步银狐情报共享站 |
| 忔回 | ① 累计 IoC 6,421（-9，平台去重）、事件 1,140 持平、狩猎 1,158 天；② 域名池 4 进 4 出：新进 etgul.cn、oone8de.cn、hhwqascxsdr.cc（隔批回归）、akyv188.club；退出 vocyruk/qexylup/qexyryl/vofymik（预计隔批回归）；lysynur/lyryvex 跨批 >312h（13 天）、pujyjav、gacyryw、qedyfyq、qekykev、lyryfyd、lyxywer、lyvytuj、qedynul、sx006a.top 留存；③ IP 跨批留存：185.62.56.182（跨六批+）、217.23.9.206（跨五批+）、18.167.107.230（AWS 香港段）、192.252.183.183/.157/.224（192.252.183.x 段同批 3 IP）；④ 30 哈希全量轮换零重合；⑤ 热点词维持人事公文主题：名单 111/方案 77/补偿 77/裁员 77/违纪 55/人员名单 47/违规 44；⑥ 08-24 单日事件 1,119、08-25 单日 934（08-23 复核 868） |
| 影响面 | ① DGA 族长存活锚点跨 13 天仍活跃，\"隔批回归\"节奏延续——按域名族整体加黑仍优先于按日批次；② 192.252.183.x 段同批 3 IP 出现，可做 C 段级封禁评估；③ 伪装火绒安装包（sysdiag-all-x64）落地意味着银狐开始滥用安全厂商产品名做社工，与此前仿冒 ChatGPTNetService 同属\"信任链伪装\"升级 |
三、技术分析
火绒链 ATT&CK 映射（今日新增）
| 技术 ID | 技术名称 | 今日证据 |
|---|---|---|
| T1566.002 / T1204.002 | 钓鱼链接 / 用户执行 | 仿冒 DeepSeek/元宝钓鱼站，下载链接 5 天周期轮换 |
| T1036 | 伪装：白+黑 DLL 尾部拼接签名 | HBuilderX.dll 恶意代码 + 截断真签名 DLL 追加（证书属性页欺骗） |
| T1574.002 | DLL 侧加载 | HBuilderX.exe 侧载 HBuilderX.dll（两代样本同链） |
| T1027 | 加密载荷：AES-256-CBC | key=SHA256(151.0.7922.76.manifest)、IV=0，解密 chrome\_proxy.exe 内存反射加载 |
| T1218 / T1543 | 白驱动漏洞利用（BYOVD 前置） | EmbeddedDriverService 服务 + 0xB822200C 驱动指令关杀软 |
| T1053.005 / T1060 | 计划任务 + Run 键持久化 | MyApplicationTask/AutoRun 任务（360 感知双模式）+ HKCU Run MyUniqueCppApp |
| T1218 / T1055 | 注入 tracerpt.exe | 最终 shellcode 注入系统跟踪工具进程 |
| T1012 | 注册表存载荷 | 功能插件 shellcode 以存档态/执行态写入注册表（4 项 2 文件） |
| T1518.001 | 安全软件探测 | 检测 360 进程存活切换持久化模式；注册表探测微信/QQ/钉钉 |
微步 26 日批次释放路径新亮点
•C:\\Program Files (x86)\\WebBrowser Plus\\sysdiag-all-x64-6.0.8.5-2026.01.11.1.exe — 完整仿真火绒官方安装包命名（火绒产品线名 sysdiag + 版本 + 火绒式日期），银狐滥用安全厂商产品名做信任伪装的新实证
•C:\\Users\\Administrator\\AppData\\Local\\Temp\\genteeBD\\cloudflared_installer.exe + is-73JMM.tmp\\cloudflared_installer.tmp — 滥用 Cloudflare Tunnel 客户端，疑似建立反向隧道规避出口检测，C2 通信链路绕行新手法（待核实具体链路）
•C:\\Users\\Public\\Documents\\x86-microsoft-windowsdata\\Cndom6.sys — 根目录驱动文件再现（08-20 首现），与 lrkndrv.sys/Drv\_Erase.sys 构成多驱动落地线索组
•C:\\Users\\Administrator\\AppData\\Roaming\\YouDaoDic\\adddf.vbe — 有道词典目录 + VBE 脚本持久化，中文软件生态伪装
•C:\\Users\\Administrator\\Desktop\\HD_公益辅助.exe / ._cache_辅助.JY.exe / HD_._cache_辅助.JY.exe — 游戏辅助主题桌面载荷（\"公益辅助\"社工话术）
•C:\\Users\\Administrator\\AppData\\Local\\Temp\\Drv_Erase.sys — 驱动擦除痕迹工具
• Inno Setup 释放链延续：is-7367H.tmp/is-9QBI0.tmp/is-GAHKJ.tmp/is-9M7J6.tmp 多例（msys64/Temp 双目录）
四、IOC 清单
火绒 08-25 报告 IOC（全部新增）
| 类型 | 值 | 备注 |
|---|---|---|
| MD5 | 2770f48da6d9506e3799b0f0e73fe1bc | 启动载荷（两代之一） |
| MD5 | 3e385332b4ef48ab02f0897cd3c7b707 | 启动载荷（两代之一） |
| C2 IP | 202.162.99.165:441 | 一代 C2（WINOS 标准配置倒序） |
| C2 IP | 156.247.41.9:668 | 二代 C2 |
| 钓鱼域名 | deepseek-dek.com.cn | 伪造 DeepSeek（蓝色，主推广） |
| 钓鱼域名 | yuanbao-cn.com.cn | 伪造元宝下载（下载已失效） |
| 钓鱼域名 | www.dekdeepseek.com.cn | 伪造 DeepSeek（紫色，未上线，储备域名） |
| 载荷托管 | deesv4.tos-cn-beijing.volces.com | 火山引擎 TOS（首现） |
| 载荷托管 | deev3.tos-cn-beijing.volces.com | 火山引擎 TOS（首现） |
| 载荷托管 | yuanbao1.tos-cn-beijing.volces.com | 火山引擎 TOS（首现） |
52pojie 取证帖 IOC（08-25 编辑新增，全量）
| 类型 | 值 |
|---|---|
| 站群域 | apps-hupu.com.cn（伪装虎扑）、decpseek.com.cn（仿冒 DeepSeek） |
| 中继域 | noah-ssh.com.cn、workers.dev |
| 下载域 | xujvgk.cn |
| OSS 桶 | 2bbaz2.oss-cn-beijing.aliyuncs.com 等 8 个 URL（完整清单见原帖） |
微步 26 日批次热点（15 域名 + 15 IP 摘要）
| 域名 | 备注 | IP | 备注 | |
|---|---|---|---|---|
| lysynur.com | 跨批 >312h（13 天） | 185.62.56.182 | 跨六批+ 长存活 | |
| lyryvex.com | 跨批 >312h（13 天） | 217.23.9.206 | 跨五批+ 长存活 | |
| pujyjav.com | 长存活 | 18.167.107.230 | AWS 香港段 | |
| etgul.cn | 新进 | 192.252.183.157/.183/.224 | 同段 3 IP | |
| oone8de.cn | 新进 | 202.61.85.104 | 新进 | |
| akyv188.club | 新进 | 43.106.5.146 / 47.76.195.75 | 阿里系 | |
| hhwqascxsdr.cc | 隔批回归 | 38.246.252.201 / 204.194.53.122 | 新进 | |
| gacyryw.com | 留存 | 108.165.20.122 / 95.41.64.117 / 95.40.245.191 | 新进 | |
| qedyfyq/qekykev/qedynul | 留存 | 111.231.74.159（腾讯云）/ 27.124.18.107 | 新进 |
（30 个 SHA-256 全量清单见微步共享站 26 日批次，本表仅列网络层与长存活锚点。）
Derp 08-24/25 新样本 SHA-256（8 个，其中 5 个跨双档案）
75a3ae5489d181f3b219c0d1d79ec60046f19a0e5274f30f604020ea4a1fd0a6 Aug 25 ★双档案 765d34b234970be7eb12351051eff45d5d9cab515da07e4615381eacdc672d3b Aug 25 ★双档案 86b34bd9245e406c15c88d0b5b8b11ae34f52bf1c16a1e0a0bfe80780efbda8c Aug 25 ★双档案 be2d998ba7b49c264f82826ae528d20928ab0060d312a688b4e2a3a6bb283902 Aug 25 ★双档案 facf78d474b66ed821288db41fa6ad8a7b6f30650eb12127cb3e9a3cc6146116 Aug 25 ★双档案 09a0a1ca13dccf986e23f8f950da11eb571cfdbddc08b234d98d148392b8a8ac Aug 25 ValleyRAT 独有 4ae4b7b7d422894b071724c6926352aca6c0fa561b4c3e24690770acbc06a967 Aug 24 ValleyRAT 5334ab4eafeb63eaeab2d69bdfedf38cb92ed5d88dfe96564171cdfa22e3da17 Aug 24 ValleyRAT
五、检测与防护建议
1.网络层（优先级最高）：
2.火山引擎 TOS 拦截：*.tos-cn-beijing.volces.com（deesv4/deev3/yuanbao1 已实证）与阿里 OSS 未知桶（2bbaz2 等 8 桶）一并纳入\"未知子域下载审查\"；银狐云托管版图已覆盖 OSS/COS/S3/TOS 四云，建议按四大云对象存储统一设策略而非逐桶封禁；
3. DGA 族加黑：ly前缀族（lysynur/lyryvex/lyryfyd/lyxywer/lyvytuj）+ qe 前缀族整体封禁，长存活锚点 185.62.56.182/217.23.9.206 必封；192.252.183.x 段可评估 C 段处置。
4.终端侧：
5.签名拼接 DLL 检测：HBuilderX.dll \"恶意代码+截断签名 DLL 尾部拼接\"构造——在属性页显示有效证书但 Authenticode 机器校验失败，终端可部署\"证书存在但签名链校验失败的侧载 DLL\"告警；
6. cloudflared 异常部署告警：非 IT 授权场景下 Temp 目录出现 cloudflared\_installer.exe 即告警（合法用途通常走系统级安装）；
7. 驱动落地三线索（Cndom6.sys/lrkndrv.sys/Drv\_Erase.sys）加入驱动加载审查；伪装火绒安装包 sysdiag-all-x64-\* 与真实火绒更新渠道做哈希白名单区分；
8. 计划任务 MyApplicationTask/AutoRun、HKCU Run MyUniqueCppApp、tracerpt.exe 异常子进程为火绒链落地点，可直接加检测规则。
9.邮件网关：
10. 人事公文主题（名单/方案/补偿/裁员/违纪/人员名单）附件延续高危，结合微步热词计数（名单 111 次/月）维持拦截策略；
11. 对含\"下载站/AI 工具安装包\"链接的正文（DeepSeek/元宝/豆包仿冒站）加打分拦截。
12.威胁狩猎：
13. 以火绒 2 MD5 + 2 C2 + 3 钓鱼域 + 3 TOS 桶做内网 retrospective 检索；
14. Derp 5 个跨双档案哈希建议提交内网沙箱复测，验证\"银狐系\"归一化检测覆盖；
15. AI 助手导流入口（豆包推荐下载站案例）延续昨日建议：企业内评估\"AI 推荐链接\"的下载执行管控。
六、参考来源
| # | 标题 | 链接 | 日期 |
|---|---|---|---|
| 1 | 周期性轮换样本｜火绒带您揭秘银狐迭代逻辑与样本设计思路 | https://www.huorong.cn/document/tech/vir\_report/2042 | 2026-08-25 |
| 2 | [PC样本分析] install\_h8.0.13.zip好像也是银狐（AI-Compare 证据包，08-25 06:18 编辑） | https://www.52pojie.cn/thread-2124432-1-1.html | 2026-08-24（更新至 08-25） |
| 3 | Derp ValleyRAT 7d C2 Tracker | https://www.derp.ca/valleyrat/ | 观测至 2026-08-25 |
| 4 | Derp SilverFox Family Profile | https://www.derp.ca/silverfox/ | 观测至 2026-08-25 |
| 5 | 微步银狐情报共享站（26 日批次） | https://s.threatbook.cn/cybercrime/silverfox | 2026-08-26 05:03 |
| 6 | Fortinet：Massive Winos 4.0 Campaigns Target Taiwan（历史回顾） | https://www.fortinet.com/blog/threat-research/massive-winos-40-campaigns-target-taiwan | 2026-02-20（历史回顾） |
旧闻甄别说明：今日检索二次出现的以下内容均为历史材料，未计入增量——CVERC 人事公文通报（05-21，gzylhyzx 内容农场二次传播，特征 :8880/getinstall64 与 05-21 通报完全一致）、Fortinet HoldingHands RAT 台湾/日本/马来西亚扩展（2025-10 台媒转述 + 2026-02-20 台湾税务链报告）、亚信 08-17 BYOVD 链（网易 08-17 转载）、Cato CTRL 链（07-30，AI 紫队 08-16 转述）、公安局部 5 案例通报（06-16）、7 月流行病毒通报（08-06 前后）。
本日报由自动化脚本生成 · 仅供企业蓝队参考
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论