技术文章

近期，火绒安全实验室在日常监测中发现，有攻击者假借开源图像编辑项目 PhotoCraft 之名，分发携带恶意程序的Windows安装包。该程序通过多层代码保护隐藏真实功能，并能够进一步获取其他恶意组件。 经火绒安全工程师分析发现，相关组件具有数字钱包信息窃取、转账地址替换等功能，可能对用户的账号及数字资产安全造成威胁。目前，火绒安全产品已实现对该行为的拦截与查杀。

近期，火绒安全实验室在安全事件监测中发现，有恶意安装包仿冒该正规系统组件诱导用户安装。进一步分析发现，其后台捆绑多款恶意程序，可实现键盘记录、账号信息窃取、数字货币收款地址篡改、远程控机等恶意行为。整套恶意程序可静默驻留运行，用户难以感知异常。同时攻击者配备专属C2远程管理后台，能够批量管控受害设备、动态下发恶意指令，持续窃取用户隐私、操控终端。

近日，火绒安全实验室收到用户反馈，称其电脑浏览器主页被锁定为hao.360.com。经溯源与技术分析，确认该主页劫持行为源自一款壁纸软件（Wallpaper），而该壁纸软件由“荐片播放器”安装包通过捆绑方式在用户不知情的情况下静默安装。

近期，火绒安全实验室监测到一类规模化仿冒软件下载攻击活动，并发现此类活动已经形成标准化攻击流水线。 攻击者通过“三板斧”行为实施攻击：搭建与正规软件高度相似的网站，利用搜索排名、页面设计和下载流程降低用户辨别难度；与以往常见的仿冒知名热门软件不同，此次攻击活动更多选择用户关注度较低、官网辨识度较弱的软件作为目标；通过搜索优化技术快速提高仿冒网站曝光率。 这类攻击迷惑性极强：用户下载安装后，软件表面上通常能够正常运行，甚至会启动真实软件程序。但在后台，恶意程序会继续执行环境检测、组件释放、远程连接等操作，最终加载远控程序。火绒安全工程师通过分析多个案例发现，虽然攻击对象不同，但攻击流程高度相似，已经形成较为固定的投递模式。

近日，火绒安全实验室在安全事件监测中发现，一款会将受害文件修改为.ths后缀的勒索软件活动明显增多。根据近期火绒安全产品的检出数据，该勒索软件在短时间内出现集中传播迹象。

近日，火绒安全工程师在威胁狩猎过程中捕获一类具备多层对抗能力的模块化窃密木马。该样本采用干扰层+加密外壳层+数据收集执行层的三级分层架构，三层 组件相互独立投递、分别装载，通过反分析与反检测机制规避安全软件查杀及沙箱动态分析。该类窃密木马主要通过伪装欺骗的手进行投放，包括钓鱼邮件; QQ、微信等社交软件与网盘资源;仿冒软件官网、绿色软件站等虚假下载网站，用户下载工具时会一并捆绑恶意程序，这类恶意程序在解压后，第一层干扰组件 率先执行，后续分层依次落地加载，整套恶意代码不会一次性释放完整木马本体，以此对抗安全检测。用户一旦中毒，该木马会扫描本地文档、浏览器账号密码、 聊天记录、邮箱、密钥、各类业务凭证等，并将收集到的文件回传给攻击者，实现用户信息窃取，同时该木马还会在电脑中长期驻留，攻击者可后续下发更多恶意 模块，植入远控、勒索程序;同时前置干扰层还会破坏调试环境、阻碍各类安全产品采集日志，提升后续溯源处置的难度。 目前，火绒安全产品已具备对该恶意软件全攻击链的精准识别与拦截能力，可有效阻断其下载、加载及窃密行为。

近日，火绒安全实验室收到用户反馈，称其在日常网络交易中经常有人发送“来说采购，然后发个文件，说让你下载打开”的信息，经溯源与技术分析，火绒安全工程师发现这是一起针对性瞄准电商行业商家的恶意网络攻击活动，该攻击主要通过站外社交、私聊、邮件、陌生对接渠道传播，攻击者伪装成合作客户、采购方，将恶意hta脚本文件伪装成正规的采购资料文档，以发送采购清单、报价单据、样品核对资料等商务名义投递恶意压缩包文件，精准诱导电商运营商家、店铺工作人员解压打开文件，触发恶意程序运行。用户误打开该伪装文件后，程序会在后台静默运行，隐蔽释放并启动多层恶意加载器，全程无明显弹窗提示、无运行痕迹，最终在系统内存中落地运行PureRAT远程控制木马，实现对受害终端的长期控制、数据窃取等恶意操作。

近期，火绒安全工程师在网络安全监测中发现异常攻击活动。经溯源与技术分析确认，这是针对Ziperto平台发起的钓鱼攻击。Ziperto是专注提供掌上游戏机 ROM资源与模拟器的游戏社区网站，主要为用户提供各类掌机、家用主机的游戏 ROM文件。

近日，火绒安全工程师在网络安全监测过程中发现一组针对网吧终端环境的模块化恶意程序。该样本会主动识别多类网吧或终端管理环境，收集网吧编号、MAC地址及客户端版本等信息，并从远程服务器获取任务。 与常见的单一挖矿木马不同，该样本具有两条相对独立的获利路径：一条为下载公开发行的PeakMiner矿工程序并运行，在游戏启动时主动暂停挖矿；另一条会伪装成系统ntdll.dll，从WeGame/TGP进程内存中提取用户会话凭据。当样本无法读取目标进程时，窃密模块还会下载恶意无签名驱动，利用存在已知漏洞的驱动临时关闭驱动签名强制，加载恶意无签名驱动，从内核完成目标进程内存读取。 目前，火绒安全产品已实现对该行为的拦截与查杀。

近日，火绒安全实验室发现一个由 64 位 Go 语言编写的远程控制客户端。此类远程控制木马通常伪装成系统工具、游戏辅助、软件破解补丁等形式，通过非官方下载站点、钓鱼邮件附件、社群分享的恶意压缩包等渠道传播，普通用户在下载来路不明的程序、解压陌生资源并点击运行后，就可能被植入该远控程序。

近期，火绒安全工程师在网络安全监测中发现异常攻击活动，经溯源排查与技术分析，确认该攻击为银狐团伙伪造DeepSeek官方网站，面向广大用户实施的钓鱼活动。 分析发现银狐团伙持续批量投放高度仿真的钓鱼页面：这类页面伪装度极高，常被AI智能体识别为官方网站并纳入返回结果。结合多方信息反馈来看，部分用户出于对AI输出结果的过度信任，不对来源进行核验就直接下载运行，最终落入攻击陷阱。

近日，火绒安全实验室捕获一款窃密木马。该样本的攻击链可划分为五个阶段，即解包、门控、采集、外传与二级投放。内层程序在通过计分制环境检测与计时反调试机制的门控检查后，提取浏览器凭据、Cookie、历史记录、表单数据及即时通讯工具的会话密钥，并还原主密钥。外传阶段采用dead-drop中继结合base64表单上传的方式实现。在 Loader模式下，可下载并执行二级载荷，主机侧仅留存一处装机标记，未设置开机自启机制。凭据清理须在主机重置前优先完成，二级载荷的排查应与凭据处置同步进行。 第一阶段文件为木马外壳，以Go语言编译并经garble实施重度混淆。该外壳使用被盗用的代码签名进行签名，并嵌入大量混淆字符串，以规避杀毒软件检测。第一阶段文件执行完毕后，将第二阶段文件写入磁盘并执行。第二阶段文件内嵌加密字节，经自定义加密算法解密后，在内存中反射加载Payload。由于其配置指纹与公开已知的Vidar家族 v1.5版本特征高度相似，可研判为Vidar木马。该家族主要针对失陷主机的浏览器及即时通讯软件实施窃密行为，它们通常依托钓鱼邮件附件、破解软件安装包、非官方资源下载站、伪装成系统工具/游戏辅助的恶意链接等渠道扩散，普通用户在下载盗版程序、接收陌生邮件附件、浏览非正规资源站点时都可能意外接触。一旦感染主机，可造成账号凭据、浏览记录、通讯信息等核心隐私泄露，还可通过二级载荷植入更多恶意程序，对个人数据安全与系统稳定构成严重威胁。 目前，火绒安全产品已经实现对该木马的拦截与查杀。