原文链接: https://mp.weixin.qq.com/s?__biz=MzA4ODEyODA3MQ==&mid=2247492799&idx=1&sn=d4fcac2dc96b4244380b65544da93497

银狐黑产组织新型后门样本分析

原创 pandazhengzheng 安全分析与研究 2025-07-16 00:30

安全分析与研究

专注于全球恶意软件的分析与研究

前言概述

安全分析与研究，专注于全球恶意软件的分析与研究，深度追踪全球黑客组织攻击活动，欢迎大家关注，获取全球最新的黑客组织攻击事件威胁情报。

最近几年银狐类黑产团伙非常活跃，今年这些黑产团伙会更加活跃，而且仍然会不断的更新自己的攻击样本，采用各种免杀方式，逃避安全厂商的检测，此前大部分银狐黑产团伙使用各种修改版的Gh0st远控作为其攻击武器，远程控制受害者主机之后，进行相关的网络犯罪活动。

除了银狐黑产团伙以外，还有一些其他黑产团伙也非常活跃，例如黑猫、GanbRun、暗蚊、金相狐、FaCai、DragonRank、夜枭等黑产团伙。

今年银狐攻击活动非常频繁，基本上每天都有新的Loader变种出现，免杀方式多种多样，同时今年还有很多银狐攻击样本通过使用正常的数字签名来逃避安全厂商的检测，增肥技术也是银狐木马今年最常使用的免杀技术之一，通过将恶意样本体积增加到100M以上来逃避安全厂商的静态扫描。

近日有人通过微信发给笔者一个样本，如下所示：

通过分析该攻击样本是银狐黑产组织最新的攻击样本，使用了一个新型的后门程序，加载器样本采用多个ShellCode加密执行，后门程序使用了多种不同的通信协议与黑客远程服务器进行通信，同时所有的加密ShellCode数据都是从远程服务器上获取，在内存中解密并加载执行，注入到指定的进程当中，通过沙箱确实看不出太多的行为，笔者对该样本进行了详细分析，文未分享该攻击样本的完整威胁情报。