本帖最后由 ulyanov2233 于 2025-9-21 16:13 编辑
通过系统化拓线分析，成功构建出完整的Silver Fox APT攻击网络，确认以下关键情报： - 核心攻击组织：Silver Fox APT（恶意级别：3，APT家族）
- 核心C2基础设施：
- 域名：pttphddopp.oss-cn-hongkong.aliyuncs.com（恶意类型：KNOWN APT，告警：Silver Fox APT活动事件）
- 域名：zhong.1v5s.com（恶意类型：KNOWN APT，告警：Silver Fox APT活动事件）
- IP：47.83.225.15（关联7个恶意样本，端口：8990/5946）
- 关联样本拓线：
- 主样本：9ae7b90b32d103edef1abe5e2b49a47b（WpsSetup.exe，风险等级：30）
- 拓线样本（7个）：
- 3ad877d5fb92d33a84a2f8563677a695（恶意家族：giant，文件名：uok.exe）
- 78f913ad5d99f72eeb90557bd9042814（恶意家族：Farfli，文件名：78f913ad5d99f72eeb90557bd9042814.exe）
- 1125cd9cb814568952d55f810b22d2a9（恶意家族：Doina，文件名：1125cd9cb814568952d55f810b22d2a9.x64.exe）
- ff8df6dc3007cf2f50d8702d4bb2e003（恶意家族：SilverFox，文件名：ff8df6dc3007cf2f50d8702d4bb2e003.x64.exe）
- 56b2df59fced5f6e7e52d717a9b5b390（恶意家族：Farfli，文件名：56b2df59fced5f6e7e52d717a9b5b390.dll）
- e74b06fc27c11ec1fdf846fd29389f9c（恶意家族：Doina，文件名：e74b06fc27c11ec1fdf846fd29389f9c.x64.exe）
- a06ca6c12721af331f06e01b45e7c6a0（恶意家族：未明确，文件名：未明确）
- 攻击时间跨度：2025-09-11至2025-09-21（10天）
- 威胁等级：高危APT攻击（恶意级别：3，APT家族）
. 高危行为模式多层权限提升： - 通过NtAdjustPrivilegesToken实现管理员权限提升（样本78f913ad5d99f72eeb90557bd9042814）
- 利用NtCreateThreadEx实现跨进程注入（样本3ad877d5fb92d33a84a2f8563677a695）
进程注入技术： - 进程镂空技术：样本3ad877d5fb92d33a84a2f8563677a695通过NtUnmapViewOfSection取消映射恶意进程，实现免杀。
- 线程劫持：样本3ad877d5fb92d33a84a2f8563677a695使用NtSetInformationThread劫持线程执行流。
防御规避手段： - 内联Hook：样本3ad877d5fb92d33a84a2f8563677a695通过NtWriteVirtualMemory内联Hook系统函数（LdrFindResource_U、LdrAccessResource）规避检测。
- 进程伪装：样本1125cd9cb814568952d55f810b22d2a9通过WMI查询AntiVirusProduct检测安全软件，规避分析环境。
2. 持久化机制注册表自启动： [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run]"驱动人生"="C:\Users\Public\Documents\QQ\TASKMAN.exe"- 关联样本：3ad877d5fb92d33a84a2f8563677a695（恶意家族：giant）
系统服务创建： sc create ConnectGroup binPath= "C:\Users\Public\Documents\QQ\spolsvt.exe"sc create MarkTime binPath= "C:\Users\Public\Documents\QQ\spolsvt.exe"- 关联样本：78f913ad5d99f72eeb90557bd9042814（恶意家族：Farfli）
3. 通信特征分析流量特征： - 使用HTTP GET请求下载恶意载荷（/zh/zh.bin_1757427233.exe）
- 通过阿里云CDN（aliyuncs.com）伪装合法流量，规避网络监控
- 频繁的OCSP请求（ocsp.globalsign.com）用于验证C2通信合法性
C2端口策略： - 端口8990：用于Farfli家族样本（78f913ad5d99f72eeb90557bd9042814、56b2df59fced5f6e7e52d717a9b5b390）
- 端口5946：用于Doina家族样本（1125cd9cb814568952d55f810b22d2a9、e74b06fc27c11ec1fdf846fd29389f9c）
| 
发表于 2025-9-21 15:36:49
楼主
