前言概述
近日有朋友通过微信发我一个样本，如下所示：
在VT上查了一下样本，发现竟然只有一个报毒的，如下所示：
样本第一次上传的日期是2024年7月12日，到现在为止也还只有一家报毒，笔者针对这个最新的免杀样本进行了详细分析，分享出来供大家参考学习。
详细分析
- 样本解压之后，如下所示：
- 采用白+黑的方式加载恶意DLL，如下所示：
- 恶意DLL在VT上的识别率非常低，通过分析它的导出函数，基本都使用MessageBoxA进行重构，如下所示：
- 然后发现有一个函数没有使用MessageBoxA，如下所示：
- 对比这个函数与原文件函数，如下所示：
- 进入这个函数，发现会读取内目录下的TXT加密数据，如下所示：
- 然后通过函数解密加密的数据，如下所示：
- 读取TXT文件加密数据到内存当中，如下所示：
- 解密加密的数据，解密之后，如下所示：
- 解压缩上面解密后的数据，如下所示：
- 解压缩之后，如下所示：
- 解压缩后的PayLoad使用UPX加壳，编译时间为2024年6月5日，如下所示：
- 使用upx解壳，如下所示：
- 将解密解压缩出来的PayLoad拷贝加载到分配的内存空间，如下所示：
- 抺掉PE文件标识，如下所示：
- 抺掉PayLoad的PE文件标识之后，如下所示：
- 跳转执行到PayLoad的入口代码处，如下所示：
- 执行解壳代码，最后跳转到脱壳后的代码入口点，如下所示：
- 创建互斥变量，使用IsDebuggerPresent反调试，如下所示：
- 获取系统信息和内存状态等信息反虚拟机，如下所示：
- 指定进程的优先级，如下所示：
- 解密远程服务器C2配置信息，如下所示：
- 解密函数，如下所示：
- 解密出来的远程服务器C2配置信息，如下所示：
- 判断是否为管理员权限，如果是管理员权限，则执行相关的操作等，如下所示：
- 查询相关的注册表键值，如下所示：
- 如果注册表键值存在，则启动相应的服务，服务名为Windows Eventn，如下所示：
- 创建指定的文件目录，如下所示：
- 将文件夹设置为隐藏属性，然后将文件拷贝到生成的文件目录下面，并创建相应的服务自启动项，如下所示：
- 拷贝完成之后，如下所示：
- 创建的服务自启动项，如下所示：
- 与远程服务器通信，通过不同的指令执行不同的操作，其中包含文件进程管理，上载下载等功能，还有一些扩展模块的功能，如下所示：
该部分功能代码与此前变种功能代码基本一致，就不一一列举了。
威胁情报
总结
去年使用“银狐”黑客工具的多个黑产团伙非常活跃，今年这些黑产团伙仍然非常活跃，而且仍然在不断的更新自己的攻击样本，采用各种免杀方式，逃避安全厂商的检测，免杀对抗手法一直在升级。
