作为近年来在国内猖獗的远控木马家族，银狐木马从一开始就将仿冒网站结合FakeApp（伪装成正常软件安装包，运行后除了正常执行对应软件的安装程序外还会激活内嵌的恶意程序）作为其主要传播手段之一。一开始它仿冒的软件只有一些国内无法通过常规途径获取的软件，之后它将仿冒的触手伸向了更多的知名软件，且在安装包上不断地尝试更多的方案以绕过安全软件的静态扫描同时对抗人工分析。
对于获取FakeApp前必须访问的仿冒网站而言，搜索引擎为其主要传播途径。攻击者利用SEO以及直接在搜索引擎上投放广告等手段，来使仿冒网站排名靠前，诱导用户点击访问
瑞星在2025年对这一传播手段进行了一整年的追踪分析与数据统计，本文首先将对一些统计数据进行展示与分析，随后会对三个使用较为新颖的手法对抗静态扫描和人工分析的案例进行更深入的分析。
近日瑞星威胁情报平台捕获某敏感单位上报的一款高度隐蔽且功能复杂的恶意样本，其采用多层次隐蔽技术，包括直接系统调用、内存执行、日志阻断等手段，有效规避常规安全检测机制。该样本具备完整的攻击链能力，涵盖持久化驻留（通过计划任务、隐藏文件实现）、数据窃取（通过文档拷贝、压缩外传等方式）、远程控制（利用DoH、WMI指令通信）以及横向移动（借助可移动设备传播）等恶意行为模块。
近日瑞星威胁情报平台监测到一起针对知名开源Windows优化工具Optimizer的恶意攻击事件，攻击者将恶意代码植入该工具后进行二次打包，并通过网络渠道传播，该木马程序具备多重反检测机制——通过对环境特征检测技术规避虚拟机与沙箱分析，同时采用多层脚本动态加载和系统进程注入等手段突破安全防护，最终利用计划任务持久化驻留并启动后门脚本。
近日瑞星威胁情报平台捕获到一款名为PDFClick的流氓软件，该软件为魔改的PyInstaller打包的EXE文件，其运行行为具有明显的条件判断逻辑：若检测到系统已安装Chrome浏览器，则自动下载更新程序并添加计划任务以实现持久化驻留；若未检测到Chrome浏览器，则跳过下载步骤。更新程序会进一步判断当前进程是否在64位模式下运行，并通过多种方式加载从服务端回传的加密数据。
值得注意的是，该软件官网宣称其功能为“本地处理所有文件”，但通过技术分析发现，其实际文件处理逻辑为将用户文件上传至远程服务器进行处理，这一行为与官网描述存在显著矛盾，表明其可能存在数据泄露或恶意操作风险。