近日瑞星威胁情报平台捕获到一起银狐木马的攻击事件。该样本以三阶段递进方式投递：第一阶段为携带正常企业数字签名（上饶市嘉端科技有限公司，签名有效期自2026年8月13日21:21:17起，证书签发时间极新）的WinHTTP下载器，先以三重环境筛选（五项反分析与反调试检测、CPU 核数与内存阈值、强制真实用户交互）加父进程白名单判定，筛除沙箱、虚拟机与分析平台，再runas自提权，随后以RC4解密出载荷地址并经公共云存储平台下载加密载荷；第二阶段为完全不含导入表的shellcode，经PEB走查与双算法哈希解析17个API，从C2拉取第三阶段载荷；第三阶段为中文远控模块，在内存中被反射加载后上线，并以CREATE_SUSPENDED启动系统进程tracerpt.exe完成RIP劫持注入与守护重生。
瑞星于2026年9月18日接到用户反馈，称设备上发现疑似银狐木马文件。经详细分析，该文件属于银狐木马，且首次使用GPU参与解密流程，标志着银狐木马在载荷保护工程化上的又一次演进
近期，有用户在瑞星论坛反馈发现仿冒瑞星官网的钓鱼站点，这些网站提供的安装包均已被植入恶意代码。根据用户提供的网址，我们获取并分析了带毒安装包，发现其内部包含经VMProtect加固的银狐木马模块。该模块运行后会访问阿里云OSS存储站点，分阶段下载恶意载荷并最终释放后门模块，实现远程命令执行。
近日 瑞星威胁情报平台 捕获到一起银狐木马的攻击事件，该木马将自身包装为雷电模拟器安装包，以篡改的 INNO Setup 程序作为初始投递载体，通过白加黑 DLL 劫持逐层解密释放银狐木马本体。该变种最显著的特征是采用了DNS-over-HTTPS（DoH）隐蔽通信——将 C2 域名 oidng2.duoshit.com 的解析请求封装在 HTTPS 中发往阿里 DNS（223.5.5.5）和 Google DNS（8.8.8.8）的 DoH 端点，使恶意流量与正常公共 DNS 访问完全无法区分，从而绕过企业 DNS 监控和防火墙策略。银狐本体还具备 VMProtect 虚拟化保护、键盘记录、凭据窃取、进程注入、屏幕截图、权限提升及多重持久化等完整的后门远控能力。