本帖最后由 DeepSeek 于 2026-8-31 22:39 编辑
AI分析的完整报告：
| 事件性质 | ⚠ 确认攻击 (银狐木马) | 威胁等级 | ■ 严重（Critical） | | 事件窗口 | 2026-08-31 22:30:01 ~ 2026-08-31 22:31:08 | 攻击入口 | C:\Users\test\Downloads\666666\666666\666666.exe（未签名安装包，释放恶意载荷） |
一、执行摘要攻击者通过用户下载的未签名安装包 666666.exe 发起攻击。该安装包释放临时载荷并最终在非标准目录 C:\Drivers\BFyAEo\OK3z\k5Kz\ 下释放多个恶意文件（wUmve2.exe、YCw.en）。恶意载荷 wUmve2.exe 启动后，通过 UAC 提升获取管理员权限，以 进程注入手法攻击系统合法进程（elevation_service.exe、svchost.exe、sihost.exe），成功劫持 sihost.exe 作为宿主进程。随后执行创建恶意服务、添加 Defender 排除项、隐藏文件、修改 ACL 权限等操作建立持久化并规避检测，最终通过被劫持的 sihost.exe 与外部 IP 177.4.3.16:53 建立 C2 通信。全程表现出典型的银狐木马行为特征。 |
1.1 影响范围评估评估维度 | 现状 | 风险 | | 执行权限 | 已获得管理员权限（通过 UAC 提升），并劫持系统进程 | ■ 严重 | | 持久化 | 已创建系统服务 JrQXf3xFeDAlv-7Ydlj8wOc | ■ 严重 | | C2 通道 | 已建立向 177.4.3.16:53 的外连 TCP 连接 | ■ 严重 | | 防御状态 | 已添加 Defender 排除路径、隐藏可执行文件、修改目录 ACL | ■ 严重 | | 数据泄露 | 已控制 sihost.exe（Shell Infrastructure Host），可访问用户会话数据 | ▲ 高 | | 横向移动 | 当前未观察到内网扫描/传播行为 | ▲ 待排查 |
1.2 分析结论判定结论：确认恶意攻击，为银狐木马家族变种。
置信度：高置信度（95%）
判定依据：共触发 6 条恶意/告警规则（其中 4 条为拦截恶意行为级），命中银狐木马专属特征规则（QVM 内存指纹 6ECC771E11821581），且攻击链完整覆盖"初始执行→权限提升→防御规避→持久化→C2通信"全过程。 |
二、分析推理过程2.1 攻击推理时间线时间 | 战术 | 技术 | 行为描述 | | 22:30:01 | TA0005 防御规避 | T1036.005 合法名称伪装 | 安装包 666666.exe 释放临时载荷到 %TEMP%\is-HTA96.tmp | | 22:30:01 | TA0004 权限提升 | T1548 UAC 绕过/利用 | 临时进程通过 Appinfo 服务触发 consent.exe 请求提升，启动系统安装程序框架 | | 22:30:03-05 | TA0002 执行 | T1204.002 用户执行恶意文件 | Inno Setup 框架解压载荷，在 C:\Drivers\BFyAEo\OK3z\k5Kz\ 下重命名释放 youdao.exe、wUmve2.exe、YCw.en（伪装文件） | | 22:30:06 | TA0005 防御规避 | T1036.005 非标准路径执行 | 从 C:\Drivers\...\x7A10\ 启动 wUmve2.exe（触发"可疑目录进程启动"规则） | | 22:30:10-12 | TA0005 防御规避 | T1562 削弱防御机制 | 加载同目录载荷 YCw.en；重复加载 ntdll.dll（绕过用户态钩子） | | 22:30:18 | TA0004 权限提升 | T1134.002 创建令牌/进程 | 利用 elevation_service.exe 实现 UAC 提权（本次提权进程也继承了恶意代码） | | 22:30:18 | TA0005 防御规避 | T1055 进程注入 | 向 elevation_service.exe 注入恶意代码（内存指纹 78CA459D5F81C93B） | | 22:30:42 | TA0011 命令与控制 | T1071 应用层协议 | elevation_service.exe 中检测到银狐木马动态代码执行特征（内存指纹 6ECC771E11821581） | | 22:30:45-48 | TA0005 防御规避 | T1562 / T1055 | 重复加载 ntdll.dll；注入 svchost.exe（内存指纹 78CA459D5F81C93B） | | 22:30:56 | TA0003 持久化 | T1543.003 创建/修改系统服务 | 创建服务 JrQXf3xFeDAlv-7Ydlj8wOc，通过 cmd /c start 启动恶意程序 | | 22:30:58 | TA0005 防御规避 | T1562.001 禁用安全工具 | 通过 PowerShell 执行 Add-MpPreference -ExclusionPath 添加 Defender 白名单；隐藏 wUmve2.exe、ac4ibz.N3、YCw.en 文件 | | 22:31:00 | TA0005 防御规避 | T1222 文件权限修改 | 使用 icacls 修改 C:\Drivers\...\x7A10\ 目录 ACL（拒绝 Users 删除，授予读取执行） | | 22:31:02-08 | TA0005 防御规避 | T1055 进程注入 | 注入 sihost.exe 并成功劫持，该进程随后访问 C:\ProgramData\942BC5546C8441D2AF51E6A352BBD8DB 并外连 177.4.3.16:53 |
2.2 分析结论判定依据：- 进程伪装：恶意载荷在 C:\Drivers\BFyAEo\OK3z\k5Kz\ 下伪装为 youdao.exe，且文件名随机化（wUmve2.exe、YCw.en），文件描述为空白。
- 权限提升链：利用合法组件 consent.exe 和 elevation_service.exe 获取管理员权限。
- 防御规避：重复加载 ntdll.dll 以绕过 EDR 钩子；添加 Defender 排除路径；用 icacls 锁定恶意目录防删除；隐藏多个恶意文件。
- 持久化机制：创建系统服务 JrQXf3xFeDAlv-7Ydlj8wOc，通过 cmd 启动恶意程序，实现开机自启。
- 进程注入与劫持：向 elevation_service.exe、svchost.exe、sihost.exe 注入恶意代码，最终劫持 sihost.exe 进行 C2 通信。
- C2 通信：被劫持的 sihost.exe 外连 IP 177.4.3.16:53（非标准 DNS 端口，疑为隐蔽隧道）。
结论：该攻击为典型的 银狐木马感染流程，攻击者已取得系统完全控制权，建立了持久化和 C2 通道。判定为 确认攻击，置信度 95%。 |
三、详细事件分析3.1 阶段1：初始执行与载荷释放（22:30:01 ~ 22:30:05）入口文件：C:\Users\test\Downloads\666666\666666\666666.exe（未签名，文件说明为空）
释放目录：C:\Drivers\BFyAEo\OK3z\k5Kz\x7A10\ |
攻击起始于用户下载并双击运行一个未签名的安装包 666666.exe。该程序利用 Inno Setup 安装框架（特征：is-*.tmp、/SL5= 参数），先解压到临时目录 %TEMP%，再将恶意载荷释放到非标准系统目录 C:\Drivers\ 下。 - 临时载荷：释放 is-HTA96.tmp\666666.tmp，文件说明为 "Setup/Uninstall"，属安装包自解压行为。
- 恶意重命名：多文件释放后立即被重命名为 youdao.exe、wUmve2.exe、YCw.en，路径为 C:\Drivers\BFyAEo\OK3z\k5Kz\ 下的随机子目录，该层级结构高度可疑。
- 伪装名称：youdao.exe 借用"有道"知名软件名进行伪装，但实际存放路径与有道无关，判定为恶意伪装。
分析要点：文件说明为空字符串且释放到 C:\Drivers\ 这类非预期目录，与正常安装包行为不符。该阶段已表现出明显的执行与防御规避意图。 3.2 阶段2：权限提升与恶意代码激活（22:30:06 ~ 22:30:18）告警规则：内置规则 > 告警可疑行为 > 可疑目录进程启动
ATT&CK 映射：TA0005 Defense Evasion / T1036.005 Masquerading: Match Legitimate Name or Location
行为等级：可疑行为
告警规则：内置规则 > 拦截恶意行为 > 恶意进程注入
ATT&CK 映射：TA0005 Defense Evasion / T1055 Process Injection
行为等级：恶意行为 |
恶意载荷 wUmve2.exe 在 C:\Drivers\...\x7A10\ 目录启动，该路径属于非常规程序目录，触发告警。同时，恶意代码通过系统服务 Appinfo（负责 UAC 提权）调用 consent.exe 获取管理员批准。此阶段最关键的是恶意代码已进入 elevation_service.exe 进程。 - UAC 提权：通过 Appinfo 服务启动 consent.exe 请求权限，利用合法签名组件规避用户警觉。
- 进程注入：注入 elevation_service.exe（内存指纹 78CA459D5F81C93B），使恶意代码获得系统级权限。
- 禁用 EDR 钩子：重复加载 ntdll.dll，绕过用户态 API 监控（触发"重复加载 Ntdll"规则）。
分析要点：通过注入合法高权限进程是典型的权限提升手段，恶意代码后续操作均以 elevation_service.exe 为宿主执行。 3.3 阶段3：银狐木马特征确认（22:30:42）告警规则：内置规则 > 拦截攻击事件 > 银狐木马
ATT&CK 映射：TA0011 Command and Control / T1071 Application Layer Protocol
行为等级：恶意行为
告警规则：内置规则 > 拦截恶意行为 > 恶意进程注入
ATT&CK 映射：TA0005 Defense Evasion / T1055 Process Injection
行为等级：恶意行为 |
elevation_service.exe 中检测到银狐木马专属的动态代码执行特征（内存指纹 6ECC771E11821581），这是安全厂商对银狐家族的长期追踪积累的特征码。随后继续向 svchost.exe 注入恶意代码，进一步扩大控制范围。 - 动态代码执行：通过 VirtualAlloc 分配可执行内存并动态解密载荷，规避静态扫描。
- 多处注入：同一内存指纹 78CA459D5F81C93B 反复出现在 elevation_service.exe 和 svchost.exe，证明是同一份恶意代码在这些进程中横向迁移。
分析要点：银狐木马特征码命中，结合其动态加载行为，可确认该恶意样本属于银狐木马家族。 3.4 阶段4：持久化与深度防御规避（22:30:56 ~ 22:31:01）告警规则：内置规则 > 拦截恶意行为 > 使用可疑路径创建服务
ATT&CK 映射：TA0003 Persistence / T1543.003 Create or Modify System Process: Windows Service
行为等级：恶意行为
告警规则：内置规则 > 告警可疑行为 > 添加微软杀毒排除列表
ATT&CK 映射：TA0005 Defense Evasion / T1562.001 Impair Defenses: Disable or Modify Tools
行为等级：可疑行为
告警规则：内置规则 > 告警可疑行为 > 隐藏可执行文件
ATT&CK 映射：TA0005 Defense Evasion / T1564.001 Hidden Files and Directories
行为等级：可疑行为 |
恶意代码获得管理员权限后，立即展开持久化和防御规避操作，动作一气呵成，展示出高度自动化的恶意软件行为特征。 - 创建自启动服务：注册表 SYSTEM\ControlSet001\Services\JrQXf3xFeDAlv-7Ydlj8wOc 的 ImagePath 设置为 cmd /c cd /d "C:\Drivers\BFyAEo\OK3z\k5Kz\x7A10\" && start "" "...\wUmve2.exe"，每次开机通过系统服务自动启动恶意程序。
- 禁用 Defender：执行 PowerShell 命令 Add-MpPreference -ExclusionPath 'C:\Drivers\BFyAEo\OK3z\k5Kz\x7A10\'，将恶意目录加入 Windows Defender 白名单，使其无法被扫描查杀。
- 隐藏恶意文件：连续隐藏 wUmve2.exe、ac4ibz.N3、YCw.en 文件属性，避免用户通过资源管理器发现。
- 锁定目录权限：通过 icacls 命令对目录 C:\Drivers\...\x7A10\. 设置 /deny "Users":(D)（拒绝删除）和 /grant "Users":(OI)(CI)(RX)（允许读取执行），防止用户清理恶意文件。
分析要点："创建服务+Defender排除+文件隐藏+ACL锁定"四步组合拳，是银狐木马家族的典型持久化与自我保护手法，显著增加清除难度。 3.5 阶段5：C2 通信与最终控制（22:31:02 ~ 22:31:08）告警规则：内置规则 > 拦截恶意行为 > 恶意进程注入
ATT&CK 映射：TA0005 Defense Evasion / T1055 Process Injection
行为等级：恶意行为 |
恶意代码继续注入 sihost.exe（Shell Infrastructure Host，负责系统 UI 基础设施的合法进程），并成功劫持该进程执行恶意操作。 - 最终劫持：sihost.exe 被注入后，其行为完全受恶意代码控制，由该进程发起后续恶意活动。
- 释放数据：sihost.exe 访问 C:\ProgramData\942BC5546C8441D2AF51E6A352BBD8DB（隐藏目录），疑为存放窃取的数据或下载的后续载荷。
- C2 连接：被劫持的 sihost.exe 向 177.4.3.16:53 发起 TCP 连接。端口 53 为 DNS 服务端口，但以 TCP 形式通信，极可能作为隐蔽 C2 隧道，同时伪装成正常 DNS 流量。
分析要点：选择 sihost.exe 作为宿主进程非常隐蔽，因其系统进程特性可绕过多数行为检测，且以 53 端口 TCP 外联可作为通用 DNS 流量逃避网络监控。 四、处置建议4.1 紧急处置优先级 | 处置措施 | 操作命令 / 说明 | | P0 | 拦截恶意进程启动与联网 | 在冰盾中添加规则，禁止 C:\Drivers\BFyAEo\OK3z\k5Kz\ 目录下所有可执行文件启动及联网；禁止 sihost.exe 外连 177.4.3.16 | | P0 | 结束恶意进程 | 立即结束 sihost.exe（已被劫持）、wUmve2.exe、elevation_service.exe（已被注入）、svchost.exe（已被注入） | | P0 | 断网隔离 | 立即将受影响主机从网络断开，阻断与 177.4.3.16 的 C2 通信通道 |
4.2 清除与恢复优先级 | 处置措施 | 操作命令 / 说明 | | P1 | 删除恶意服务 | 执行 sc delete JrQXf3xFeDAlv-7Ydlj8wOc 删除服务，并删除注册表项 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\JrQXf3xFeDAlv-7Ydlj8wOc | | P1 | 删除恶意文件 | 先还原 ACL 后删除：icacls "C:\Drivers\BFyAEo\OK3z\k5Kz\x7A10\." /remove:d "Users"，然后删除整个 C:\Drivers\BFyAEo\ 目录；删除 C:\ProgramData\942BC5546C8441D2AF51E6A352BBD8DB 隐藏目录 | | P1 | 移除 Defender 排除项 | 执行 PowerShell：Remove-MpPreference -ExclusionPath "C:\Drivers\BFyAEo\OK3z\k5Kz\x7A10\"，恢复 Defender 正常扫描范围 | | P1 | 恢复文件属性 | 执行 attrib -h -s "C:\Drivers\BFyAEo\..." 恢复隐藏文件属性（若文件已被删除可跳过） | | P1 | 清理临时文件 | 删除 %TEMP% 下 is-*.tmp 及 666666 相关文件 | | P1 | 排查其他受控进程 | 重点排查 svchost.exe、explorer.exe、dllhost.exe 等是否被注入可疑代码 |
五、IOC 信息IOC 类型 | 值 | 说明 | | IP | 177.4.3.16 | C2 服务器地址（TCP 53 端口） | | 恶意文件 | C:\Drivers\BFyAEo\OK3z\k5Kz\x7A10\wUmve2.exe | 主恶意载荷（未签名） | | 恶意文件 | C:\Drivers\BFyAEo\OK3z\k5Kz\x7A10\YCw.en | 恶意模块/加密载荷（未签名） | | 恶意文件 | C:\Drivers\BFyAEo\OK3z\k5Kz\KRVM\youdao.exe | 伪装文件（未签名） | | 恶意文件 | C:\Drivers\BFyAEo\OK3z\k5Kz\x7A10\ac4ibz.N3 | 附加恶意文件 | | 注册表 | HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\JrQXf3xFeDAlv-7Ydlj8wOc | 恶意持久化服务项 | | 内存指纹 | 6ECC771E11821581 | 银狐木马动态代码执行特征 | | 内存指纹 | 78CA459D5F81C93B | 恶意进程注入特征 |
附录 A：全量原始事件记录（33 条）# | 时间 | 行为 | 进程 | 目标 | 规则 | 威胁等级 | | 1 | 22:30:01 | 释放文件 | Downloads\...\666666.exe | %TEMP%\is-HTA96.tmp\666666.tmp | 遥测事件 | 遥测 | | 2 | 22:30:01 | 创建进程 | 666666.exe | %TEMP%\666666.tmp (Setup/Uninstall) | 遥测事件 | 遥测 | | 3 | 22:30:01 | 创建进程 | %TEMP%\666666.tmp | C:\Windows\System32\consent.exe | 遥测事件 | 遥测 | | 4 | 22:30:03 | 创建进程 | %TEMP%\666666.tmp | Downloads\...\666666.exe | 遥测事件 | 遥测 | | 5 | 22:30:03 | 释放文件 | 666666.exe | %TEMP%\is-A178A.tmp\666666.tmp | 遥测事件 | 遥测 | | 6 | 22:30:03 | 创建进程 | 666666.exe | %TEMP%\is-A178A.tmp\666666.tmp | 遥测事件 | 遥测 | | 7 | 22:30:04 | 释放文件 | %TEMP%\666666.tmp | %TEMP%\is-24SOS.tmp\_isetup\_setup64.tmp | 遥测事件 | 遥测 | | 8 | 22:30:05 | 重命名文件 | %TEMP%\666666.tmp | C:\Drivers\...\KRVM\youdao.exe | 遥测事件 | 遥测 | | 9 | 22:30:05 | 释放文件 | %TEMP%\666666.tmp | C:\Drivers\...\KRVM\is-IPTR1.tmp | 遥测事件 | 遥测 | | 10 | 22:30:05 | 重命名文件 | %TEMP%\666666.tmp | C:\Drivers\...\x7A10\wUmve2.exe | 遥测事件 | 遥测 | | 11 | 22:30:05 | 释放文件 | %TEMP%\666666.tmp | C:\Drivers\...\x7A10\is-0IGAG.tmp | 遥测事件 | 遥测 | | 12 | 22:30:05 | 重命名文件 | %TEMP%\666666.tmp | C:\Drivers\...\x7A10\YCw.en | 遥测事件 | 遥测 | | 13 | 22:30:05 | 释放文件 | %TEMP%\666666.tmp | C:\Drivers\...\x7A10\is-1E03E.tmp | 遥测事件 | 遥测 | | 14 | 22:30:06 | 创建进程 | %TEMP%\666666.tmp | C:\Drivers\...\x7A10\wUmve2.exe (未签名) | 可疑目录进程启动 | 可疑 | | 15 | 22:30:10 | 加载模块 | wUmve2.exe | C:\Drivers\...\x7A10\YCw.en (未签名) | 遥测事件 | 遥测 | | 16 | 22:30:12 | 加载模块 | wUmve2.exe | C:\Windows\System32\ntdll.dll | 重复加载 Ntdll | 敏感 | | 17 | 22:30:18 | 创建进程 | wUmve2.exe | Edge\...\elevation_service.exe (Microsoft Edge) | 遥测事件 | 遥测 | | 18 | 22:30:18 | 映射内存到进程 | wUmve2.exe | elevation_service.exe (指纹:78CA...) | 恶意进程注入 | 恶意 | | 19 | 22:30:42 | 动态代码执行 | elevation_service.exe | VirtualAlloc (指纹:6ECC...) | 银狐木马 | 恶意 | | 20 | 22:30:45 | 加载模块 | elevation_service.exe | C:\Windows\System32\ntdll.dll | 重复加载 Ntdll | 敏感 | | 21 | 22:30:48 | 映射内存到进程 | elevation_service.exe | C:\Windows\System32\svchost.exe (指纹:78CA...) | 恶意进程注入 | 恶意 | | 22 | 22:30:56 | 设置注册表值 | elevation_service.exe | HKLM\...\Services\JrQXf3xFeDAlv-7Ydlj8wOc | 可疑路径创建服务 | 恶意 | | 23 | 22:30:58 | 创建进程 | elevation_service.exe | powershell.exe (Add-MpPreference) | 遥测事件 | 遥测 | | 24 | 22:30:58 | 隐藏文件 | elevation_service.exe | C:\Drivers\...\x7A10\ | 遥测事件 | 遥测 | | 25 | 22:30:58 | 隐藏文件 | elevation_service.exe | C:\Drivers\...\x7A10\wUmve2.exe | 隐藏可执行文件 | 敏感 | | 26 | 22:30:58 | 隐藏文件 | elevation_service.exe | C:\Drivers\...\x7A10\ac4ibz.N3 | 遥测事件 | 遥测 | | 27 | 22:31:00 | 隐藏文件 | elevation_service.exe | C:\Drivers\...\x7A10\YCw.en | 遥测事件 | 遥测 | | 28 | 22:31:00 | 创建进程 | elevation_service.exe | cmd.exe (icacls deny Users) | 遥测事件 | 遥测 | | 29 | 22:31:00 | 创建进程 | cmd.exe | icacls.exe (deny Users D) | 遥测事件 | 遥测 | | 30 | 22:31:00 | 创建进程 | cmd.exe | icacls.exe (grant Users RX) | 遥测事件 | 遥测 | | 31 | 22:31:01 | 设置注册表值 | MsMpEng.exe | Defender\Exclusions\Paths | 添加杀毒排除列表 | 可疑 | | 32 | 22:31:02 | 映射内存到进程 | elevation_service.exe | C:\Windows\System32\sihost.exe (指纹:78CA...) | 恶意进程注入 | 恶意 | | 33 | 22:31:08 | 隐藏文件 + 网络连接 | sihost.exe (被劫持) | C:\ProgramData\942BC...DB；177.4.3.16:53 | 遥测事件 | 遥测 |
本报告基于冰盾主动防御的检测事件，由 AI 辅助分析生成。内容仅供决策参考，请结合实际情况审慎采纳。
| 
发表于 2026-8-31 21:36:38
