官网都靠不住了！多个应用软件遭投毒

原创

微步情报局
微步情报局

微步在线

2026年10月21日 08:30
北京

去阅读

近日，微步情报局、微步MDR团队基于OneSEC，捕获了一起同时针对多个应用网站的大规模供应链投毒事件。黑产团伙至少投毒了7个网站，包含多个软件官网，已有多家企业从这些官网下载、感染了远控木马。

本次攻击极难防范，特点如下。

• 官网已非绝对可信：包括客服宝、sixfast回国加速器、桃云心云手机等多个官网下载程序，被植入远控木马，导致多家企业感染失陷，因此官网下载也非绝对安全，事前拦截几乎不可能。
• 文件查杀无法生效：样本使用AI编写，更新快、免杀强，且由官方合法软件创建，在本次失陷终端上所有部署的杀软都未能有效查杀，只能在运行起来后依靠EDR检测发现。
• 投毒应用数量非常多：本次攻击多达7个网站被同时攻破，投毒应用数量远高于过往，显示出AI时代大量软件企业普遍缺乏安全能力，其官网可被批量攻破，未来此类攻击规模或将持续扩大。
• 黑吃黑现象加剧：除应用官网外，黑产团伙还攻破了部分钓鱼网站，将自身木马与原钓鱼木马打包，一旦运行会同时感染两个木马。而在另一个被该团伙攻破的网站上，又有其他钓鱼团伙的木马覆盖了该团伙的供应链木马。

微步通过对相关样本、IP和域名的溯源分析，提取多条IOC（参见附录），可用于情报检测。微步威胁感知平台TDP、下一代威胁情报平台NGTIP、威胁情报云API、云沙箱S、沙箱分析平台OneSandbox、互联网安全接入服务OneDNS、威胁防御系统OneSIG、终端安全管理平台OneSEC等，均已支持对此次攻击事件的检测与防护。

完整版报告包含了更加详细的样本分析，如有需求，请联系微步工作人员获取。

一、初始入侵活动

前不久，微步OneSEC在多家企业检测到电脑端客服宝程序尝试创建并运行恶意文件。

OneSEC溯源显示，此次攻击并非仿冒软件钓鱼，而是下载自官网（kefubao.com）。

其Windows安装程序包含恶意文件NetShieldX.exe，确认遭遇供应链投毒。

经过关联分析，微步情报局发现了多个网站遭遇类似投毒攻击，如下所示：

值得注意的是，在上述网站中，投毒后的下载链接和原本网站文件的下载链接一致，因此攻击者并非直接替换下载链接，具体攻击方式尚不得而知。

二、供应链木马样本分析

微步情报局发现，黑产团伙使用AI编写了两个版本的木马。初始样本从9月22日开始使用，10月9日又出现了新的版本。二者除打包方式（sfx）和注入进程（explorer.exe）相同外，其余相差很大。下面分别进行分析。

（1）初始样本

这些投毒后的样本都会采用sfx的方式重新打包：

打包后的程序携带攻击者的后门程序NetShieldX.exe，程序执行除了原本的应用安装程序外，还会使用运行参数-Z123来执行攻击者的后门程序，后门程序将自己伪装为：“Aurora Utility”—由“Aurora Labs”发布的Windows工具程序。

恶意程序运行后会通过GetComputerNameW获取计算机名称，用于拼接为互斥量，并通过OpenMuteW检查该互斥量是否打开，保证程序唯一运行：

然后尝试下载工具载荷，并在内存加载该载荷：

工具载荷地址为：http://38.76.203.52:10009/update.tmp.105

该载荷下载解密后存在bootstrap代码，用于解密自身shellcode，bootstrap代码经过Base64→RC4→LZNT1→各节XOR，再完成PE映射、重定位、导入解析和入口调用。

解密出来的update.tmp.105是dll文件，原始名称为Toolkit.dll，存在导出函数Service，该dll文件实际内置了14个工具函数以便于后续使用

下载并加载完成工具载荷之后，恶意程序会尝试持久化：

持久化函数会调用之前下载加载的工具载荷中的函数，首先调用CheckDebugging和CheckEnvironment用于沙箱和调试环境检查，然后调用TaskExists检查是否已经存在持久化计划任务，如果不存在，则构造计划任务持久项：从进程快照中随机选取一个进程，借用其文件名，然后调用CopyFile来将加载器文件复制为计划任务的目标文件：

是否建立好持久化并不影响后续程序执行，加载器会尝试调用工具载荷中的 InjectViaTLS函数，利用TLS回调劫持技术将内嵌的下载函数，远控载荷地址，互斥体名称和辅助函数注入到explorer.exe中执行：

在内嵌下载函数中，主要是用于下载后续的远控载荷以及运行远控载荷的bootstrap代码，下载的远控载荷地址在加载器中解密并作为参数通过注入函数传递给explorer.exe中被内嵌下载函数使用：

下载远控载荷地址为：

http://38.76.203.52:10009/update.tmp.017，远控载荷程序具备命令执行、文件管理、进程管理、截屏、反向代理和插件扩展等远控能力，C2地址为38.147.164.100:443，使用https协议链接，并伪造为了host头。

（2）最新样本

在对“旺商聊”来源进行分析时发现，攻击者在10月9日更新了木马程序。

最新样本的打包程序内含两个文件：

其中木马文件伪装成“Meridian Instruments”的组件更新助手：

运行后会遍历进程中的explorer.exe，确保注入进程中没有被注入过载荷：

然后解码载荷下载地址准备下载：

下载地址为：

http://43.255.157.145:3490/assets/3b868d38.dat

下载载荷结构为：RC4 加密〔入口 stub＋反射加载 shellcode＋内部 DLL〕，程序会进一步解密载荷：

验证解密后MD5，通过后将其复制到创建的共享节，再将这个节映射进explorer.exe，使用远程线程执行来启动：

最终运行的远控载荷是一个DLL程序，原名为file.dll，其中解密出来C2配置为：

三、黑吃黑活动分析

在追踪不同来源的投毒安装包时，微步情报局发现了供应链投毒团伙与其他钓鱼团伙黑吃黑。不同黑产团伙的木马相互覆盖，争夺同一个下载站点，大有“整个晋西北都乱成了一锅粥”的意思。

（1）捆绑、钓鱼与供应链投毒三方混战

在四方解码平台网站（web.szfang-sms.com）上，微步情报局发现了极具趣味的一幕：捆绑软件、供应链木马与仿冒钓鱼木马三方先后出现，争夺下载站点。

• 初始程序是网站推广的四方软件，包括本体和一个捆绑程序：Windows优化大师。

• 第二个出现的是供应链木马，攻击者攻破该网站后，将木马打包进了初始程序中。

• 最后出现的是钓鱼木马，显然是有仿冒钓鱼团伙替换了供应链木马。钓鱼木马使用Inno Setup打包而成：

运行安装后还会释放使用火绒应用商店作为白加黑组件的后门程序：

（2）钓鱼网站也遭遇供应链投毒

在所有被投毒网站中，两个“旺商聊”的下载站点，本身就是钓鱼网站：

这两个域名在9月22日投递了钓鱼木马，然而同一天内就遭供应链攻击。攻击者将供应链木马打包进了其原有钓鱼木马程序中，下载运行后会同时感染两个木马。

10月9日，攻击者将供应链木马更新至最新版本，对比如下。

四、附录：供应链投毒部分IOC

C2

38.76.203.52:10009

38.147.164.100:443

43.255.157.145:3490

Hash

3b0e2543f81427ca888b3df4d6ce3a7f995819334f7657a35e4d0dc4dda3e4fc

55fa7a9a787cea1f8d0d3b30b4f13c3125809d940fd8e09469c0dbf80884ec7a

a381d370a5069dd11a61bd74db16b5341f76a4b64a3b01a1ce03813338d6f46c

e7ed0aa504eec940c27e42cbcd8b882aacf60ec0bd78bb381c15af06eebcec6f

40f9eb0b4c30debff945205b8d7c49b9ed73333bdc9ff01f6d8abdb7c5efb821

164007297448535211641112546bc55ea258041a94f8d8a4cfdb5c485b6078f9

b638712a55322214e6216d2a25680e53b84c7adb03b061e11ee3d202f1c074f5

40f9eb0b4c30debff945205b8d7c49b9ed73333bdc9ff01f6d8abdb7c5efb821

6bea298eb014bd29046728d1ec2f7f9109b4a1ebe167b2b307b4533d549fb275

41647b94447b139067db6115e1081bf27a714a2cbdaf94eb60d8c395ae7f5ff4

0045153422495856d0d913df0e59ad68408836ce1dea82be18841b87c0a1c721

·END·