#Confirmed(2/2) #Silverfox #RAT

川建国代理人

原链接：https://wwbga.lanzouu.com/i0vEd3sc87fe
钓鱼邮件中杀死杀软进程并截图的样本：https://wwbga.lanzouu.com/iP19w3sdh3vg
Sample1 Tags:#Phishing #India-tax-phish #Silverfox #Backdoor #ValleyRAT #Winos
S̶a̶m̶p̶l̶e̶2̶ ̶T̶a̶g̶s̶:̶#̶e̶x̶e̶ ̶#̶S̶i̶l̶v̶e̶r̶F̶o̶x̶ ̶#̶T̶r̶o̶j̶a̶n̶/̶S̶i̶l̶v̶e̶r̶F̶o̶x̶.̶s̶a̶ ̶#̶V̶a̶l̶l̶e̶y̶R̶A̶T̶

从注册表密钥启动文件：
C:\ProgramData\USB3YTCVFDR" Tax-Number219863.exe  ←（Simple1，pdf自身为白文件，内置链接对应后续载荷确认为恶意软件）

对应钓鱼网站页面内下载链接

1. hxxps://xzsdiiaeugs.eu.cc/d/5f5fa37adefa

复制代码

C:\ProgramData\USB3YTCVFDR" explorer.exe

川建国代理人

fdsax 发表于 2026-6-19 10:33
best，pdf下载的双击报错

缺少Java核心库文件导致无法运行，并未展现出样本完整行为，需结合jli.dll

川建国代理人

tony099 发表于 2026-6-19 21:36
哥 我把1.pdf打开了 卡巴吧2.exe查杀掉了 没啥问题吧 需要急救重装系统吗

没不用，闹乌龙了，杀杀软进程的是pdf里链接对应的文件，并不是2.exe，我已经修改链接一步到位最后的样本，本来pdf是留给测试者自己往前推进的
之前的两个样本只是按照silverfox标签筛选出来的

wwwab

啊松 发表于 2026-6-19 21:56
写小作文让他们入库一下漏驱可以吗.卡巴斯基那群猪头每次都不肯入库漏驱

就是利用普通的ZwTerminateProcess漏洞驱动杀进程，IOCTL 0x2420031 结束进程

wwwab

DisaPDB 发表于 2026-6-19 21:41
2.exe疑似也是恶意
360&微软都出拉黑报法了

2.exe是"SHAB.dll"加载器——将构造好的WinOS远控配置字符串作为参数，调用load函数——主要功能应该在"SHAB.dll"中的dllmain函数和load函数中，样本中没有提供"SHAB.dll"

@川建国代{过}{滤}理人

DisaPDB

sub_10006580 通过 CreateToolhelp32Snapshot + Process32FirstW/NextW 遍历所有进程，wcscmp 逐项比对进程名。同时还通过 Windows Security Center (WSC) 的 WMI 接口 root\SecurityCenter2 查询 AntiVirusProduct，然后去 HKEY_CLASSES_ROOT\CLSID\{GUID} 读取产品的显示名称。

下面是对抗的杀毒软件进程名：

1. "UnThreat.exe", "K7TSecurity.exe", "ad-watch.exe", "PSafeSysTray.exe",
   
2.     "vsserv.exe", "remupd.exe", "rtvscan.exe", "ashDisp.exe",
   
3.     "avcenter.exe", "TMBMSRV.exe", "knsdtray.exe", "egui.exe",
   
4.     "Mcshield.exe", "avp.exe", "f-secure.exe", "avgwdsvc.exe",
   
5.     "V3Svc.exe", "acs.exe", "SPIDer.exe", "cfp.exe",
   
6.     "mssecess.exe", "QUHLPSVC.EXE", "RavMonD.exe", "KvMonXP.exe",
   
7.     "baiduSafeTray.exe", "BaiduSd.exe", "HipsTray.exe", "QQPCRTP.exe",
   
8.     "KSafeTray.exe", "kxetray.exe", "360sd.exe", "ZhuDongFangYu.exe",
   
9.     "360tray.exe", "360Tray.exe", "360Safe.exe"

复制代码

fdsax

best atc 2x，emsi拦截钓鱼网站

胡淇允

静态分析结果
威胁类型/家族
SHAB Loader (loaddll)
样本为名为 loaddll 的 DLL 加载器（PDB: loaddll.pdb）。主入口点 0x1400012d4 在 CRT 初始化完成后直接调用 0x140001070。该函数通过 IAT 调用 LoadLibraryA(0x140014000) 加载同目录下的 SHAB.dll，随后通过 GetProcAddress(0x140014008) 获取导出函数 "load"，并将位于 0x14001c5a0 的约 256+ 字节配置数据复制到栈缓冲区后调用之。配置数据中包含多层 C2 信息：反转域名 moc.snaudnuy.3uhzuhz（实际 zzhuhzu.3yundauns.com）与反转 IP 97.841.21.301（实际 103.12.148.79），端口 344/0821。导入表存在大量未静态引用的高危 API（CreateProcessW、WriteFile、CreateFileW、IsDebuggerPresent 等），说明具备进一步动态解析/间接调用的能力。综合来看，这是一个用于加载后续恶意模块（SHAB.dll）并传递 C2 配置的恶意加载器。
#1 主入口点 0x1400012d4 在程序启动时直接调用 0x140001070，驱动整个加载流程
置信度 95%
* 0x1400012d4 (调用 0x140001070)
* 0x140001070 (加载器主体)
#2 0x140001070 通过 LoadLibraryA 加载 SHAB.dll，并通过 GetProcAddress 解析其 "load" 导出函数
置信度 98%
* 0x140001070
* CALL qword ptr [0x140014000] (LoadLibraryA)
* CALL qword ptr [0x140014008] (GetProcAddress)
* 字符串 0x14001c540 (SHAB.dll)
* 字符串 0x14001c580 (load)
#3 加载器将 0x14001c5a0 处的大量数据复制到栈后，以 RCX 为参数 CALL 获取到的函数指针，传递给 SHAB.dll
置信度 98%
* 0x140001070
* LEA RAX, [0x14001c5a0]
* CALL R8 (0x14000118c)
#4 数据中包含混淆的 C2 配置字符串（0x14001c5fa），使用简单反转：IP 97.841.21.301 -> 103.12.148.79，域名 moc.snaudnuy.3uhzuhz -> zzhuhzu.3yundauns.com，端口 344/0821
置信度 92%
* 0x14001c5fa
* :zf|1:lc|1:dd|1:3t|0821:3o|moc.snaudnuy.3uhzuhz:3p|1:2t|344:2o|97.841.21.301:2p|1:1t|344:1o|97.841.21.301:1p|
#5 PDB 路径暴露项目名为 loaddll，表明核心功能就是加载外部 DLL
置信度 90%
* 0x14001c930
* C:\Users\F01\source\repos\test\x64\Release\loaddll.pdb
#6 导入表存在多个未静态引用的高危 API，具备通过动态解析隐藏行为的能力
置信度 80%
* LoadLibraryA (0x140014000)
* GetProcAddress (0x140014008)
* IsDebuggerPresent (0x140014080)
* WriteFile (0x140014110)
* CreateProcessW (0x140014180)
* CreateFileW (0x140014240)
#7 Sigma 规则 PE_ANTI_ANALYSIS_APIS 命中，检测反分析 API（IsDebuggerPresent），对应 ATT&CK T1497/T1622
置信度 75%
* PE_ANTI_ANALYSIS_APIS
* T1497
* T1622
* IsDebuggerPresent

莒县小哥

https://opentip.kaspersky.com/77 ... 29764f53206/results

吃瓜群众第123位

实体机Avira +Trend Micro Scan miss


虚拟机Apex One（仅双击exe文件）miss 无反应

hashcake

Ti Security
pdf无法测试
exe静态

嘿嘿不能说

1. 【1】2026-06-19 18:38:11,病毒防护,恶意行为监控,发现未知病毒ADV:Trojan/GenInjector.A!1.104, 已处理
   
2. 
   
3. 病毒名称：ADV:Trojan/GenInjector.A!1.104
   
4. 病毒路径：C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe
   
5. 操作结果：处理失败，文件隔离失败
   
6. 
   
7. 进程ID：8284
   
8. 操作进程命令行："C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe"
   
9. 父进程ID：8416
   
10. 父进程：C:\Windows\System32\dllhost.exe
    
11. 父进程命令行：C:\Windows\system32\DllHost.exe /Processid:{3E5FC7F9-9A51-4367-9063-A120244FBEC7}
    
12. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
13. 
    
14. 【2】2026-06-19 18:38:05,病毒防护,恶意行为监控,发现未知病毒ADV:Trojan/GenInjector.A!1.104, 已处理
    
15. 
    
16. 病毒名称：ADV:Trojan/GenInjector.A!1.104
    
17. 病毒路径：C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe
    
18. 操作结果：已处理，删除文件
    
19. 
    
20. 进程ID：4888
    
21. 操作进程命令行："C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe"
    
22. 父进程ID：5916
    
23. 父进程：C:\Windows\explorer.exe
    
24. 父进程命令行：C:\Windows\Explorer.EXE
    
25. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
26. 
    
27. 【3】2026-06-19 18:38:04,系统防护,系统加固,Tax-Number919863.exe触犯注册表防护规则, 已阻止
    
28. 
    
29. 防护项目：启动项
    
30. 操作类型：修改
    
31. 数据内容：cmd /c start "" /D "C:\ProgramData\USB3YTHS" Tax-Number919863.exe
    
32. 目标注册表：HKEY_USERS\S-1-5-21-3324060647-850939379-2035803166-1001\Software\Microsoft\Windows\CurrentVersion\Run\USB3YTHS
    
33. 操作结果：已阻止
    
34. 进程ID：8284
    
35. 操作进程：C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe
    
36. 操作进程命令行："C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe"
    
37. 操作进程校验和：B8F157D19017065CCAD21E5CEAE21184D0FC3E5D
    
38. 父进程ID：8416
    
39. 父进程：C:\Windows\System32\dllhost.exe
    
40. 父进程命令行：C:\Windows\system32\DllHost.exe /Processid:{3E5FC7F9-9A51-4367-9063-A120244FBEC7}
    
41. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
42. 
    
43. 【4】2026-06-19 18:38:00,系统防护,系统加固,Tax-Number919863.exe触犯注册表防护规则, 已阻止
    
44. 
    
45. 防护项目：启动项
    
46. 操作类型：修改
    
47. 数据内容：cmd /c start "" /D "C:\ProgramData\USB3YTHS" Tax-Number919863.exe
    
48. 目标注册表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\USB3YTHS
    
49. 操作结果：已阻止
    
50. 进程ID：8284
    
51. 操作进程：C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe
    
52. 操作进程命令行："C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe"
    
53. 操作进程校验和：B8F157D19017065CCAD21E5CEAE21184D0FC3E5D
    
54. 父进程ID：8416
    
55. 父进程：C:\Windows\System32\dllhost.exe
    
56. 父进程命令行：C:\Windows\system32\DllHost.exe /Processid:{3E5FC7F9-9A51-4367-9063-A120244FBEC7}
    
57. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
58. 
    
59. 【5】2026-06-19 18:37:59,系统防护,系统加固,Tax-Number919863.exe触犯注册表防护规则, 已阻止
    
60. 
    
61. 防护项目：启动项
    
62. 操作类型：修改
    
63. 数据内容：cmd /c start "" /D "C:\ProgramData\USB3YTHS" explorer.exe
    
64. 目标注册表：HKEY_USERS\S-1-5-21-3324060647-850939379-2035803166-1001\Software\Microsoft\Windows\CurrentVersion\Run\USB3YTHS
    
65. 操作结果：已阻止
    
66. 进程ID：4888
    
67. 操作进程：C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe
    
68. 操作进程命令行："C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe"
    
69. 操作进程校验和：B8F157D19017065CCAD21E5CEAE21184D0FC3E5D
    
70. 父进程ID：5916
    
71. 父进程：C:\Windows\explorer.exe
    
72. 父进程命令行：C:\Windows\Explorer.EXE
    
73. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
74. 
    
75. 【6】2026-06-19 18:37:56,系统防护,系统加固,Tax-Number919863.exe触犯注册表防护规则, 已阻止
    
76. 
    
77. 防护项目：服务/驱动配置项
    
78. 操作类型：修改
    
79. 数据内容：\??\C:\Windows\System32\drivers\pcdhost.sys
    
80. 目标注册表：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\PcaSvc_procmon\ImagePath
    
81. 操作结果：已阻止
    
82. 进程ID：8284
    
83. 操作进程：C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe
    
84. 操作进程命令行："C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe"
    
85. 操作进程校验和：B8F157D19017065CCAD21E5CEAE21184D0FC3E5D
    
86. 父进程ID：8416
    
87. 父进程：C:\Windows\System32\dllhost.exe
    
88. 父进程命令行：C:\Windows\system32\DllHost.exe /Processid:{3E5FC7F9-9A51-4367-9063-A120244FBEC7}
    
89. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
90. 
    
91. 【7】2026-06-19 18:37:55,系统防护,系统加固,Tax-Number919863.exe触犯文件防护规则, 已阻止
    
92. 
    
93. 防护项目：系统目录
    
94. 目标文件：C:\Windows\System32\drivers\pcdhost.sys
    
95. 操作结果：已阻止
    
96. 进程ID：8284
    
97. 操作进程：C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe
    
98. 操作进程命令行："C:\Users\123aaa\Downloads\Tax-Number919863\Tax-Number919863\Tax-Number919863.exe"
    
99. 操作进程校验和：B8F157D19017065CCAD21E5CEAE21184D0FC3E5D
    
100. 父进程ID：8416
     
101. 父进程：C:\Windows\System32\dllhost.exe
     
102. 父进程命令行：C:\Windows\system32\DllHost.exe /Processid:{3E5FC7F9-9A51-4367-9063-A120244FBEC7}

复制代码

---

2.exe：？

---

360：

Tax-Number919863.exe：运行之后不久，卫士直接被杀死再也起不来了，但杀毒没事，进行快速扫描后发现了可疑的启动项并处理掉了（需重新启动），重启后卫士终于能够正常运行。

ahhh

eis 1x
腾讯管家 miss

xjwtzq

奇安信miss