近期，瑞星威胁情报中心捕获一起瞄准交易群体的恶意攻击：攻击者仿冒MetaTrader交易软件分发载体，借助ExeBundler捆绑包搭载带正规签名的MetaTrader 4安装程序作为掩护，后台释放Rust下载器，通过权限探测、持久化落地、无文件内存加载等手段，最终投递疑似银狐生态远控模块。该远控连接指定C2服务端建立通信，具备命令执行、屏幕捕获、键盘记录、剪贴板窃取等全套高危控制能力。
近期，瑞星威胁情报平台监测到一起针对Windows用户群体的文件感染型攻击事件。攻击者通过感染合法程序进行传播，被感染文件在运行时会释放并执行一个内嵌后门。该后门经LZNT1压缩存储于病毒体尾部，运行时通过RunPE（CreateProcessA 挂起 → NtUnmapViewOfSection → VirtualAllocEx → WriteProcessMemory → SetThreadContext → ResumeThread）以无文件方式注入自身副本，随后与C2服务器exo-api.tf建立HTTPS通信。该后门具备环境指纹采集、双互斥体单实例运行、联网获取加密数据、伪装System32进程执行联网下载的恶意程序等能力,运行时对NtManageHotPatch与ZwQueryVirtualMemory进行Inline Hook，篡改内存查询结果以隐藏注入的载荷，规避EDR/沙箱的内存扫描,并通过命名管道\\.\pipe\VccFramework在恶意组件之间传递C2域名、木马标识符、感染配置等，可对用户主机构成持久化控制与数据窃取威胁。
近期，瑞星通过自动化沙盒捕获到今年新出现的名为Warden Stealer的窃密木马样本。初始文件byeantlyeuks.exe对内嵌编码数据进行解码和重组，并将还原出的载荷注入explorer.exe执行。后续模块build.dll的功能包含主机环境检测、浏览器及Discord、Steam、Roblox等应用数据采集，并包含剪贴板钱包地址替换、屏幕截图、进程内存读取及二阶段载荷下载执行等功能。样本通过WinHTTP与候选C2域名通信，上报数据经序列化、异或处理和LZNT1压缩。
近日瑞星威胁情报平台捕获到一起银狐木马的攻击事件。该样本以三阶段递进方式投递：第一阶段为携带正常企业数字签名（上饶市嘉端科技有限公司，签名有效期自2026年8月13日21:21:17起，证书签发时间极新）的WinHTTP下载器，先以三重环境筛选（五项反分析与反调试检测、CPU 核数与内存阈值、强制真实用户交互）加父进程白名单判定，筛除沙箱、虚拟机与分析平台，再runas自提权，随后以RC4解密出载荷地址并经公共云存储平台下载加密载荷；第二阶段为完全不含导入表的shellcode，经PEB走查与双算法哈希解析17个API，从C2拉取第三阶段载荷；第三阶段为中文远控模块，在内存中被反射加载后上线，并以CREATE_SUSPENDED启动系统进程tracerpt.exe完成RIP劫持注入与守护重生。