毒网特征分析和样本

lingchenheiye

毒网特征分析文本：https://qfile.qq.com/q/z00zayPM88
这个文本只是目前我总结现状和主流思路写的，可能存在不足

样本链接：https://qfile.qq.com/q/I5wbdKqliw

asdfnbbj

360扫描不报

761773275

SEP16 MISS

前轱辘不转

火绒kill

123456aaaafsdeg

3306-1

域　名　fanyi-yyoudao[.]com[.]cn
注册商　成都垦派科技有限公司
注册人　5YiB5L+K5paH
邮　箱　cHIxMzA3MzY0QGdtYWlsLmNvbQ==
注册日　2026-07-10 18:47:02 UTC+8
过期日　2027-07-10 18:47:02 UTC+8
状　态　正常
DNS　　ns1[.]kenpains[.]com
　　　　ns2[.]kenpains[.]com
DNSSEC　未配置

域　名　fanyi-yozdao[.]com
注册商　万商云集（成都）科技股份有限公司
注册人
邮　箱
注册日　2026-06-11 16:02:05 UTC+8
过期日　2027-06-11 16:02:05 UTC+8
更新日　2026-06-11 16:05:23 UTC+8
IANA_ID　3869
状　态　正常
DNS　　ns1[.]kenpains[.]com
　　　　ns2[.]kenpains[.]com
DNSSEC　未配置

域　名　hhh2-youdao[.]icu
注册商　GLOBAL ASSET DOMAINS INC.
注册人
邮　箱
注册日　2026-07-16 21:52:33 UTC+8
过期日　2027-07-17 07:59:59 UTC+8
更新日　2026-07-16 21:52:34 UTC+8
IANA_ID　4313
状　态　注册局禁止转移
　　　　客户端禁止转移
　　　　新增期 add period
DNS　　ns1[.]gadomains[.]com
　　　　ns2[.]gadomains[.]com
DNSSEC　未配置

域　名　wangmeipo[.]cn
注册商　腾讯云计算（北京）有限责任公司
注册人　5YiY5piO6LSi
邮　箱　ODExODEwOUBnbWFpbC5jb20=
许可号　鲁ICP备16035909号
注册日　2017-02-22 15:55:56 UTC+8
过期日　2027-02-22 15:55:56 UTC+8
通过日　2017-09-14
状　态　正常
DNS　　ns1[.]huaweicloud-dns[.]cn
　　　　ns1[.]huaweicloud-dns[.]net
　　　　ns1[.]huaweicloud-dns[.]org
　　　　ns1[.]huaweicloud-dns[.]com
DNSSEC　未配置

域　名　ehvip[.]cn
注册商　北京新网数码信息技术有限公司
注册人　5YiY5piO6LSi
邮　箱　Y25jY25ldEBxcS5jb20=
注册日　2017-09-17 04:05:16 UTC+8
过期日　2027-09-17 04:05:16 UTC+8
状　态　正常
DNS　　f1g1ns1[.]dnspod[.]net
　　　　f1g1ns2[.]dnspod[.]net
DNSSEC　未配置

文件指纹
Yd_zheybgg_V9.8.2.zip
大小: 305591726 字节 : 291 MiB
CRC32: 64DBB45E
CRC64: 18FDFD2224D08601
XXH64: FF63F57D0822434E
SHA256: c5170c3d9893734a96efa2d1eac87fa8cb846dc0ad1aa2dc3c66e1e770ca3355

YoudaoDict_zheybgg_V9.8.2.msi
大小: 307920896 字节 : 293 MiB
CRC32: 9BFE1FD0
CRC64: 949E170EF4EA0DD9
XXH64: E5BBD150A0F12024
SHA256: a3926af7e81ac61b4a52a0bf0fc2663b6b1cee892339fcf5ff43a2a67478b2c2

disk1.cab（核心载荷）
大小: 304611437 字节 : 290 MiB
CRC32: 103096E6
CRC64: A6C7F7031E0294E6
XXH64: 67FD81FE82C7D118
SHA256: 7888d02cc7f415c5258880ddcbf711bc08e80921275c310e93978ee9431c90a1

火绒扫描（我自己的本地扫描结果）
6.0.11.1 版本
07-19 18:37 病毒库

2026/07/20 09:58:53
病毒防护
下载保护
发现病毒Trojan/FakeApp.be!crit, 已处理

病毒名称：Trojan/FakeApp.be!crit
病毒ID：6CD466C26BB69884
病毒路径：YoudaoDict_zheybgg_V9.8.2.msi
操作结果：已处理，删除文件

文件参考

1. Herms.dll　＃可能是卡巴误报，存在 Bandizip 关键字但无签名
   
2. 
   
3. emjio.tmp　＃Trojan.Multi.Agent.au
   
4. 
   
5. appupdate.yml　＃https://desktop-release.notion-static.com
   
6. 
   
7. res.png　＃异常非图片文件，APDIR levering.exe
   
8. app_bg2.png
   
9. aboutlcon.png
   
10. tb_btn_test.png
    
11. app_camera.png
    
12. app_honeyview.png
    
13. aiview_btn_next.png
    
14. 
    
15. app.asar
    
16. resource.h　＃Used by Bandizip.rc
    
17. 
    
18. j.xml　＃二进制载荷
    
19. skin_main.xml　＃Bandizip Skin V1.0 2010-10-28
    
20. sxx982j9s1.xml　＃加密压缩包，内容是 360压缩_1.1.0.263.exe CRC32 D21BB2DD
    
21. app_wooting.xml　＃二进制载荷
    
22. skin_select_folder.xml
    
23. skin_compress_dlg.xml
    
24. 
    
25. cfprefs.node
    
26. win_utils.node
    
27. mac_utils.node
    
28. progress_ bar.node
    
29. better_sqlite3.node
    
30. test_extension.node
    
31. 
    
32. elevate.exe
    
33. jdk8u20windowsi586.exe　＃官方版，压舱石
    
34. YoudaoDict_fanyiweb_navigation.exe　＃官方版，压舱石

复制代码

相关过程
下载接口页

1. https://fanyi-yozdao[.]com/download.php

复制代码

首次重定向

1. https://hhh2-youdao[.]icu

复制代码

重定向飞牛

1. https://w2[.]wangmeipo[.]cn/api/v4/slave/file/content/0/ZS9ndjIvNzkxMC91V0ZQcWZqcV9ZZF96aGV5YmdnX1Y5LjguMi56aXA=/0/Yd_zheybgg_V9.8.2.zip?sign=qBmlvEa-BZFeEew_8kLHgeYZFNqcP3slkc3F0T-vrIs%3D%3A0

复制代码

网址解编码

1. https://w2[.]wangmeipo[.]cn/api/v4/slave/file/content/0/e/gv2/7910/uWFPqfjq_Yd_zheybgg_V9.8.2.zip/0/Yd_zheybgg_V9.8.2.zip?sign=qBmlvEa-BZFeEew_8kLHgeYZFNqcP3slkc3F0T-vrIs=:0

复制代码

错误提醒
满满Ａｉ味

1. 并不是所有Ａｉ网站都是病毒
   
2. Ａｉ只是工具，依靠指令行事

复制代码

可疑的下载

1. 是又不是，并不是所有官网都提供文件直链，部分
   
2. 或大部分用的是动态响应链接，具体情况具体分析

复制代码

诡异的渲染

1. 半真半假，不用ｖｕｅ或ｒｅａｃｔ流行框架，不能
   
2. 成为完全辨别标准，样式／脚本内嵌视具体工程而定

复制代码

ai 的遗留（部分）

1. 中文代码注释，并不是Ａｉ专利特权，因此关于注释图里代码
   
2. 中文注释，不要将正常人谁写日记类网络谬论观点带到分析里
   
3. 
   
4. Ａｉ模型资料来自于人，经过蒸馏调整等一系列优化而成型
   
5. 鲁迅语料被训练，调优至默认生成型，不代表鲁迅是Ａｉ人

复制代码

证书和外链

1. 详见 https://support.apple.com/zh-cn/102028，这个并不能成为辨别标准
   
2. https://crt.sh/?id=27829487403、27829497435  看对应网站证书链正常的
   
3. 
   
4. 因为这已经是行业规则的一部分，用遵守行业规则和自动签发不能成为其依据
   
5. 如果按照此观点，那么看看卡饭的网站证书，是不是也符合短期离谱辨别特征

复制代码

相关网址
https://s.threatbook.com/report/url/4314e4f615d603d0a6b548cf1c0fd698
https://s.threatbook.com/report/url/b91cc565c14b8318fecbabc398213849
https://s.threatbook.com/report/url/4b7e68ffc640dd3532df40f4ff995b60
https://s.threatbook.com/report/url/e7eabffc61b3227df5aa7b11042b19aa
https://s.threatbook.com/report/url/e7e3f5b68941166d7118b80576f9dfa2

外壳载体
https://s.threatbook.com/report/file/a3926af7e81ac61b4a52a0bf0fc2663b6b1cee892339fcf5ff43a2a67478b2c2

核心载荷
https://s.threatbook.com/report/file/7888d02cc7f415c5258880ddcbf711bc08e80921275c310e93978ee9431c90a1

原始文档（方便大家阅读）

吃瓜群众第123位

趋势科技云端版 miss


虚拟机Apex One双击miss

lingchenheiye

3306-1 发表于 2026-7-20 07:59
域　名　fanyi-yyoudao[.]com[.]cn
注册商　成都垦派科技有限公司
注册人　5YiB5L+K5paH

1.银狐网站主要针对的是国内大厂知名软件，例如360火绒或者有道搜狗等，不会考虑模仿卡饭或者病毒吧。大厂的主流网站都不会随便让ai制作的东西流出来，所以真正官网不会说大量存在严重的ai味和留存ai信息残留的。特别还是大量emoji和宣传国内不许宣传的东西。
2.可疑的下载核心观点是在官网安装程序一般是可执行文件，除非另外说明是压缩包，否则下载的压缩包包名还带混淆字符肯定不正常
3.渲染那块，主要看存在明显的ai风格和大量从底层开始的手写的css，这就不太对劲不使用框架目前只在小网站，大网站都会注意整体架构管理，有一定特色或者使用现成框架，不会说完全手搓
4.ai遗留只在部分网站出现，核心是找到遗留的ai信息，当然这点不绝对，但是ai写的代码和文本往往有一定规律，也是容易看出来
5.证书问题我承认确实存在问题，因为很难鉴定证书上的信息比对，因为需要连接其他网站获取信息比对，这个有一定难度，但是如果可以获取到外部其他数据比对，证书鉴别反而更加容易

目前我做这个分析的目的，就是提供一些思路，发动社区和提醒杀软，通过一定的技术手段，从而实现对毒网的“零日”分析，提高对毒网的拦截分析能力，把毒网分析和拦截引入主动防御系统，而减少靠拉黑来解决问题

3306-1

lingchenheiye 发表于 2026-7-20 13:30
1.银狐网站主要针对的是国内大厂知名软件，例如360火绒或者有道搜狗等，不会考虑模仿卡饭或者病毒吧。大 ...

通过一定的技术手段，从而实现对毒网的“零日”分析，提高对毒网的拦截分析能力

1. 这份报告只分析了其外壳表面，而外壳是最容易金蝉脱壳
   
2. 第二／三／四／五并没在报告体现，目标都不知谈何零日
   
3. 
   
4. 目标是飞牛，飞牛在旧版本是有高危漏洞的，具体见官网
   
5. 如果是修复后，暂时不详；如何执行漏洞，具体自行学习
   
6. 
   
7. 钻研这些外壳零日浪费时间跑不赢，甚至有些外壳都不是黑客自己运营的
   
8. 而是通过别人网站程序直接或间接漏洞架设而来，只有核心关键才有意义
   
9. 
   
10. 零日小心被反诬陷破坏计算机罪，特别是有备案，有正常或伪装业务的
    
11. 立意是好的，但行动不谨慎，经验不丰富，证据不充足，只会害了自己
    
12. 
    
13. 包管理器也可以投毒，本质也是个类浏览器搜索引擎，类 TeamPCP 开源蠕虫了解下
    
14. 书写Ａｉ与Ａｌ差个字母或大小写，就是李逵与李鬼，等回过神来李鬼早吃干抹净了

复制代码

把毒网分析和拦截引入主动防御系统，而减少靠拉黑来解决问题

1. 对方是下猪仔，外壳本身相关行为不危险，如果从所谓Ａｉ味来封杀
   
2. 只会自断行业手臂且误封率高，除非纯白名单制度，或全行业严律等
   
3. 
   
4. 白名单就完全没事了吗，不一定，详见我最近的分析帖子和参考萤石云
   
5. 利用白名单漏洞或多层白名单充当跳板，内鬼特调和云控也可下发毒网
   
6. 
   
7. 从本样本来说，在杀毒眼里，途径都是相对合法安全
   
8. 民间自行架设合法网盘程序或各种云，一定就是毒吗？

复制代码

大厂的主流网站都不会随便让ai制作的东西流出来

1. 以偏概全了不是，大厂Ａｉ参与生产线是板上钉钉事实，谁烧得起谁管控得好
   
2. 谁经验和资料最丰富，至于成品是否存在Ａｉ味，是由审计和具体指令等决定
   
3. 
   
4. 毒网外壳几乎都是无害网页，现在的生成式想要仿真绝非难事
   
5. 想要生成式达成什么效果，取决于人资料经验和清晰详细指令
   
6. 
   
7. 本样本并不是银狐病毒，详见拆包参考，危害相对没银狐大
   
8. 只是外壳具有一定特征，并不能根据外壳直接论据银狐病毒

复制代码

主要看存在明显的ai风格和大量从底层开始的手写的css

1. 本段论据依然是有一定问题的，请参见（想要生成式达成什么效果）
   
2. 不管是纯生成还是纯手搓，或半生半手，都不能以偏概全刻板印象
   
3. 
   
4. 在生成式之前／后，大厂也是屎山框架上手搓而来，除非完全推倒重来
   
5. 但这个成本很高不轻易启用，小网站是否使用框架取决于人和建站程序

复制代码

核心是找到遗留的ai信息，当然这点不绝对，但是ai写的代码和文本往往有一定规律

1. 找到外壳的疑似生成式特征，注意是疑似，甚至有些可能是
   
2. mi-guan诱饵陷阱，是用来钓循迹而来，骗进来后全局拦截访问
   
3. 
   
4. 所以分析外壳生成特征，除了规避之外毫无意义，拉黑也跑不赢
   
5. 而且不是所有生成式特征都高欺诈性，不要因特征变成惊弓之鸟

复制代码

最后，我希望这些回答没有打击影响您的自信和病毒学习相关，而是充实您的经验与能力，加油！

ahhh

其实很多人就是觉得微软附带UAC和声誉保护都是一堆垃圾，特别现在一些人收费给人搞系统美化，一上来就把用户自动更新和安全中心给卸载了，视频下面还有给他洗地的，说微软的新系统一堆bug。。。
如果默认情况下，哪怕绕过WD这些杀毒软件，在双击没签名的银狐时候smartscreen都会进行最后一次警告，这是正规软件绝对不会弹出的一个大大蓝色提示窗口，如果他还头铁点继续运行，那能咋办呢？
这玩意永远只能靠用户自己的安全意识