Posted in威胁分析
仿冒macOS Toolkit下载站分析：终端执行投递Atomic Stealer全流程拆解
概述
近日，瑞星接到用户反馈，称一个仿冒第三方macOS Toolkit的下载站点正在传播恶意程序。经分析，该站点并非通过常规安装包投递载荷，而是将恶意命令包装为"安装命令"，诱导用户将其复制至终端执行；在macOS弹出安全提示时，进一步引导用户主动点击"允许"，从而绕过系统防护、获取执行权限。
Posted in威胁分析
仿冒 FluentCleaner 的 Remus Stealer：一场借”白加黑”上位的窃密攻击
概述
近日瑞星威胁情报平台监测到一起针对知名开源Windows清理工具FluentCleaner的恶意攻击事件，攻击者仿冒其官方渠道（fluentcleaner.org）投放带毒安装包，以"白加黑"手法将恶意mscoree.dll与正规程序二次打包后通过网络传播。恶意mscoree.dll解密内嵌的Remus Stealer窃密木马并注入合法进程ServiceModelReg.exe中执行，而Remus Stealer自身具备多重反检测机制——通过沙箱DLL哈希比对、蜜罐文件与CPUID虚拟机特征检测规避分析环境，同时采用SSN直连syscall绕过EDR用户态Hook，经EtherHiding链上C2动态获取控制地址并下发命令，定向窃取浏览器凭据、Cookie、Steam/Roblox账号及C2指定文件后加密回传。
Posted in威胁分析
下载游戏启动器却装了个远控？HMCL仿冒网站正在利用白加黑劫持用户
概述
近期，瑞星威胁情报中心捕获了一起仿冒HMCL的钓鱼攻击活动。HMCL（Hello Minecraft! Launcher）是一款开源的Minecraft第三方启动器，攻击者注册hmcl.io、hmcl.app等虚假域名，诱导用户访问并下载带毒压缩包hmcl.zip。
Posted in威胁分析
HTTPS隧道里的银狐：一次DoH隐蔽通信木马的全链路分析
概述
近日 瑞星威胁情报平台 捕获到一起银狐木马的攻击事件，该木马将自身包装为雷电模拟器安装包，以篡改的 INNO Setup 程序作为初始投递载体，通过白加黑 DLL 劫持逐层解密释放银狐木马本体。该变种最显著的特征是采用了DNS-over-HTTPS（DoH）隐蔽通信——将 C2 域名 oidng2.duoshit.com 的解析请求封装在 HTTPS 中发往阿里 DNS（223.5.5.5）和 Google DNS（8.8.8.8）的 DoH 端点，使恶意流量与正常公共 DNS 访问完全无法区分，从而绕过企业 DNS 监控和防火墙策略。银狐本体还具备 VMProtect 虚拟化保护、键盘记录、凭据窃取、进程注入、屏幕截图、权限提升及多重持久化等完整的后门远控能力。