二、样本发现与现场取证

拿到告警后，我们第一时间登录受影响终端，准备对现场进行保全。根据 EDR 和天擎的查杀路径，样本主要落在 C:\\ProgramData\\ 目录下。但当我们直接打开该目录时，发现里面并没有看到明显的可疑文件，只有一些正常的系统文件夹。

这里涉及一个 Windows 取证的基础知识点。C:\\ProgramData\\是 Windows 系统的全局应用数据目录，默认对所有用户可见，但攻击者往往会利用文件隐藏属性来躲避人工排查。 如果资源管理器的查看选项没有开启\"显示隐藏的文件、文件夹和驱动器\"，那么这些被设置了隐藏属性的恶意目录和文件是不会显示出来的。

三、逆向分析

3.1 攻击链全景概述

把现场提取的样本全部去重后，核心组件可以归纳为三类：两个带有合法数字签名的网易 CC 白文件、一个体积异常的恶意libcurl.dll，以及一批用于引导启动的.lnk快捷方式。这三类组件配合起来，构成了一次非常典型的 DLL 侧加载白加黑攻击。

攻击者的整体思路是这样的：

1. 利用 .lnk 快捷方式引导用户（或系统）启动随机命名的 .exe，这个 .exe 实际上是网易 CC 的合法更新程序 yjwj_updater.exe（白文件 #1）。
2. yjwj_updater.exe 运行后，会按照自身的更新逻辑去释放同目录下的 yjwj_patcher.zip，解压出另一个合法组件 yjwj_patcher.exe（白文件 #2）以及被替换的恶意 libcurl.dll。
3. yjwj_updater.exe 接着通过 ShellExecuteEx 以 runas 方式提权拉起 yjwj_patcher.exe。
4. yjwj_patcher.exe 启动时需要加载 libcurl.dll。由于 Windows 的 DLL 搜索顺序优先当前目录，yjwj_patcher.exe 在同目录下加载到的不是系统正常的 libcurl.dll，而是攻击者替换的恶意版本。
5. 恶意 libcurl.dll 在 DllMain 的 DLL_PROCESS_ATTACH 阶段直接执行注入逻辑，读取 bb.jpg 或注册表中的 shellcode，然后对 explorer.exe 实施远程线程注入。

3.5 关于 C2 通信的澄清

在分析过程中，我们在白文件 #2（yjwj_patcher.exe，即网易 CC 的 CrashReporter）内部发现了一些网络字符串，包括 http://query.cc.163.com/、http://vision.cc.163.com/upload/token/、Authorization:、Content-Type:application/json; charset=utf-8 等。需要特别澄清的是，这些字符串全部来自网易 CC 客户端自身的崩溃 dump 上报功能，是网易的合法业务流量，不应被当作 C2 IOC 处置。如果直接封禁这些域名，会影响正常网易 CC 用户的使用。

真正的 C2 通信由二阶 shellcode 在 explorer.exe 进程内承担。由于本次仅静态采集到了注入器（libcurl.dll），并未成功捕获 bb.jpg 或注册表中的实际 payload，因此 C2 地址、通信协议、心跳频率等细节无法从当前样本包中直接获取，需要在感染主机的内存中提取或通过网络流量回溯来补充。

四、清除与闭环处置

基于上述分析，我们制定了以下清除方案，并在客户现场完成了闭环处置。

4.1 终端隔离与网络限制

在不影响核心业务连续性的前提下，对受影响终端实施了最小化网络访问控制。优先限制其访问互联网、共享目录、网盘、邮件附件下载通道及非必要业务系统，防止二阶 shellcode 继续下载后续模块或外泄数据。

4.2 现场清理

重点清理以下路径的恶意文件：

• C:\\ProgramData\\<随机目录>\\ 下的全部可疑组件（.exe、.lnk、.dll、.zip）
• %LOCALAPPDATA%\\VirtualStore\\ProgramData\\<随机目录>\\yjwj_patcher.zip
• C:\\Users\\Public\\Downloads\\bb.jpg（如存在残留）
• 同名变体、复制落地或伪装文件

清理时需要注意，libcurl.dll 的文件名与正常系统库相同，但体积（419 MB）和路径（ProgramData 子目录）是明显的异常指标，可作为快速识别依据。

4.3 注册表深度排查

由于 libcurl.dll 支持从注册表读取回退 payload，必须对 HKEY_CURRENT_USER\\Console 下的所有 value 名称进行逐一排查，任何包含子串hrqnmlb的条目都应被视为感染指标并删除。同时排查是否存在异常的计划任务、启动项、Winlogon 钩子或 UserInitMprLogonScript 劫持。

4.4 全盘 EDR 深度扫描

下发 EDR 深度扫描任务，重点检查以下内容：

• explorer.exe 是否存在异常内存注入痕迹
• 是否存在 yjwj_updater.exe 或 yjwj_patcher.exe 从 ProgramData 路径加载体积大于 50 MB 的 libcurl.dll
• 是否存在 CreateRemoteThread / WriteProcessMemory / VirtualAllocEx 的经典注入行为链
• 是否存在对 SHGetKnownFolderPath(FOLDERID_PublicDownloads) 的异常调用后拼接 bb.jpg 的行为

4.5 安全意识培训

本次攻击的初始入口，大概率是用户从非官方渠道下载了被篡改的\"网易 CC 直播客户端\"或相关插件。我们在处置完成后，向客户提交了专项安全意识培训建议：

• 严禁从非官方网站、网盘、论坛、社交群下载\"极速版\"\"绿化版\"\"破解版\"等软件
• 对于必须安装的软件，提供官方发布的哈希值供员工校验
• 财务、运营等敏感岗位人员应接受专项钓鱼和社工防范培训

五、总结与防御建议

5.1 银狐木马的演进趋势

结合本次案例和近期威胁情报，银狐团伙（亦称\"游蛇\"黑产）在 2025 年至 2026 年期间的技战术呈现出几个明显的演进方向：

白加黑手法持续进化。早期银狐多使用简单的 DLL 劫持，现在则倾向于挑选带有合法数字签名的知名软件（如网易 CC、美图秀秀、向日葵、钉钉等）作为白文件，把恶意 DLL 伪装成这些软件的正常依赖库。由于白文件本身合法，传统基于签名的白名单机制很难拦截。

反沙箱与反分析手段升级。本次样本采用的 419 MB 零字节 padding 是一种典型的\"文件膨胀\"绕过手法。根据公开情报，银狐团伙已多次使用超过 100 MB 的填充来绕过云沙箱的静态扫描截断。

载荷投递渠道多样化。除了传统的图片隐写（bb.jpg），银狐团伙还会将 shellcode 藏在注册表、云笔记平台、阿里云 OSS 等位置，实现\"无文件\"或\"低文件\"落地，增加取证和溯源难度。

横向扩散策略精准化。银狐不再是无差别撒网，而是会根据目标机器上是否安装了微信、钉钉、Telegram 等社交工具来触发不同的后续载荷。如果检测到这些进程，会释放专门用于操控社交账号的远控模块，进而通过被入侵账号向同事、客户发送恶意文件或诈骗信息，实现内网的高效扩散。

5.2 对企业安全运营的启示

不要过度依赖静态签名。本次案例中的两个白文件都带有合法签名，如果安全策略仅以\"是否有签名\"作为放行依据，就会给白加黑攻击留下巨大的绕过空间。防御方需要更多关注行为检测：一个合法签名的程序为什么会从 ProgramData 加载一个 419 MB 的 DLL？为什么这个 DLL 会调用 VirtualAllocEx 和 CreateRemoteThread？这些行为特征比签名状态更能说明问题。

重视交接期的历史告警复盘。这个案例最值得我们反思的是时间线：2025 年 6 月的告警被清理了文件但没有做根因分析，2025 年 10 月的持续查杀也没有引起足够重视，直到 2026 年 6 月我们接手后才通过 EDR 外联告警把整条链串起来。安全运营不是只看当天的告警，而是要把过去 180 天甚至 360 天的告警做关联回溯，找出那些\"被杀了但没落盘\"的断点事件。

终端防护需要联动。360 天擎在 2025 年就反复查杀了 libcurl.dll，但因为没有联动 EDR 的行为分析和网络监控，攻击者只需要换个目录重新释放就能继续运行。单点防护产品容易被逐个击破，只有终端杀软、EDR、NDR、威胁情报形成联动，才能覆盖从落地、提权、注入到外联的完整攻击链。

注册表和内存是新的战场。当文件层面的 IOC 越来越容易被清理时，攻击者自然会转向注册表和内存。本次样本的注册表回退通道（HKCU\\Console\\hrqnmlb）就是一个典型例子。企业在日常巡检中，除了查文件，还需要建立注册表基线扫描和内存异常注入的检测能力。

最后想说的是，银狐这类黑产团伙的攻击成本其实并不高，他们用的是公开的工具链、现成的白文件和简单的 DLL 劫持技巧。但正是这种\"低成本、高回报\"的攻击模式，让它能在国内持续活跃两年多。防御方不需要追求什么高大上的黑科技，把基础的入口管控、行为监测、告警闭环和人员培训做好，就能让攻击者的成本大幅上升，从而放弃你的目标。

如果您在日常安全运营中遇到类似的疑点，或需要专业的应急支撑，欢迎随时与 Solar 应急响应团队交流探讨。

附录：核心 IOC 汇总

检测规则建议

• 父进程 yjwj_updater.exe 从 C:\\ProgramData\\ 路径拉起子进程 yjwj_patcher.exe
• yjwj_patcher.exe 加载未签名的 libcurl.dll 且模块大小超过 50 MB
• 任意进程对 explorer.exe 调用 VirtualAllocEx(PAGE_EXECUTE_READWRITE) 后紧跟 WriteProcessMemory 和 CreateRemoteThread
• 进程内存中出现拼接后的字符串 CreateRemoteThread、WriteProcessMemory、AddVectoredExceptionHandler
• 注册表 HKCU\\Console 下出现名称包含 hrqnmlb 的 value

本文案例由Solar应急响应团队共同完成。

全文输出：州弟学安全

参与应急排查及内容输出：butt3rf1y、CHQ

逆向分析：CHQ

在企业日常的安全运维中，突发勒索病毒往往让人措手不及。遇到这种情况，正确的应急响应流程能够最大程度控制影响范围、降低数据损失。

这里为大家准备了一张完整的《勒索病毒应急处置指南》长图，建议各位安全从业者和IT运维人员收藏备用。如遇突发情况，请保持冷静，参考本图进行快速、规范的处置

附加资料下载：防御与响应同样重要。扫描图末的二维码，还可以直接获取完整的《2025年勒索病毒年报》以及《勒索处置一体化》等专业文件，帮助大家深入了解当前的威胁趋势，提前做好防御规划。

安全无小事，掌握科学的处置流程，是我们应对突发安全事件最有效的武器。

以下是solar安全团队近期处理过的常见勒索病毒后缀：

勒索攻击作为成熟的攻击手段，很多勒索家族已经形成了一套完整的商业体系，并且衍生了多个分支团队，导致勒索病毒迭代了多个版本。而每个家族擅用的攻击手法皆有不同，TellYouThePass勒索软件家族常常利用系统漏洞进行攻击；Phobos勒索软件家族通过RDP暴力破解进行勒索；Mallox勒索软件家族利用数据库漏洞，如(mssql命令执行)及暴力破解进行加密，攻击手法极多防不胜防。

有效的预防方法包括针对自身业务进行定期的基线加固、补丁更新及数据备份，在其基础上加强公司安全人员意识。

案例介绍篇聚焦于真实的攻击事件，还原病毒家族的攻击路径和策略，为用户提供详细的溯源分析和防护启示；

漏洞与预防篇侧重于技术层面的防御手段，针对病毒利用的漏洞和安全弱点，提出操作性强的应对方案：

应急响应工具教程篇重点分享应急响应过程中常用工具的安装、配置与使用说明，旨在帮助读者快速掌握这些工具的操作流程与技巧，提高其在实际应急场景中的应用熟练度与效率。

如果您想了解有关勒索病毒的最新发展情况，或者需要获取相关帮助，请关注“Solar应急响应团队”。

全国热线| 400-613-6816

更多资讯| 扫码加入群组交流

喜欢此内容的人还喜欢

【紧急警示】Weaxor最新变种“.wxx”来袭，批量入国内知名财务类管理系统发起勒索攻击！

Solar应急响应团队

【病毒分析】新版勒索病毒MEDUSA LOCKER 首发深度分析

Solar应急响应团队

【成功案例】成功挫败 888 勒索家族历时半年的百万赎金勒索，应急处置全流程高效修复，避免千万损失并获客户赠送锦旗 Solar应急响应团队