近日瑞星威胁情报平台监测到一起针对知名开源Windows清理工具FluentCleaner的恶意攻击事件，攻击者仿冒其官方渠道（fluentcleaner.org）投放带毒安装包，以"白加黑"手法将恶意mscoree.dll与正规程序二次打包后通过网络传播。恶意mscoree.dll解密内嵌的Remus Stealer窃密木马并注入合法进程ServiceModelReg.exe中执行，而Remus Stealer自身具备多重反检测机制——通过沙箱DLL哈希比对、蜜罐文件与CPUID虚拟机特征检测规避分析环境，同时采用SSN直连syscall绕过EDR用户态Hook，经EtherHiding链上C2动态获取控制地址并下发命令，定向窃取浏览器凭据、Cookie、Steam/Roblox账号及C2指定文件后加密回传。
近日 瑞星威胁情报平台 捕获到一起银狐木马的攻击事件，该木马将自身包装为雷电模拟器安装包，以篡改的 INNO Setup 程序作为初始投递载体，通过白加黑 DLL 劫持逐层解密释放银狐木马本体。该变种最显著的特征是采用了DNS-over-HTTPS（DoH）隐蔽通信——将 C2 域名 oidng2.duoshit.com 的解析请求封装在 HTTPS 中发往阿里 DNS（223.5.5.5）和 Google DNS（8.8.8.8）的 DoH 端点，使恶意流量与正常公共 DNS 访问完全无法区分，从而绕过企业 DNS 监控和防火墙策略。银狐本体还具备 VMProtect 虚拟化保护、键盘记录、凭据窃取、进程注入、屏幕截图、权限提升及多重持久化等完整的后门远控能力。
近日，瑞星威胁情报平台发现了一起由TransparentTribe组织针对印度陆军北方司令部的攻击活动。捕获的样本名为PPT for Breifing at HQ Norther Command.pptx.lnk，伪装成印度北方司令部简报的PPT文件快捷方式。该LNK文件通过调用cmd.exe以最小化窗口启动批处理脚本（excel.bat），释放诱饵PPT文档以迷惑用户感知，同时利用硬链接和注册表Run键将自定义.NET远控木马CrimsonRAT（jrnswry acrhyis.exe）部署至受害主机并建立持久化，通过与C2服务器通信从而实现屏幕监控、文件窃取、命令执行和远程控制。
近日瑞星威胁情报平台捕获到一起针对开源下载管理器JDownloader官方网站的供应链攻击事件。攻击者利用官网CMS系统中的未修补漏洞，将官方下载页面中的安装程序链接替换为指向第三方恶意服务器的重定向地址，向用户投递以PyArmor 8+加密保护的基于Python 3.14的后门木马。Windows版本直接以脚本形式投递，Linux版本则通过PyInstaller打包为ELF二进制文件分发并具备root级持久化机制。此次攻击利用用户对官方分发渠道的信任，属于典型的网站级软件供应链攻击。