近日瑞星威胁情报平台捕获到一起银狐木马的攻击事件。该样本以三阶段递进方式投递：第一阶段为携带正常企业数字签名（上饶市嘉端科技有限公司，签名有效期自2026年8月13日21:21:17起，证书签发时间极新）的WinHTTP下载器，先以三重环境筛选（五项反分析与反调试检测、CPU 核数与内存阈值、强制真实用户交互）加父进程白名单判定，筛除沙箱、虚拟机与分析平台，再runas自提权，随后以RC4解密出载荷地址并经公共云存储平台下载加密载荷；第二阶段为完全不含导入表的shellcode，经PEB走查与双算法哈希解析17个API，从C2拉取第三阶段载荷；第三阶段为中文远控模块，在内存中被反射加载后上线，并以CREATE_SUSPENDED启动系统进程tracerpt.exe完成RIP劫持注入与守护重生。
近期，瑞星威胁情报中心捕获了一起境外软件下载站cracx.com传播窃密木马的攻击事件。攻击者以“破解版”商业软件为诱饵吸引用户访问，用户点击页面上的下载按钮后，会被重定向至packlocker.shop下的随机子域名，进而下载到伪装成正常安装包的恶意压缩文件。值得注意的是，该站点早在2020年就曾因传播恶意程序被公开披露，至今已持续运营六年，其间投放的载荷历经多次更迭，呈现出长期化、产业化的运营特征。
瑞星于2026年9月18日接到用户反馈，称设备上发现疑似银狐木马文件。经详细分析，该文件属于银狐木马，且首次使用GPU参与解密流程，标志着银狐木马在载荷保护工程化上的又一次演进
近期，瑞星威胁情报平台发现一起伪装成电商采购清单的定向攻击事件。攻击者将样本命名为9月份采购样品清单.hta，通过钓鱼邮件、即时通讯工具等社工手段投递，诱骗用户双击执行。样本运行后释放可执行程序Poltarbi.exe，并经批处理脚本间接将其启动，以切断初始脚本与恶意载荷之间的进程链。Poltarbi.exe承载后续全部恶意行为：先将自身复制到伪装目录并膨胀体积以改变文件特征，再借助WP TaskScheduler建立本地持久化，最后经内嵌加载器将PureRAT远控木马在内存中解密执行，木马与远程服务器通信并窃取敏感信息，可造成用户数据泄露或系统被控。