银狐借AI信任链钓鱼搜索结果暗藏下载陷阱

作者：火绒安全
发布时间：2026-09-01
阅读量：1111

近期，火绒安全工程师在网络安全监测中发现异常攻击活动，经溯源排查与技术分析，确认该攻击为银狐团伙伪造DeepSeek官方网站，面向广大用户实施的钓鱼活动。

分析发现银狐团伙持续批量投放高度仿真的钓鱼页面：这类页面伪装度极高，常被AI智能体识别为官方网站并纳入返回结果。结合多方信息反馈来看，部分用户出于对AI输出结果的过度信任，不对来源进行核验就直接下载运行，最终落入攻击陷阱。同时，该攻击程序在原有功能基础上，新增了针对企业微信环境的定向化攻击手段。

高风险易感人群：对DeepSeek及AI相关话题感兴趣，仅了解豆包、WorkBuddy、DeepSeek等一系列产品的网页端，有下载使用客户端的需求，但缺乏相关安全经验与常识的用户群体。

（补充说明：截至2026年8月31日，DeepSeek官方仅上线手机端APP，PC端并未发布任何可执行的exe客户端程序。）

目前，火绒安全产品已经实现对该系列的钓鱼网站与样本的拦截与查杀。

查杀图.png

查杀图

前言

在火绒安全往期的报告“从分析银狐病毒到思考银狐的趋势”:https://www.huorong.cn/document/tech/vir_report/2025中，曾详细讲述了AI投毒原理以及AI智能体存在重大安全隐患。

针对AI智能体的投毒原理.png

针对AI智能体的投毒原理

通过沟通，火绒安全工程师还原了用户中招流程：

通过沟通，火绒安全工程师还原了用户中招流程：.png

1. 流程图

2. 样本分析

由于该文章为https://www.huorong.cn/document/tech/vir_report/1846与https://www.huorong.cn/document/tech/vir_report/2021的迭代样本，其中部分技术细节与之前相同，本文中只讲述新的技术细节，其余参考往期文章。

2.1 启动载荷

启动载荷运行流程：

1. 母体样本释放shellcode1

2. Shellcode1自解密得到shellcode2

3. Shellcode2：反调试

4. 下载总计7个文件（5个落盘，2个内存中执行）

5. 执行最后一个下载并在内存中shellcode3

非常精简并有效的启动载荷，在通过一个基于计时的3000次差值轮询的反沙箱后，通过分配内存直接跳转至shellcode1.在shellcode1中经过反调试2之后解密得到shellcode2执行。密钥：4@e!c!bSL2AeimnwyD4x 算法：异或

反调试1：启动exe中.png

反调试1：启动exe中

跳转至shellcode1.png

跳转至shellcode1

反调试2：shellcode1中.png

反调试2：shellcode1中

解密并跳转至shellcode2.png

解密并跳转至shellcode2

Shellcode2设计对比shellcode1多了很多，包含8种反调试，检测是否为管理员权限。在这些都验证通过后才会执行下载功能。下载顺序为：先下载总览文件，根据总览文件下载后续文件。总览文件下载链接：

https://26usdm.oss-cn-beijing.aliyuncs.com/tad

https://2bbaz2.oss-cn-beijing.aliyuncs.com/tad

反调试3：shellcode2中.png

反调试3：shellcode2中

下载总览文件.png

下载总览文件

在获取到总览文件的配置信息之后，对应的4个下载链接分别下载之后，以隐藏的方式写入到隐藏文件夹中。隐藏文件夹名称与.exe的名称都是由6个随机字符数组成，写入到C\\Users\\Public\\路径下。

下载4个文件写入文件夹并设置为隐藏属性.png

下载4个文件写入文件夹并设置为隐藏属性

注册表写入加密C2信息，并且下载白驱动写入本地.png

注册表写入加密C2信息，并且下载白驱动写入本地

企业微信注册表写入变体.png

企业微信注册表写入变体

检测腾讯安全管家环境.png

检测腾讯安全管家环境

下载中间载荷s.jpg并内存执行.png

下载中间载荷s.jpg并内存执行

2.2 中间载荷

这里s.jpg实际上是一段PE反射加载的shellcode。经过自定义的LZ77算法解密（常用zip压缩算法），反射加载内嵌的dll的导出函数VirtuOne。该dll是一个持久化的dll，持久化路径：C:\Users\Public\<rand6>\<rand6>.exe

VirtuOne导出函数持久化.png

VirtuOne导出函数持久化

在解密s.jpg得到shellcode3，shellcode3的整体如下：

1. dll反射加载持久化dll

2. 计划任务启动<rand6>.exe启动

3. 反调试+360对抗

4. 注册表解密获取C2配置（对应启动载荷注册表写入加密C2信息）

5. HTTP下载后续载荷4个+XOR解密

6. 提权执行

解密的HTTP下载载荷为：https://mm2027.oss-cn-hangzhou.aliyuncs.com/f.dat

新增针对企业微信下独立的ip端口以及备用域名。这些由注册表HKEY_LOCAL_MACHINE\SOFTWARE\JDBCC解密得到：在解密之后会将ip与备用域名写入下载的4号载荷中（对应2.3最终载荷中的thumbs.db）

表1.png

下载的4个落盘文件路径：GetTempPath + 6个随机字符。

创建注册表自启动：

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Tencent SecurityHealth

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Alibaba SecurityHealtha

反调试4.png

反调试4:shellcode3中

HTTP下载后续载荷.png

HTTP下载后续载荷

下载的文件落盘如下.png

下载的文件落盘如下

以隐藏属性落盘，并管理员权限启动.png

以隐藏属性落盘，并管理员权限启动

2.3最终载荷

最终载荷的流程如下：

1. kWZH50.exe侧加载XPSPLOG.dll

2. XPSPLOG.dll解密image.png

3. Image.png解密Thumbs.db

4. Thumbs.db实际上为最终的功能载荷与回连。

Image.png与thumbs.db文件的加密结构如下：

银狐加密格式.png

银狐加密格式

白加黑中的恶意dll，其恶意逻辑存在于XPSPLOG_2中，通过白文件侧方位加载执行，其余几个导出函数基本一致，功能仅为创建互斥体之后退出。

侧加载dll导出函数.png

侧加载dll导出函数

XPSPLOG_2导出函数的功能，创建互斥体，名称为aefd_%ComputerName%，后续通过以及截取自身并解密得到shellcode4。

实际调用的导出函数.png

实际调用的导出函数

Shellcode4读取image.png文件，截取并解密，最后反射加载dll并调用其PhilipsCoInitialize导出函数。

读取image.png解密反射加载执行.png

读取image.png解密反射加载执行

经过PhilipsCoInitialize加密混淆入口之后，会通过注册表设置相关键值。ConsentPromptBehaviorAdmin关闭UAC管理员提权确认窗口，然后进入创建的多个线程的函数。

创建6个线程，基本功能都是实现反病毒引擎。通过关闭相关的进程软件或者通过添加排除路径等，并且如果针对360tray与360safe进行持续的监控，发现则断网（断网的范围只有整个进程）

发现则断网（断网的范围只有整个进程）.png

其首先通过初始化212个反病毒引擎相关进程名称，基本覆盖了所有知名厂商。包括但不限于火绒、360、卡巴斯基、腾讯、2345、联想、Avast、Avira、McAfee、百度、金山、瑞星、WindowsDefender。

212个杀软程序检测.png

212个杀软程序检测

在有相关匹配结果之后，如果本地C:\\Windows\\Temp\\ranchserv.jpg存在，则直接通过创建服务，通过驱动漏洞关闭相关进程。如果本地没有该文件解密字符串得到https://nm25.cn-hangzhou.aliyuncs.com/qd.dat下载替换ranchserv.jpg文件，该文件就是往期银狐利用的TrueSight驱动。

被恶意利用的TrueSight驱动文件.png