ARTICLE · 990345
银狐盯上程序员:AI编程工具安装器成木马新马甲
银狐盯上程序员：AI编程工具安装器成木马新马甲
SILVER FOX THREAT INTELLIGENCE DAILY
一、今日概览
1.Derp 08-29 双档案同日观测 17 个新样本，3 个跨档案双命中——4ba01b04…、765d34b2…、86b34bd9… 三个哈希同时出现在 ValleyRAT 与 SilverFox 两个 tracker 档案（08-27 时分别仅见单档案），双档案样本池在底层加速融合，为「银狐 = Void Arachne = ValleyRAT 投递链」家族级归因提供样本级实证。
2.ValleyRAT 7d 窗口 64 唯一 C2（较昨日 75 回落 -11）：HK 44（69%）/ US 11 / CN 6 / SG 6 / AE 2 / CH 1；SilverFox 档案 12 唯一 C2（+2）：HK 11 / US 1——两档案香港集中度均处高位，与 CNCERT 首批通报（TOP 10 中香港 7 席）相互印证。
3.微步 30 日批次（05:06）释放路径现 AI 品牌伪装：C:\Program Files (x86)\Codex Installer\Codex Installer\Goob.dll（AI 编程工具安装器外壳 + DLL 侧载）、Documents\!!!!WMsahLGRFv\AddressList.xlsm（四感叹号置顶目录 + 通讯录宏表窃取）、Telegram Desktop\Updcter.exe（更新器拼写误植伪装）等新信号入榜。
4.微步域名池 2 进 2 出，隔批回归节奏延续：gacyryw.com / qekykev.com（昨日退出）今日回归，wozjde.org / technet-edge.store（昨日新进，含"微软 Technet"仿冒语义词）单批即退出；lysynur.com / lyryvex.com 长期在榜，IP 185.62.56.182 跨十批长存。单日事件量 08-28 达 5,659 起（30 天峰值，CNCERT 通报驱动）后回落至 08-29 2,140 起。
5.旧闻甄别：微步事件层 08-28 收录的「2 月发现 BYOVD 变体驱动终止 EDR 投放 Gh0st RAT」为 Check Point 2025-02 报告二次入库；ThreatCluster 08-29 SparkRAT 柬埔寨分析为 08-27 披露的二次传播；TA4922 税务钓鱼投放 PackClient（08-29 入库）为 Proofpoint 08-27 披露的转载延续——均不计银狐本体增量，仅作生态背景。
二、重点事件
1.【监测增量 · 头号】Derp 08-29 观测：17 个新样本同日入库，3 个跨档案双命中强化家族归因
•时间：观测至 2026-08-29（页面更新）
•来源：Derp ValleyRAT 7d C2 Tracker / Derp SilverFox Tracker
•要点：
•ValleyRAT 档案：08-29 新增 10 个样本哈希（71a715ad…、99328f02…、0f78a658…、27215e26…、3755718d…、4e5cebe1…、738eacc1… + 3 个跨档案重合），7d 窗口唯一 C2 数 64（-11）；地理分布 HK 44（69%）、US 11、CN 6、SG 6、AE 2、CH 1——托管面继续向香港收缩。
•SilverFox 档案：08-29 观测 7 个哈希（7a5add41…、b8e6f4c1… 新增 + a2a4be3a…、facf78d4… 回归 + 3 个跨档案重合），另有 08-28 一个（0bab062a…）；7d 唯一 C2 12（+2），HK 11 / US 1。
•跨档案双命中（本日核心信号）：4ba01b04…（08-27 仅 ValleyRAT 档案）、765d34b2… / 86b34bd9…（08-27 仅 SilverFox 档案）——三个样本 08-29 同时命中两档案。昨日观察到的"双档案重合回落"信号已被逆转，重合率回升至 3/17（约 18%），说明两档案底层样本池同源，tracker 分档差异更多来自入库时间而非样本归属。
•跨源交叉：Derp 双档案 Aug 25~29 共 20 哈希 ∩ 微步今日 30 哈希 = 零重合，三平台捕获样本集群继续分化（各自独立信源价值维持）。
•影响面：C2 池总量回落但 SilverFox 池逆势 +2，投递面未见收缩；跨档案双命中样本应作为蓝队优先狩猎与沙箱复测对象。
2.【监测增量】微步 30 日批次：Codex Installer AI 品牌伪装 + 通讯录窃取载荷 + 纯数字 System32 落地
•时间：2026-08-30 05:06 批次
•来源：微步在线银狐情报共享站（s.threatbook.com/cybercrime/silverfox，API 拉取）
•要点：
•域名池 2 进 2 出：回归 gacyryw.com、qekykev.com（昨日退出、今日回归，隔批存活模式确认）；退出 wozjde.org、technet-edge.store（昨日新进即走，其中 technet-edge.store 为"微软 Technet"仿冒语义词 + .store TLD）。留存 13 域名中 lysynur.com / lyryvex.com / pujyjav.com 长期在榜。
•IP 池：185.62.56.182 跨十批长存（封禁优先级最高）；新面孔 137.220.156.221 / 137.220.153.172（同段双 IP）、38.91.115.138 / 38.91.115.139（同段双 IP）、134.122.154.118（与 CNCERT 通报的 134.122.164.65 同 /16 段）；昨日 161.248.14.x、38.46.14.x、18.166.115.224 全部退出。
•释放路径亮点（60 条中节选）：
C:\Program Files (x86)\Codex Installer\Codex Installer\Goob.dll——AI 编程工具品牌伪装（Codex 安装器外壳 + DLL 侧载），延续银狐"AI 工具仿冒"主线（DeepSeek/元宝之后新增 Codex 品牌）；•C:\Users\Administrator\Documents\!!!!WMsahLGRFv\AddressList.xlsm——四感叹号目录前缀（资源管理器置顶技巧）+ 通讯录宏表（.xlsm 宏载体，指向通讯录/花名册窃取场景）；
•C:\Users\Administrator\AppData\Roaming\Telegram Desktop\Updcter.exe——Telegram 更新器伪装（Updcter 缺字母 a，拼写误植规避肉眼核查）；
•C:\Windows\System32\246040562.txt / 262778421.txt——纯数字文件名落 System32；
•C:\Users\Administrator\AppData\Roaming\comain_ev2f79\ev2f79.exe——随机目录 + 同名字根双随机；
•C:\Program Files\RUXIM\HiddenLoaders.exe、C:\Program Files\Reference Assemblies\WindowsCamera.dll、C:\Program Files (x86)\Google\Chrome\win32-quickq.exe、C:\ProgramData\Molden\Svchost.dll——系统/浏览器目录伪装系列；
•C:\Windows\Installer\ea96591.msi / ea9a71e.msi——Windows Installer 目录 MSI 投递。
- 事件量趋势
：08-27 2,145 → 08-28 5,659（30 天峰值） → 08-29 2,140——峰值与 CNCERT 08-28 通报及其二次收录强相关，通报热度消退后回落。 - 影响面
：AI 品牌伪装从"钓鱼站仿冒"（安天周报：DeepSeek/搜狗/ToDesk）扩展到"安装器外壳"（Codex Installer），终端侧应将 AI 工具安装器目录纳入 DLL 侧载监控白名单外区域。
3.【检测参考】CNCERT 通报社区实测：通报 10 IP 全部漂移失效、36 域名 100% 存活——封禁应以域名为锚
•时间：2026-08-29 ~ 08-30 社区实测文章流传
•来源：基于 CNCERT「银狐」专项通报（一）（2026-08-28）的独立验证
•要点：
• 社区对 CNCERT 首批通报资产的实测显示：10 个 IP 复测 0% 命中（全部漂移或下线），36 个关联域名 100% 存活——印证银狐基础设施"IP 快轮换、域名慢轮换"的运营特征（与微步 IP 池每日大换血、域名池隔批回归的观测一致）。
• 存活域名解析集群：东京 AS152194 + 香港 AS140227 为主；通报中原标注美国加州的节点（206.119.191.105）解析已迁回香港——托管面进一步向香港收敛。
•影响面与行动项：蓝队消费 CNCERT 通报时应以域名 + 域名模糊匹配规则为长期锚点（mlcrosoft/mlcro 编辑距离匹配），IP 仅作短期 NetFlow 回溯锚；同时按此规律可预判后续批次通报的处置优先级排序。
4.【生态外延】TA4922 税务钓鱼投放 PackClient RAT（Proofpoint 08-27 披露的转载延续）
•时间：2026-08-29 07:31 微步事件层收录（itsecuritynews 转载）
•来源：微步共享站事件层（get-humans 端点）
•要点：TA4922 借税务主题钓鱼向中国、印度目标投放 PackClient RAT——延续 Proofpoint 08-27 披露（PackClient 商业 RAT 的中国买家归因 TA4922，Telegram Bot C2）链路。微步近 3 天事件库 6 条中无银狐本体新增事件，SparkRAT 柬埔寨（08-27 披露、08-29 ThreatCluster 二次传播）维持背景噪音。
•影响面：PackClient/SparkRAT 均为银狐生态"工具超市"外延，非本体变种；蓝队邮件网关对"税务 + 退税/稽核"主题与中印双地理定向的组合可加分处置。
三、技术分析
1. 跨档案双命中样本的归因意义
08-29 Derp 双档案 17 个新样本中 3 个双命中（4ba01b04… / 765d34b2… / 86b34bd9…），且三者均呈现「08-27 单档案 → 08-29 双档案」的迁移轨迹：
这为「ValleyRAT 投递链与银狐（Void Arachne）运营主体同源」提供了样本级实证（此前归因依赖 TTP 相似性与 C2 托管重合）。蓝队处置上，双命中样本应优先入沙箱复测与 YARA 覆盖验证——它们同时命中两套检测命名的概率最高，是检验自有检测面盲区的天然标尺。
2. 本批释放路径的三条新信号
•AI 编程工具品牌伪装（Codex Installer + Goob.dll）：Program Files (x86) 双层同名目录 + 侧载 DLL，结构上复制银狐经典"白加黑"。与安天周报点名的仿冒 DeepSeek/搜狗输入法/ToDesk 钓鱼站共同构成 AI/国民工具双线仿冒面——开发与运维人员是 Codex 品牌的直接受众，意味着银狐投递开始定向覆盖技术岗员工（潜在横向渗透前置）。
•!!!!WMsahLGRFv\AddressList.xlsm 通讯录窃取：四感叹号目录实现资源管理器置顶（提高受害者点击率），.xlsm 宏表指向通讯录/花名册类数据回收——结合近期热点词（名单/裁员/补偿），银狐的社工剧本正围绕"人事数据"定向收割，通讯录失陷将直接支撑次轮鱼叉投放的精准化。
•System32\纯数字.txt + Windows\Installer\*.msi：以"数据文件"扩展名落地系统目录降低警觉，MSI 投递则绕过部分只监控 PE 落盘的 EDR 规则——检测规则需覆盖「系统目录非白名单扩展名写入」与「Installer 目录非标准命名 MSI」两类行为。
3. ATT&CK 映射表（本批增量相关）
!!!! | |||
四、IOC 清单
Derp 08-29 新样本（17 个 SHA-256）
| 双命中 | ||
| 双命中 | ||
| 双命中 | ||
微步 30 日批次 IP 池（15 个）
| 跨十批长存（>400h），封禁优先级最高 | ||
微步 30 日批次域名池变动
微步 30 日批次释放路径亮点（节选）
| AI 编程工具品牌伪装 + DLL 侧载 | |
五、检测与防护建议
企业终端： 1. 双命中样本优先复测：将 4ba01b04… / 765d34b2… / 86b34bd9… 三个跨档案哈希投入本地沙箱跑行为链，验证 EDR 对其侧载、持久化、C2 外联三段的全覆盖——双命名命中样本是检测盲区的天然试金石。 2. AI 工具安装器目录监控：对 Program Files (x86)\ 下新增 Installer 类目录（Codex Installer 及后续可能出现的 Cursor/VSCode/Claude Code 变体）的 DLL 写入与加载行为告警；研发/运维终端为重点覆盖对象。 3. 系统目录非常规写入规则：a) System32 下非 PE 扩展名（.txt 等）纯数字文件写入；b) Windows\Installer 目录非 {GUID} 标准命名 MSI（如 ea96591.msi）；c) Documents 下 !!!! 前缀目录 + .xlsm 组合直接高危处置（宏表启用前拦截）。 4. 拼写误植通用规则：在 DNS/代理层对 Updcter/updter、mlcrosoft、chrorme 类"知名进程名缺字母"模式做模糊匹配告警（编辑距离 1~2 的品牌词典比对）。 5. CNCERT 通报消费策略修正：基于 IP 0% 存活 / 域名 100% 存活实测，网关侧长期封禁以 36 域名 + mlcrosoft/mlcro 模糊规则为主；10 IP 仅用于过去 30 天 NetFlow 回溯。
邮件网关： 6. 人事主题 + 宏附件组合：热点词（名单/裁员/补偿/违纪/方案）+ .xlsm/.docm 附件直接隔离；AddressList.xlsm 类"通讯录/花名册"命名附件为重点模式。 7. TA4922 税务钓鱼加分项：税务/退税/稽核主题 + 中印双地理定向的组合参考处置（生态外延，Proofpoint 08-27 链路）。
情报协作： 8. 线索上报：双命中样本与 Codex Installer 伪装链可作为 CNCERT 专项（silverfox@cert.org.cn）高质量线索上报；微步共享站同步提交以补充其哈希池。
六、参考来源
附：历史背景（折叠说明）
•CCTGA 专项打击行动：CNCERT 08-28 启动并披露首批 TOP 10 资产（10 IP + 34 域名，日控 4,373~18,229 台/日），本日社区实测证实其 IP 已全漂移、域名全存活；后续批次通报可期。
•BYOVD 驱动史：银狐系已知 BYOVD 驱动库 6+ 种（wsftprm.sys / amsdk.sys / BootRepair.sys / EnPortv.sys / TrueSight.sys / ardrv.sys 等）；微步事件层 08-28 再度二次收录 Check Point 2025-02 TrueSight 报告（旧闻）。
•TA4922 / Void Arachne 归因链：Proofpoint 08-27 PackClient 披露 → 08-29 itsecuritynews 转载入库；本体 ValleyRAT/Winos 4.0 投递链维持活跃，本日双命中样本进一步加固家族级归因。
•安天 AVL SDK 周报（08-29）：SwimSnake（银狐）经仿冒 DeepSeek/搜狗输入法/ToDK 官网传播——本日新增 Codex Installer 安装器伪装，AI/国民工具仿冒面持续扩容。
本日报由自动化脚本生成 · 仅供企业蓝队参考