#银狐 #SilverFox #CW 样本 5X

Error50X

fsp 解压kill1x

2025/12/31 22:56
已隔离有害文件
路径： C:\Users\Administrator\Downloads\infected2025123101
文件： 2025年12月份第2季度违纪人员内部调查信息.exe_
原因： TR/W64.MalwareX

扫描kill3x

有害项目：
HEUR/APC
C:\Users\Administrator\Downloads\infected2025123101\2025年12月份第2季度违纪人员内部调查信息.exe.exe.exe_ - 已隔离
HEUR/APC.AVADL
C:\Users\Administrator\Downloads\infected2025123101\2025年12月份第2季度违纪人员内部调查信息.exe.exe_ - 已隔离
BDS/W64.MalwareX
C:\Users\Administrator\Downloads\infected2025123101\关于2025年第二季度稽查内职人员名单信息公.exe_ - 已隔离

miss 1x

LingGao

Microsoft Defender

ALL Trojan:Win32/Malgent!MSR

xie2008

https://s.threatbook.com/report/file/215c822886e918c10fb52c0282eb31a7da1cbff5393a8bdb55fcb2f02cae7c4b   ## 核心结论  经过对文件哈希、关联域名、IP地址、恶意软件家族以及相关威胁情报的全面分析，可以明确得出以下结论：**文件哈希 `1a2419041a6e9f472ac7466866ee2fe7` 属于高风险恶意文件，与“SilverFox”恶意软件家族相关联。该文件与多个恶意域名、IP地址和恶意软件样本存在直接关联，且涉及复杂的攻击链和多种恶意行为。** 此外，相关的域名和IP地址均与多种恶意软件家族（如 Agent、Farfli、Zegost 等）存在通信行为，表明其可能是一个更大规模恶意活动的一部分。建议立即采取措施阻断相关IOC，并加强网络防御。  ---  ## 关键发现  - **文件哈希分析**:   - 文件 `1a2419041a6e9f472ac7466866ee2fe7` 被判定为恶意，属于“SilverFox”恶意软件家族，具有木马（Trojan）特性。   - 文件表现出多种恶意行为，包括进程注入、DLL反射加载、检测虚拟机环境、创建计划任务以实现持久化等。  - **关联域名分析**:   - 关联域名 [12-18.qq-weixin.org](data-ai-link2-2) 被判定为恶意，标签为“远控（Remote Control）”，与“FatalRAT”恶意软件家族相关。   - 该域名与多个恶意样本通信，涉及恶意软件家族包括 Agent、Generic、Zegost 等。   - 历史解析IP显示该域名曾多次变更IP地址，涉及多个国家和地区的服务器。  - **关联IP分析**:   - IP地址 [38.182.96.4](data-ai-link2-1) 被判定为“Cautionary”，与多类恶意软件（如 Agent、Farfli、Generic 等）存在通信行为。   - 该IP地址开放了多个端口，包括 SSH、HTTP、HTTPS、MSRPC、SMB 等，可能被用作恶意活动的跳板。   - 反查域名显示该IP与多个恶意域名相关联，包括 [12-18.qq-weixin.org](data-ai-link2-2)。  - **关联样本分析**:   - 与域名和IP地址相关的多个恶意样本被检测为木马（Trojan），涉及恶意软件家族包括 Agent、Farfli、Zegost 等。   - 恶意样本表现出反调试、反沙箱、数据窃取、持久化等高级恶意行为。  - **情报洞察**:   - “SilverFox”恶意软件家族与多个黑客组织和攻击活动相关联，主要针对金融、医疗、政府等行业，攻击手法包括钓鱼邮件、伪造网站、无文件攻击等。   - 相关IOC（IP、域名、文件哈希）显示出复杂的攻击链和广泛的恶意活动。  ---  ## 详细分析  ### 1. 文件哈希分析 通过对文件哈希 `1a2419041a6e9f472ac7466866ee2fe7` 的情报查询，发现以下信息： - **文件基本信息**:   - 文件类型: Zip   - 文件大小: 999,177 字节   - 文件名: `infected2025123101.zip`   - 恶意软件家族: SilverFox   - 恶意行为: 进程注入、DLL反射加载、检测虚拟机环境、创建计划任务等。   - 威胁评分: 110（高风险）  这些行为表明该文件具有较强的反检测能力，并可能用于窃取数据或进行远程控制。  ---  ### 2. 关联域名分析 通过对文件关联的域名 [12-18.qq-weixin.org](data-ai-link2-2) 的情报查询，发现以下信息： - **域名基本信息**:   - 判定: 恶意（Malicious）   - 标签: 远控（Remote Control）   - 恶意软件家族: FatalRAT   - 历史解析IP:     - 当前解析IP: [38.182.96.4](data-ai-link2-1)（中国香港，GLOBAL COMMUNICATION NETWORK LIMITED）     - 历史解析IP: 包括 [154.19.167.172](data-ai-link2-1)（美国）、[38.91.112.90](data-ai-link2-1)（美国）、[82.21.80.149](data-ai-link2-2)（新加坡）等。   - 关联子域名: 包括 [1-27.qq-weixin.org](data-ai-link2-2), [1-31.qq-weixin.org](data-ai-link2-2), [y-7.qq-weixin.org](data-ai-link2-2) 等。  - **关联样本**:   - 多个恶意样本与该域名通信，涉及恶意软件家族包括 Agent、Generic、Zegost 等。   - 示例样本:     - SHA256: `47835bbb98d4660ffa225000797e22c3cfd48ae43af8ccf0999a760b8c3a92ba`（木马, Generic）     - SHA256: `7248fc8c4cbcf4d739d99a27096e82a7d053728e92178595662a839736e2301a`（木马, Agent）  这些发现表明该域名是一个恶意活动的关键节点，用于传播和控制多种恶意软件。  ---  ### 3. 关联IP分析 通过对关联IP地址 [38.182.96.4](data-ai-link2-1) 的情报查询，发现以下信息： - **IP基本信息**:   - 归属地: 中国香港   - 运营商: GLOBAL COMMUNICATION NETWORK LIMITED   - ASN编号: 152179   - 判定: Cautionary（需警惕）   - 标签: 网关  - **开放端口**:   - 该IP开放了多个端口，包括:     - SSH (22, OpenSSH)     - HTTP (47001, Microsoft HTTPAPI httpd)     - HTTPS (443)     - MSRPC (135, 49152-49157)     - SMB (445)     - 其他端口如 22206、22001-22005 等。  - **关联域名**:   - 当前解析域名: 包括 [12-18.qq-weixin.org](data-ai-link2-2), [1-27.qq-weixin.org](data-ai-link2-2), [1-31.qq-weixin.org](data-ai-link2-2) 等。   - 历史解析域名: 包括 [y-7.qq-weixin.org](data-ai-link2-2), [y-3.caonide.com](data-ai-link2-1) 等。  - **关联样本**:   - 多个恶意样本与该IP通信，涉及恶意软件家族包括 Agent、Farfli、Generic 等。   - 示例样本:     - SHA256: `47835bbb98d4660ffa225000797e22c3cfd48ae43af8ccf0999a760b8c3a92ba`（木马, Generic）     - SHA256: `0bdaee2789ba12e2e724bb1f6f58eb2add8febbe4d7304d8dc69970b000dc7fe`（木马, Zegost）  这些发现表明该IP可能被用作恶意活动的跳板，参与了多种恶意软件的传播和通信。  ---  ### 4. 关联样本分析 通过对与域名和IP地址关联的恶意样本的情报查询，发现以下信息： - **样本1**:   - SHA256: `47835bbb98d4660ffa225000797e22c3cfd48ae43af8ccf0999a760b8c3a92ba`   - 恶意软件家族: Antavmu   - 恶意行为: 反调试、反逆向工程、数据窃取、持久化。   - 威胁评分: 70（高风险）  - **样本2**:   - SHA256: `7248fc8c4cbcf4d739d99a27096e82a7d053728e92178595662a839736e2301a`   - 恶意软件家族: Agent   - 恶意行为: 数据窃取、反检测、持久化。   - 威胁评分: 60（中高风险）  这些样本的行为特征表明其可能被用于窃取敏感数据，并具有较强的反检测能力。  ---  ## 建议与对策  1. **阻断IOC**:    - 立即在防火墙、IDS/IPS 和 SIEM 系统中阻断以下 IOC:      - 文件哈希: `1a2419041a6e9f472ac7466866ee2fe7`, `47835bbb98d4660ffa225000797e22c3cfd48ae43af8ccf0999a760b8c3a92ba`, `7248fc8c4cbcf4d739d99a27096e82a7d053728e92178595662a839736e2301a` 等。      - 恶意域名: [12-18.qq-weixin.org](data-ai-link2-2), [1-27.qq-weixin.org](data-ai-link2-2), [1-31.qq-weixin.org](data-ai-link2-2) 等。      - 恶意IP: [38.182.96.4](data-ai-link2-1).  2. **加强网络防御**:    - 部署高级威胁检测工具（如EDR）以监控和阻止恶意行为。    - 定期更新安全设备的威胁情报库，确保能够检测最新的恶意活动。  3. **员工培训与意识提升**:    - 提高员工对钓鱼邮件和恶意网站的警惕性，避免点击可疑链接或下载未知文件。  4. **漏洞管理**:    - 定期更新   

小丽

这样本又是银狐

biue

腾讯电脑管家 5X

Miostartos

withsecure 扫描4X其中FS云拉黑3X，双击DG信誉拦截1X