FakeTG 语言包 1x

UNknownOoo

VT初扫：4/62

asdfnbbj

360扫描不报

星河大帝

avast IDP杀衍生物
红伞双击miss

fdsax

emsi双击miss，VT链接搞错了

莒县小哥

a2650183122

冰盾6.1.0测试版连接deepseek api
冰盾主动防御事件分析报告

事件性质
⚠ 确认攻击 (银狐木马)
威胁等级
■ 严重（Critical）
事件窗口
2026-09-01 10:06:10
攻击入口
C:\ProgramData\edge\Mw.exe（伪装为浏览器目录的恶意载荷加载器）

一、执行摘要
攻击者通过执行位于 C:\ProgramData\edge\Mw.exe 的恶意载荷加载器，结合加密脚本 ~jiami_131031_11072_456179.ahk，在内存中动态下载并执行来自 http://160.20.57.30/edge.bin 和 http://laiji.org/edge.bin 的恶意载荷（内存指纹 C3D848B84202BFCD），以分阶段投递的方式实现后续攻击行为。该行为完全符合银狐木马的典型攻击模式——利用合法的 AutoHotkey 脚本机制加载加密载荷，避开静态文件落地检测，并借助伪装目录和动态代码下载规避安全防护。

1.1 影响范围评估
评估维度
现状
风险
执行权限
恶意载荷已进入内存并准备执行
■ 严重
持久化
程序目录位于 C:\ProgramData\edge，有持久化安置迹象
▲ 高
C2 通道
已建立指向外部 IP 和域名的下载通道
■ 严重
防御状态
使用混淆（加密脚本）技术规避静态检测
■ 严重
数据泄露
尚未观察到具体数据外传行为
▲ 待排查

1.2 分析结论
判定：确认攻击，置信度 95%（高置信度）。两条独立事件均被内置规则准确识别为银狐木马行为，进程路径、命令行参数、网络目标与内存指纹高度一致，完整匹配银狐木马分阶段攻击模式。

二、分析推理过程
2.1 攻击推理时间线
时间
战术
技术
行为描述
10:06:10
TA0005 防御规避
T1027 混淆文件或信息
执行 Mw.exe 加载加密脚本 ~jiami_131031_11072_456179.ahk，解密并准备动态加载恶意代码，规避静态扫描
10:06:10
TA0011 命令与控制
T1027 混淆文件或信息
从 http://160.20.57.30/edge.bin 下载恶意载荷到内存（内存指纹 C3D848B84202BFCD）
10:06:10
TA0011 命令与控制
T1027 混淆文件或信息
从备用域名 http://laiji.org/edge.bin 下载同一载荷（相同内存指纹），建立冗余 C2 通道

2.2 分析结论
判定依据：
规则命中：两条事件均触发"内置规则 > 智能防御 > 自动拦截攻击事件 > 银狐木马"专用规则，规则针对性极强，误报概率低。
进程伪装：恶意程序位于 C:\ProgramData\edge\Mw.exe，利用 edge 目录名伪装为微软 Edge 浏览器相关组件，意图迷惑用户和安全人员。
混淆手段：AutoHotkey 脚本文件名 ~jiami_131031_11072_456179.ahk 包含 jiami（加密）特征，属典型混淆手段，增加分析检测难度。
防御规避链：采用路径伪装 → 脚本加密混淆 → 内存动态加载技术链，全程避免恶意文件落地，绕过基于文件的检测机制。
C2 冗余：同时使用 IP（160.20.57.30）和域名（laiji.org）作为载荷下载源，具备冗余切换能力，符合恶意基础设施建设特征。
结论：确认银狐木马分阶段投递攻击。攻击者利用 AutoHotkey 机制加载加密载荷，然后从远程服务器动态下载后续恶意代码到内存执行，整个过程完整覆盖防御规避和命令控制两个阶段的战术动作。置信度：95%。

三、详细事件分析
3.1 阶段一：恶意载荷加载与混淆执行（2026-09-01 10:06:10）
告警规则：内置规则 > 智能防御 > 自动拦截攻击事件 > 银狐木马
ATT&CK 映射：TA0005 防御规避 / T1027 混淆文件或信息 — 检测到银狐木马内存动态代码下载的行为，该行为通常用于分阶段投递恶意载荷，以实现下一阶段攻击行为。
行为等级：恶意行为

恶意进程 C:\ProgramData\edge\Mw.exe 以 AutoHotkey 解释器方式启动，加载加密脚本 ~jiami_131031_11072_456179.ahk。该脚本文件名中的 jiami（加密）字样表明载荷经加密混淆处理，是银狐木马常用的规避静态检测手段。通过 AutoHotkey 合法机制执行加密脚本，能够有效规避基于文件签名和静态特征的传统检测。
恶意载荷路径：C:\ProgramData\edge\Mw.exe，利用 edge 目录伪装成浏览器组件
加密脚本：C:\ProgramData\edge\~jiami_131031_11072_456179.ahk，文件名含随机数字和"jiami"特征
混淆手段：AutoHotkey 脚本加密执行，规避静态扫描
路径伪装：程序目录放置在 ProgramData 而非标准安装目录，且使用 edge 命名迷惑用户
分析要点：攻击者全程未将恶意代码以明文形式写入磁盘，而是借助加密脚本混淆和 AutoHotkey 合法执行环境完成初始代码加载，这是银狐木马成熟的对抗检测技术，表明攻击者具备较高的技术能力。
3.2 阶段二：动态代码下载与 C2 通信（2026-09-01 10:06:10）
告警规则：内置规则 > 智能防御 > 自动拦截攻击事件 > 银狐木马
ATT&CK 映射：TA0011 命令与控制 / T1027 混淆文件或信息 — 检测到银狐木马内存动态代码下载的行为，该行为通常用于分阶段投递恶意载荷，以实现下一阶段攻击行为。
行为等级：恶意行为

在同一时间点，恶意进程从两个远程地址发起载荷下载请求：http://160.20.57.30/edge.bin 和 http://laiji.org/edge.bin。两个 URL 均指向文件名为 edge.bin 的二进制载荷，且内存指纹一致（C3D848B84202BFCD），表明是同一攻击基础设施的双源部署。这种冗余设计确保主 C2 不可用时仍能完成载荷投递。
恶意下载源 1：http://160.20.57.30/edge.bin — 直连 IP，规避域名检测
恶意下载源 2：http://laiji.org/edge.bin — 备用域名通道
载荷内存指纹：C3D848B84202BFCD — 同一恶意载荷
下载方式：动态加载到内存执行，无文件落地
分析要点：双源下载策略兼具隐蔽性和高可用性，IP 直连规避域名黑名单，备用域名保证载荷交付可靠性。内存动态加载方式避免在磁盘留下痕迹，极大增加了取证分析难度。
四、处置建议
4.1 紧急处置
优先级
处置措施
操作命令 / 说明
P0
立即终止恶意进程
在冰盾中针对 C:\ProgramData\edge\Mw.exe 创建进程拦截规则，阻止其启动和运行
P0
阻断恶意 C2 通信
在冰盾中创建网络拦截规则，阻断到 160.20.57.30 和 laiji.org 的所有连接，防止后续载荷下载和数据外传
P0
确认进程已终止
结束所有由 Mw.exe 派生的子进程，彻底切断木马活动链路

4.2 清除与恢复
优先级
处置措施
操作命令 / 说明
P1
删除恶意程序文件
确认进程终止后，删除目录 C:\ProgramData\edge\ 下的全部文件（Mw.exe、~jiami_131031_11072_456179.ahk 等）
P1
检查计划任务/自启动项
检查系统计划任务、注册表 Run 键和启动文件夹，清除银狐木马可能创建的持久化项
P1
排查同源衍生文件
检查 C:\ProgramData 目录下是否有其他伪装目录，排查是否存在其他恶意组件
P1
主机取证留存
保留内存镜像和进程转储，记录进程树信息和网络连接日志，供后续溯源分析

五、IOC 信息
IOC 类型
值
说明
IP
160.20.57.30
银狐木马 C2 载荷下载服务器
域名
laiji.org
银狐木马备用 C2 载荷下载域名
恶意文件
C:\ProgramData\edge\Mw.exe
银狐木马恶意载荷加载器
恶意文件
C:\ProgramData\edge\~jiami_131031_11072_456179.ahk
加密混淆的恶意脚本载荷
网络 URL
http://160.20.57.30/edge.bin
恶意载荷下载地址
网络 URL
http://laiji.org/edge.bin
恶意载荷备用下载地址
内存指纹
C3D848B84202BFCD
下载的恶意载荷内存哈希

附录 A：全量原始事件记录（2 条）
#
时间
行为
进程
目标
规则
威胁等级
1
2026-09-01 10:06:10
动态代码下载
C:\ProgramData\edge\Mw.exe
http://160.20.57.30/edge.bin
内置规则 > 智能防御 > 自动拦截攻击事件 > 银狐木马
恶意威胁
2
2026-09-01 10:06:10
动态代码下载
C:\ProgramData\edge\Mw.exe
http://laiji.org/edge.bin
内置规则 > 智能防御 > 自动拦截攻击事件 > 银狐木马
恶意威胁

本报告基于冰盾主动防御的检测事件，由 AI 辅助分析生成。内容仅供决策参考，请结合实际情况审慎采纳。

驭龙

安天智甲双击样本，威胁行为检测规则，阻止样本释放的病毒文件运行，一切正常
======================
威胁等级：威胁
检测引擎：威胁行为检测规则
操作类型：启动进程
行为描述：发现恶意应用行为
规则ID：wbp0020128
---------------------------------------------
进程ID：6592
进程路径：C:\ProgramData\edge\Mw.exe
文件MD5：52086B801555EF17E4B51E0ACFFC70B3
运行参数："C:\ProgramData\edge\Mw.exe" "C:\ProgramData\edge\~jiami_3162062_8480_109928.ahk"
处置方式：阻止启动

父进程信息：
进程ID：8480
操作进程：C:\ProgramData\edge\Mw.exe
文件MD5：52086B801555EF17E4B51E0ACFFC70B3
处置方式：未处置

wowocock

中毒后，用火绒恶性木马专杀查杀即可，专门处理了autohotkey的利用问题

c199529

腾讯电脑管家18