近期，瑞星通过自动化沙盒捕获到今年新出现的名为Warden Stealer的窃密木马样本。初始文件byeantlyeuks.exe对内嵌编码数据进行解码和重组，并将还原出的载荷注入explorer.exe执行。后续模块build.dll的功能包含主机环境检测、浏览器及Discord、Steam、Roblox等应用数据采集，并包含剪贴板钱包地址替换、屏幕截图、进程内存读取及二阶段载荷下载执行等功能。样本通过WinHTTP与候选C2域名通信，上报数据经序列化、异或处理和LZNT1压缩。
2026年10月中下旬，PHP、Node.js、nginx 三个 Web 基础组件先后发布版本更新，累计修复17个安全漏洞。
近日瑞星威胁情报平台捕获到一起银狐木马的攻击事件。该样本以三阶段递进方式投递：第一阶段为携带正常企业数字签名（上饶市嘉端科技有限公司，签名有效期自2026年8月13日21:21:17起，证书签发时间极新）的WinHTTP下载器，先以三重环境筛选（五项反分析与反调试检测、CPU 核数与内存阈值、强制真实用户交互）加父进程白名单判定，筛除沙箱、虚拟机与分析平台，再runas自提权，随后以RC4解密出载荷地址并经公共云存储平台下载加密载荷；第二阶段为完全不含导入表的shellcode，经PEB走查与双算法哈希解析17个API，从C2拉取第三阶段载荷；第三阶段为中文远控模块，在内存中被反射加载后上线，并以CREATE_SUSPENDED启动系统进程tracerpt.exe完成RIP劫持注入与守护重生。
近期，瑞星威胁情报中心捕获了一起境外软件下载站cracx.com传播窃密木马的攻击事件。攻击者以“破解版”商业软件为诱饵吸引用户访问，用户点击页面上的下载按钮后，会被重定向至packlocker.shop下的随机子域名，进而下载到伪装成正常安装包的恶意压缩文件。值得注意的是，该站点早在2020年就曾因传播恶意程序被公开披露，至今已持续运营六年，其间投放的载荷历经多次更迭，呈现出长期化、产业化的运营特征。