Posted in威胁分析
仿冒 FluentCleaner 的 Remus Stealer：一场借”白加黑”上位的窃密攻击
概述
近日瑞星威胁情报平台监测到一起针对知名开源Windows清理工具FluentCleaner的恶意攻击事件，攻击者仿冒其官方渠道（fluentcleaner.org）投放带毒安装包，以"白加黑"手法将恶意mscoree.dll与正规程序二次打包后通过网络传播。恶意mscoree.dll解密内嵌的Remus Stealer窃密木马并注入合法进程ServiceModelReg.exe中执行，而Remus Stealer自身具备多重反检测机制——通过沙箱DLL哈希比对、蜜罐文件与CPUID虚拟机特征检测规避分析环境，同时采用SSN直连syscall绕过EDR用户态Hook，经EtherHiding链上C2动态获取控制地址并下发命令，定向窃取浏览器凭据、Cookie、Steam/Roblox账号及C2指定文件后加密回传。