银狐木马，又名毒鼠、谷堕、游蛇，是近年来国内非常流行的一个远控木马。主要针对企事业单位管理人员、财务人员、销售人员及电商卖家进行钓鱼攻击。攻击团伙通过投递远控木马，获得受害者的计算机控制权限，在系统内长期驻留，监控用户日常操作，窃取敏感信息，利用受害者的即时通信软件来发送具有针对性的钓鱼、欺诈类信息，实施钓鱼攻击和诈骗等违法行为
银狐木马在2024年仍保持着高度活跃且不断尝试使用新的技术来躲避安全软件检测甚至是直接攻击安全软件，如利用PoolParty技术注入恶意代码至系统进程以及利用包含漏洞的正常驱动结束安全软件进程。瑞星在近段时间的威胁狩猎中意外获得了多个银狐木马的服务端程序，虽然捕获到的服务端版本相对较老，但也能让我们从另一个角度来了解银狐木马。本文除了大致介绍服务端之外，还会对近期的在野样本进行较为深入的分析
瑞星威胁情报于2024年2月捕获一起疑似针对白俄罗斯的攻击事件，攻击者向受害者投递带恶意附件的钓鱼邮件进行攻击，恶意附件是个DOCX文档，DOCX文档内被注入了恶意链接，恶意链接指向带有公式编辑器漏洞CVE-2017-11882的RTF文档，漏洞文档会访问特定网址下载VBS脚本并运行。VBS脚本经过混淆处理，解混淆后会获得一段PowerShell代码，PowerShell代码会从指定网址上获取被base64编码后的.NET程序，解码出.NET程序后，它会将从指定网址上下载的Remcos远控软件注入白文件RegAsm.exe中运行起来。Remcos远控工具有远程桌面、键盘记录、文件管理、命令执行等多种功能，它是一家名为Breaking Security的德国公司以远程控制和监视为名出售的合法工具，但经常被黑客滥用。
2024年5月，瑞星威胁情报平台捕获到一起攻击事件，该事件中使用的诱饵文档与印度什里·拉姆夫人女子学院的宏观经济学课程有关，猜测攻击目标可能是与此相关的学生或者研究人员等。在攻击过程中，攻击者可能通过钓鱼邮件向目标投递恶意宏文档eco.xlam，利用宏代码释放同名诱饵文档eco.xlsx迷惑用户以及释放Crimson远控木马对目标进行窃密远程控制等恶意操作。
近日，瑞星威胁情报中心发现了一起由Transparent Tribe发起针对印度国防部门相关人员的攻击活动。捕获的样本名为CSD hire purchase list aug 2021.xlsx，中文名为2021年8月CSD租购清单，其中CSD为国防食堂商店部门的缩写，属于印度国防部的下属企业，负责为印度武装部队提供民生用品。此次攻击活动推测是由钓鱼邮件开启，诱骗特定用户打开包含恶意宏的诱饵文档，执行宏代码后下载并执行自定义的.NET远控木马，通过与C2服务器通信从而实现信息窃取和远程控制。