FakeApp Rootkit，#Chrome #SilverFox

0x817

我用夸克网盘给你分享了「银狐木马勿运行_Chrome_inst_6.5.1_x64.zip.1.」，点击链接或复制整段内容，打开「夸克APP」即可获取。
/~66453YMNQi~:/
链接：https://pan.quark.cn/s/46de01d48f0b?pwd=aMxa
提取码：aMxa
hash：8fee64253b61de1d437f5aef35d46ad92f6988c268c9346381f378f7f6947432
微步+VT已经上传，但是都没有跑出有效IOC（个人观点)

原始钓鱼网站：https://cn.google-google-gooogle.com[.]cn/index.html
下载站：https://www.qeyu428k7[.]com/instdown
下载链接不变的情况下会不定期更换样本，此样本为昨日上机时提取，联想电脑管家直接被关闭，系统右键被禁止。
友友们，可以通过下载站下载最新的样本测试一下，反正这是本人第一次见禁止右键的银狐。。破坏性》》隐蔽性

看二楼图
大部分操作都提示被Defender阻止。

昨日IOC:103.156.25[.]26
GPT逆向说是通过隧道传输的，C2可能会变，具体内容也没完全逆出来

嘿嘿不能说

---

1. 病毒名称：Trojan/Injector.c!crit
   
2. 病毒ID：434E9E374546A127
   
3. 病毒路径：C:\Users\123aaa\Desktop\银狐木马勿运行_Chrome_inst_6.5.1_x64\Inst.5322e53201.exe
   
4. 操作类型：修改
   
5. 操作结果：已处理，删除文件
   
6. 
   
7. 进程ID：1344
   
8. 操作进程：C:\Program Files\Bandizip\Bandizip.exe
   
9. 操作进程命令行："C:\Program Files\Bandizip\Bandizip.exe"  bx -fg -target:name -o:"C:\Users\123aaa\Desktop"   "C:\Users\123aaa\Desktop\银狐木马勿运行_Chrome_inst_6.5.1_x64.zip"
   
10. 父进程ID：5884
    
11. 父进程：C:\Windows\System32\dllhost.exe

复制代码

莒县小哥

真小读者

0x817 发表于 2026-4-30 09:56
我去。。第一次发帖不太熟悉，随手贴了个图片怎么拉了这么长一大截。。痛苦。。

必须上传附件，不能直接贴图

fdsax

分流：https://www.ilanzou.com/s/le86bWqS BD ATC

0x817

友友们，可以通过下载站下载最新的样本测试一下，反正这是本人第一次见禁止右键的银狐。。破坏性》》隐蔽性

wwwab

0x817 发表于 2026-4-30 10:03
友友们，可以通过下载站下载最新的样本测试一下，反正这是本人第一次见禁止右键的银狐。。破坏性》》隐蔽性

这也没人禁止右键啊，你看弹出的路径啊，他这只是配置WDAC禁止联想电脑管家，然后联想电脑管家那坨搅屎棍东西每次右键都会加载启动，拦截的时候又会弹出顶级窗口，导致你没法右键。

wwwab

https://bbs.kafan.cn/thread-2291326-1-1.html
和这个样本好像差不多

0x817

wwwab 发表于 2026-4-30 10:32
这也没人禁止右键啊，你看弹出的路径啊，他这只是配置WDAC禁止联想电脑管家，然后联想电脑管家那坨搅屎棍 ...

原来是这样？那我懂了哈哈哈 谢谢大佬啊。。