Posted in威胁分析
当木马把解密器写进显卡：银狐 Rust 投递器全链拆解
概述
瑞星于2026年9月18日接到用户反馈，称设备上发现疑似银狐木马文件。经详细分析，该文件属于银狐木马，且首次使用GPU参与解密流程，标志着银狐木马在载荷保护工程化上的又一次演进
Posted in威胁分析
规避常规排查：滥用 WP TaskScheduler 持久化的 PureRAT 定向投递分析
概述
近期，瑞星威胁情报平台发现一起伪装成电商采购清单的定向攻击事件。攻击者将样本命名为9月份采购样品清单.hta，通过钓鱼邮件、即时通讯工具等社工手段投递，诱骗用户双击执行。样本运行后释放可执行程序Poltarbi.exe，并经批处理脚本间接将其启动，以切断初始脚本与恶意载荷之间的进程链。Poltarbi.exe承载后续全部恶意行为：先将自身复制到伪装目录并膨胀体积以改变文件特征，再借助WP TaskScheduler建立本地持久化，最后经内嵌加载器将PureRAT远控木马在内存中解密执行，木马与远程服务器通信并窃取敏感信息，可造成用户数据泄露或系统被控。
Posted in威胁分析
一个驱动安装包的“副业”：Asruex 如何感染 Word、PDF 与 U 盘
概述
近日，海外科技媒体 VideoCardz 报道 GEEKOM 部分 Mini PC 驱动资源中存在被标记为恶意软件的可执行文件，后经 GEEKOM 官方确认相关文件曾存在于其旧版支持页面。经进一步分析，该文件被 Asruex 感染型病毒感染，执行后可通过环境检测和载荷投递加载第二阶段后门，并进一步建立持久化机制，感染本地PE、Word和PDF文件，同时通过 USB 可移动介质扩大传播范围；此外，后门还具备文件操作、进程管理、文件窃取、屏幕捕获等远程控制能力，形成从初始投递、后门驻留、文件感染到持续传播和远程控制的完整攻击链。
Posted in威胁分析
游戏玩家成猎物：Vidar盗号木马冒充外挂发动窃密攻击
概述
近期，瑞星威胁情报平台监测到一起针对游戏玩家群体的攻击事件。攻击者将恶意载荷app-64.7z打包至NSIS安装包中，随后将该安装包连同其他伪装文件一同打包为call-of-duty.zip，通过下载站伪装成游戏外挂进行传播。受害者执行该NSIS安装包后，会释放并启动一个恶意加载器Installer.exe。该加载器随即加载经过高强度混淆的main.js脚本，脚本下载并执行载荷payload.exe，payload.exe在内存中解密并运行Vidar信息窃取木马。该木马可窃取浏览器凭据、加密货币钱包、桌面应用数据等敏感信息，对用户隐私与数字资产构成严重威胁。