“银狐”木马深度逆向：无文件加载与多维对抗的高级隐蔽战术

一、前言#

本报告针对一例银狐木马样本进行了深度分析。该攻击活动以钓鱼诱饵作为初始突破口，其核心载荷大量运用了无文件内存加载、白加黑伪装、Restart Manager 强杀杀软、以及多重进程注入与父进程伪造（Spoof PID）等高级防御规避（Defense Evasion）技术。最终目的是将 C2 控制模块注入系统核心进程，实现对受控终端的长期远程控制。

二、样本信息#

2.1 样本文件#

2.2 主机侧 IOC#

三、攻击链重构#

flowchart TD
    A["税务/发票类钓鱼入口"] --> B["下载 setup6018.exe"]
    B --> C["拉取伪装图片 bai.png"]
    C --> D["内存执行 Shellcode"]
    D --> E["释放/加载 Shellcode.dll 与 Akagi64.dll"]
    E --> F["反调试、权限检查、下载正常税务软件作为诱饵"]
    F --> G["Akagi64.dll 尝试 UAC 提权"]
    G --> H{"是否成功结束 360tray.exe"}
    H -- 是 --> I["Inject2Explorer 注入 bb.jpg Shellcode 到 explorer.exe"]
    H -- 否 --> J["释放 C:\\in64.exe / aa.dll / bb.dll 等后备组件"]
    J --> K["MalSecLogon + PPID spoofing 启动后备进程"]
    K --> L["aa.dll 从 OneDrive cache 或注册表读取 Shellcode"]
    L --> I
    I --> M["连接 C2 / 加载远控模块"]

3.1 初始投递#

攻击者使用税务、发票、申报升级等主题作为诱饵，引导受害者下载并执行 setup6018.exe。该文件不直接暴露完整远控功能，而是作为下载器从远端拉取伪装为图片的 bai.png。

3.2 bai.png 内存加载与组件释放#

bai.png 不是正常图片，而是伪装后缀的 Shellcode，由开源工具 DllToShellCode（killeven/DllToShellCode） 将一个或多个恶意 DLL 转换成位置无关、可直接内存执行的二进制流。Shellcode 在内存中解析并装载后续模块，减少磁盘落地痕迹。后缀改为 .png 伪装，绕过文件类型检测。

解包后可见 4 个主要组件：

3.3 环境探测与诱饵掩护#

Shellcode.dll 通过导出函数 hanshu 启动主要逻辑。

执行初期会检查当前进程是否处于调试状态，用于提高分析成本。

同时，也会判断当前权限是否为管理员权限。

随后样本调用 InternetOpenUrlW 下载并执行正常税务开票软件。这一策略以合法软件为诱饵，起到了极好的行为掩护作用 。

3.4 权限提升#

调用 Akagi64.dll 尝试提权，如果提权失败，样本会短暂休眠后退出；如果提权成功，则进入安全产品检测与对抗阶段。

3.5 杀软对抗#

针对 360tray.exe 使用 Windows Restart Manager 服务来管理 360tray.exe 资源，一旦发现该进程存在便将其强行结束 。

如果对 360tray.exe 的结束逻辑成功，样本会执行 Inject2Explorer，把 bb.jpg（C2 Shellcode）中的 Shellcode 注入 explorer.exe（Windows Shell 进程 / 常驻用户交互进程）。

后续，该 Shellcode 会尝试连接攻击者控制的 C2 并进入远控阶段。

如果未能成功结束 360 进程，样本会释放一批后备组件到 C 盘根目录：

• in64.exe
• in.exe
• aa.dll
• bb.dll
• MSNDetourDLL_X64.dll
• rundll.dll

程序随后尝试通过 in.exe、MSNDetourDLL_X64.dll、rundll.dll 加载相关 DLL。若常规加载失败，则退而使用命令行方式强制执行。

在启动新进程时，样本使用 MalSecLogon 思路并结合Spoof PID（父进程欺骗），把新进程的父进程伪装为 explorer.exe，以此躲避进程链监控。

(MalSecLogon是开源工具，用于滥用 Windows Seclogon（Secondary Logon，辅助登录）服务，实现PPID 欺骗与LSASS 进程内存转储，属于凭证窃取 / 权限维持类红队工具。)

在该后备流程中，aa.dll 负责寻找并加载后续 Shellcode。它先尝试从 \OneDrive\cache 路径读取 bb.jpg：

如果文件读取失败，则转向注册表 HKEY_CURRENT_USER\Console，读取此前写入的 huorong* 键值数据：

获取载荷后，aa.dll 仍会尝试将其注入 explorer.exe 执行：

3.6 载荷暂存#

样本会将一段 Shellcode 写入注册表 HKEY_CURRENT_USER\Console，键名由 huorong 拼接随机值构成。

3.7 C2模块#

样本内部存在 6001 至 6007 等编号化 Shellcode 资源项，每个编号对应一段内嵌 Shellcode 数据。部分 Shellcode 尾部附带明文配置区，可见 6002.baidu787.com 等域名，疑似为后续远控模块使用的 C2 节点。6001/6002 既可能是模块编号，也可能被复用为 C2 子域名分组。

MITRE ATT&CK 映射#

参考来源#

• Fortinet: A Deep Dive into a New ValleyRAT Campaign Targeting Chinese Speakers
• Rapid7: NSIS Abuse and sRDI Shellcode: Anatomy of the Winos 4.0 Campaign
• Fortinet: Massive Winos 4.0 Campaigns Target Taiwan
• Check Point Research: Chasing the Silver Fox: Cat & Mouse in Kernel Shadows
• CyCraft: Taiwan Tax Filing Alert: Silver Fox Targets Users with Winos 4.0 Spear Phishing