释放器及其白加黑衍生物均具有有效数字签名的银狐你见过么？ #Silverfox #Signed

wwwab

感谢奇安信威胁情报中心带来的披露: https://mp.weixin.qq.com/s/aPjpQlzoVNHyInqgqqzPMQ

释放器有效数字签名: "Xi'an Vanci Electronic Technology Co., Ltd."

MD5: 8e26e076308f8294ccfabc9aee3a6511

黑dll有效数字签名: "Capybara Technology Ltd"

MD5: fcdd97426794cd57ab413f8ebbba4d4d

经分析，该释放器样本具有多种反沙箱、反虚拟机、反行为沙盒检测方式（if中的5个函数全是，必须全为真才会继续执行后续恶意代码），如果在你的环境中释放器无实际的目录写入行为那就是环境被检测了：


URL(s):
https://ldmnq[.]jxw[.]ink/
https://ldmnq[.]jxw[.]ink/ldplayer9_ld_6000_ld.exe

下载1: https://pan.huang1111.cn/s/8QOXxHQ
下载2: https://c.wss.cc/f/hrvai9r53xh（24h）

ulyanov2233

没反沙盒，在沙盒里跑起来行为了，被拦截了

sc.exe: SBIE2103 已拒绝加载系统驱动 'ld9boxsup [virus1] (StartService)' 的尝试
PID 20316: SBIE2205 未实现该服务: WMI IWbemServices 15

z80405789

not360被过了

心醉咖啡

360

ulyanov2233

腾管建议拉白，看来这个有效签名专为这种杀软设计的

wwwab

ulyanov2233 发表于 2025-8-19 21:51
没反沙盒，在沙盒里跑起来行为了，被拦截了

误报，这是雷电模拟器的正常安装行为。释放器样本会在临时目录正常释放一个官版雷电模拟器安装包安装雷电模拟器。你这个是把雷电模拟器给杀了。


"C:\ProgramData\zdfsdasd"路径有文件被写入才是真跑起来了。

ulyanov2233

wwwab 发表于 2025-8-19 22:02
误报，这是雷电模拟器的正常安装行为。释放器样本会在临时目录正常释放一个官版雷电模拟器安装包安装雷电 ...

那确实没有写入，沙盒被过

请叫我德玛西亚

不快扫下还真的无反应

大BD双击

ANY.LNK

直接复制到目录运行衍生物，Win11报错退出，Win10成功启动，出现powershell进程，拦截了排除项添加，报告了启动项添加
对explorer.exe的注入似乎崩了，虚拟机黑屏随后explorer.exe重启（一会儿再看看有没有其他的报告）


重启后自启，但explorer.exe还是崩溃，检测不到外联

另外似乎还有线程池注入

00006666

主程序有效签名的可多了，我都抓过一个，衍生物有签名的确实很少，第一次见

https://bbs.kafan.cn/thread-2283868-1-1.html