归档

银狐 10月

银狐 10 月多组件套餐的完整逆向：从 Inno Setup 投放、UACME 提权与计划任务持久化，到 BYOVD 关杀软、BlindEdr 致盲 EDR 与内核 rootkit 的 SSDT HOOK 隐藏保护。

Winos 4.0

分析 Winos 4.0（Gh0st 系变种）木马的加载与执行链：IAT HOOK、反射式 DLL 加载、hash API 解析、Vigenère 变种解密与 TLS 回调下的多阶段 shellcode 执行。

ValleyRAT

分析 ValleyRAT 木马的完整投放与执行链：PowerShell LNK 钓鱼、白加黑 DLL 加载、RC4 解密 shellcode 与天堂之门跨位数切换，以及反沙箱与 UAC 提权手法。

Storm

分析疑似 Storm-0249 通过伪装安全软件的 MSI 安装包投放的多阶段载荷链：DLL 劫持、SIMD 混淆的反射式 DLL 加载与 shellcode 注入，直至解密 C2 回连。

SIMD混淆

针对恶意样本利用 SIMD/AVX 向量指令做的代码混淆，分析其不影响通用寄存器的特性，给出一份批量 NOP patch 的 IDA Python 自动去混淆脚本。

PowerShell Exploits

系统梳理 PowerShell 内存加载与 AMSI 原理，汇总多种 AMSI 绕过与免杀手法，以及 PowerLoad3r 加载器的实现与对抗思路。

MostereRAT

深度分析 MostereRAT 多阶段攻击框架：UAC 弹窗提权、直接 RPC 持久化、易语言 EPK 载荷执行，以及 TrustedInstaller 提权、WFP 流量阻断 AV/EDR 与 mTLS 远控部署。

LAMEHUG

LAMEHUG——滥用大模型生成攻击指令的 Python 恶意软件：伪装 PDF 的 PyInstaller 程序内置数百条 Hugging Face 泄露 token，以提示词驱动 Qwen2.5-Coder 实时生成信息收集与文档窃取命令并执行回传。

Bypassing UAC with SSPI Datagram Contexts

分析基于 SSPI/NTLM 伪造网络身份验证造成的 token confusion 实现 UAC 绕过（UACME method 78）的原理与 demo 实现流程。

360WFP_Exploit

利用 360 官方网络监控驱动 360netmon_x64_wfp.sys，逆向 IOCTL 下发网络限速与拦截规则实现目标程序断网，并实测在多款 EDR 下的可用性。

2025_3_28 银狐

逆向 2025 年 3 月银狐木马投放样本：借腾讯游戏管家白文件侧加载伪造签名的 DLL，VMP 虚拟化与改后缀 PNG 分段解密隐藏 shellcode，并以 WDAC 策略与 Add-MpPreference 给主流杀软加白实现免杀。

银狐变种

记录伪装成夸克网盘安装包的银狐木马投放链：MSI 解包、ziplib.dll 白加黑加载与加密压缩包释放执行的逆向分析。

银狐(Go)

记录伪装成 WPS 安装包的银狐木马分析：MSI 解包、借助开源 zpaq 工具解密释放载荷与 DLL 侧加载的逆向过程。

Koi Loader

记录一个带数字签名的 Inno Setup 加载器样本：安装包解包、混淆 JS 加载脚本分析与 PowerShell 远程下载执行木马的行为追踪。

COM Hijack

COM劫持基础简介

APT-C-48（CNC）组织钓鱼攻击

APT-C-48 组织以伪装成 PDF 的钓鱼样本为例，记录 ChaCha20 加密识别、COM 组件创建计划任务与网络上线行为的分析过程。

SU_Lock

inno setup安装包分析 拿到的附件是一个inno setup安装包，可以通过安装然后寻找释放文件（但是正常运行安装了就会锁屏），但是inno setup是开源的，开源找到解包的项目，使用innounp可以查看安装包中包含的文件，但是尝试提取会显示需要密码 如何拿到这些文件，预期是运行之后使用取证工具进行提取（这里感谢一下Xherl...

Pikabot 样本分析

Pikabot Loader 与核心模块的动态 API 解析、反分析技术和关键行为记录。

Windows 模块加载方式与 PEB 模块遍历

梳理 Windows 静态与动态链接方式，以及通过 PEB 模块链表枚举已加载模块的实现思路。

CobaltStrike 动态调试

围绕 CobaltStrike 样本展开的动态调试过程、关键流程定位与行为分析笔记。

DLL 劫持原理与实践

DLL 搜索顺序、劫持条件与验证过程的学习记录。