关于“银狐”木马“甲蚁（G01）”团伙攻击态势深入剖析报告

CNCERT团结4118云顶集团股份有限公司配合监测发明，“甲蚁（G01）”团伙近期通过搜索引擎SEO投毒与要害词竞价引流，使用AI批量复刻高仿真软件下载站撒播银狐木马。

新闻中心

关于“银狐”木马“甲蚁（G01）”团伙攻击态势深入剖析报告

宣布时间：2026-09-29

浏览次数：975

本报告由CNCERT与4118云顶集团股份有限公司配合宣布。

一、概述

在“银狐”木马专项事情中，CNCERT团结4118云顶集团股份有限公司配合监测发明，“甲蚁（G01）”团伙近期通过搜索引擎SEO投毒与要害词竞价引流，使用AI批量复刻高仿真软件下载站撒播银狐木马。经专项事情组对该团伙攻击资源与撒播控制方法开展关联剖析发明：其争先实名注册“.com.cn\.cn”后缀域名并按统一模板批量命名，仿冒“SafeW”“FinalShell”“NexusDesk”等常用工具软件的官方下载入口，恶意载荷统一托管于云工具存储服务；用户被诱导下载并运行恶意MSI装置包与多阶段下载加载器后，样本在显示正常软件装置界面的同时，于后台以“白加黑”侧加载方法分阶段加载后续程序，写入Windows Defender扫除项、实验历程注入、注册妄想使命，并改动hosts阻断清静软件站点会见，随后毗连境外C2服务器，建设远程控制通道。

专项事情组已核验仿冒域名1060个，单日注册峰值110个，活跃C2地址2个。2026年9月15日至22日，CNCERT监测发明该团伙共控制境内肉鸡达8708个。其中，单日上线数目峰值2361个。此次攻击运动威胁使用开发运维类工具的小我私家及企业用户，此类用户因事情需要，普遍持有高价值主机权限，其终端一旦被控，攻击者可使用这些权限进一步横向移动，扩大影响规模。

图 1 “甲蚁（G01）”团伙攻击运动总体链路

二、恶意样天职析

该团伙使用简单控制邮箱批量注册数百个域名，借用他人实名信息完成“.com.cn”域名注册，再使用AI批量复刻多个品牌官网。各仿冒站点通过统一后台提供恶意载荷，同名压缩包按次打包，哈希值各不相同。站群托管于价钱低廉、溯源难题的境外服务，第三方流量统计平台（51.LA）则用于核算投入产出比、调解仿冒主题。其仿冒工具已从公共软件转向开发运维类工具，此类目的用户持有的主机权限具有更高价值。

（一）团伙概况

表 1 “甲蚁（G01）”团伙概况

（二）撒播资源与基础设施特征

表 2 撒播资源与基础设施特征

域名注册信息显示，注册人姓名和身份证号对应真实公民，控制邮箱则为境外免费邮箱。反查发明，统一控制邮箱关联多个注册人姓名，并轮换使用。这批注攻击者批量借用他人身份注册域名，注册信息中袒露的是无关公民的身份。

图 2 域名whois身份信息与控制邮箱错位

图 3 单邮箱多姓名轮换

图 4 多个仿冒域名剖析至香港Cogent

三、典范攻击运动剖析

（一）撒播入口

用户在搜索引擎检索“FinalShell下载”等要害词后，会被指导至“ssh-finalshell.com[.]cn”等仿冒站点。该站点冒充FinalShell官朴直版下载入口，提供携带银狐木马的恶意压缩包。该团伙还批量注册并运营“apps-finalshell.com[.]cn”“www.ch-finalshell.com[.]cn”“web-finalshell.com[.]cn”等域名，均沿用“前缀-finalshell.com.cn”的命名模板。

图 5 由AI批量复刻天生的高仿真FinalShell仿冒下载页面

本次运动主要仿冒开发运维类工具，早期运动则集中仿冒Chrome、WPS、Telegram等公共软件。FinalShell是常用的远程毗连（SSH/SFTP）客户端，用户中有大宗持有高价值主机权限的运维与开发职员。此类用户的主机一旦被控，攻击者可使用其权限进一步横向移动。

仿冒页面接纳高度标准化的前端结构、规整的HTML注释和通用前端手艺栈，与官方网站的文字并非逐句对应。统一仿冒主题下，差别时间注册站点的页面结构和内容也趋于一致。综合这些特征，研判以为，此类页面由AI爬取原官网后批量复刻天生，可同时用于仿冒多个品牌。

该团伙还大宗选用需强实名的“.com.cn”后缀，通过前期泄露数据中的“姓名、身份证号”组合完成注册，借用他人身份规避溯源。

（二）跳转与下载链

撒播链路为“搜索效果->仿冒域名入口->云工具存储->恶意样本”。恶意资源多托管于阿里云OSS等云工具存储服务，下载历程中设置多层跳转，以疑惑用户并降低早期被检测阻挡的概率。

图 6 “FinalShell”撒播链完整跳转及下载链

表 3 撒播链各环节

对统一入口多次下载的样本举行校验发明，文件名相同，哈希值却差别，批注服务端按次打包并一连更新恶意程序，以规避哈希特征检测。FinalShell撒播链中的instell_s2.0.0x.zip保存这一征象，例如，FinalShell与NexusDesk仿冒站点提供的压缩包名称也完全一致。

表 4 统一下载入口多次下载所得样本的哈希

（三）样本落地与执行

垂纶站点提供的压缩包仅包括一个伪装成装置程序的Windows 64位可执行文件，巨细为35,473,200字节。差别入口提供的同名文件哈希值差别，批注服务端按次打包并一连更新载荷，以规避哈希特征检测。样本携带的第三方署名与文件现实摘要不符，属于伪造署名。入口程序在公共用户目录释放组件、注册妄想使命退却出，后续组件由妄想使命逐级启动。各阶段的存放位置、命名方法和触发机制相互自力，部分组件使用带有用署名的第三要领式侧加载恶意�？�，形成“白加黑”结构，并通过随机命名和伪装扩展名规避文件名与类型检测。

图 7 受害者与样本关系

（四）远程控制与恶意功效

样本本体认真从远端下载载荷，自身不直接实验窃密，而是通过释放中心态EXE文件，再由中心态EXE释放最终载荷的分阶段投放方法实验攻击。

各阶段组件的存放位置、命名方法和触发机制相互自力，扫除单个环节后，其余载荷仍可运行。执行链共设置6个妄想使命，接纳登录触发和周期触发，部分使命冒用系统更新名称并设为隐藏，使原始样本退出后仍可准时启动后续载荷。样本还以较高系统权限改写清静组件扫除设置，将清静厂商域名指向回环地址。远控组件与境外C2地址坚持TCP双向通讯；设置和资源托管于云工具存储，可随检测情形替换，控制通道则通过非标端口直连并恒久坚持稳固。这种脱离安排方法便于批量运营，也增添了封堵和溯源难度。

四、典范恶意样天职析

表 5 样本基本信息

（一）初始载荷与解密加载

样本伪装成装置程序，现实为Windows 64位多阶段下载加载器。加载历程分为两层，依次获取设置、解码资源并加载后续程序。设置地址为“https://02bbe6.oss-cn-beijing.aliyuncs[.]com/tad”，程序还内置同站点下的 /s.dat 与 /s.jpg 资源地址。

原始程序首先在“C:\Users\Public\SXRh6d”目录释放bcCfOw.exe、UxEnhance64.dll及配套数据文件，并注册妄想使命“fX8Ia”。原始历程退出后，使命妄想服务启动bcCfOw.exe，由其加载同目录的UxEnhance64.dll，继续释放并启动VBV4HZ.exe。随后，VBV4HZ.exe加载同目录的XPSPLOG.dll毗连远端服务器，同时释放XsOewfN.exe、Pl6VgrWG.exe与O02PwqGh.exe；O02PwqGh.exe再释放DnsrvKyi.exe。部分程序和目录接纳随机命名：aLpkwp.exe与bcCfOw.exe内容完全相同，baKv9z.exe、PnA1azgv.exe划分与VBV4HZ.exe、XsOewfN.exe内容一致。

图 8 样本多阶段执行关系图

表 6 样本释放文件及位置

（二）长期化与规避检测

样本共注册六个妄想使命，划分通过用户登录和周期执行启动载荷。其中两个使命冒用MicrosoftEdgeUpdateTaskUA名称，伪装成浏览器更新使命并设为隐藏，每隔1分钟执行一次，且无限期重复。原始样本退出后，这些使命仍会准时启动各阶段载荷。

表 7 样本注册的妄想使命

样本通过PowerShell批量添加Windows Defender扫除路径，将系统目录、用户目录和程序目录等位置扫除在检测规模之外。运行时代，后续程序又以SYSTEM权限修改注册表键“HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths”，写入C:\Users\Public\SXRh6d、C:\ProgramData、C:\Users、C:\Program Files (x86)及用户文档目录等路径。

VBV4HZ.exe还会修改系统hosts文件，将weishi.360[.]cn、www.360[.]cn、sd.360[.]cn三个域名指向回环地址127.0.0.1，阻断用户会见相关清静软件站点。

图 9 注册表中被写入的Windows Defender扫除路径

图 10 hosts文件中清静软件网站域名被指向回环地址

（三）窃密与远控功效

样本自身认真多阶段下载加载和长期化，不直接实验窃密，远程控制由后续载荷完成。VBV4HZ.exe侧加载XPSPLOG.dll后，与远端服务器建设毗连并双向交流数据，具备接受远程指令的条件。各阶段功效相互自力，扫除单个环节后，其余载荷仍可运行。

（四）通讯协议与设置特征

样天职别会见OSS资源和远端服务器。bcCfOw.exe、VBV4HZ.exe与O02PwqGh.exe剖析相关域名后毗连对应地址，其中VBV4HZ.exe与47.243.152[.]51:18300双向交流数据。设置和资源统一托管于阿里云OSS，专用C2通过自界说大端口直连，二者自力安排，设置与资源可单独替换。

表 8 样本程序内置地址与现实通讯目的

图 11 后续程序与47.243.152[.]51:18300的毗连及双向通讯

五、团伙关联与同源性剖析

此次攻击行动在仿冒品牌、注册人身份和控制邮箱上保存差别，但域名命名、建站方法、引流分发和托管选择具有一致性。

专项事情组综合“垂纶模板与下载链”和“注册要素”两类自力强证据，以及上述特征在两个时间上不相邻的批次中稳固复现等特点，研判确认属于统一团伙的攻击行为。对本次团伙使用的域名举行统计，其中83.5%以字母a开头，并大宗接纳an-、app-、ah-等前缀与仿冒品牌要害词组合，形成较为稳固的域名命名特征，专项事情组将该团伙命名为“甲蚁（G01）”。

表 9 团伙关联证据与专属性评估

图 12 垂纶页面比对（左：历史危害提醒所述页面；右：本次捕获页面）

六、运动与控制规模

2026年9月15日至22日，CNCERT监测发明该团伙共控制境内肉鸡达8708个。其中，单日上线数目峰值2361个。相关转变情形如下图所示。

图 14 逐日上线肉鸡数

七、提防建议

针对“甲蚁（G01）”团伙的撒播方法和样本行为，建议小我私家用户及有关单位接纳以下提防步伐：

（1）通过软件官方渠道或可信应用市肆下载软件。该团伙使用SEO投毒与要害词竞价，使仿冒站点泛起在搜索效果前线。使用搜索引擎时，应核实下载泉源，尤其注重标注“广告”“推广”的效果。

（2）不要将“.com.cn\.cn”后缀等同于官方站点。该团伙大宗抢注强实名“.com.cn\.cn”域名以制造可信假象，并伴有字母重复、缺字、错拼等特征，下载前应逐字核对域名。

（3）重点�；ぴ宋肟⒅霸敝斩�。该团伙已转向仿冒FinalShell、Xshell、SecureCRT、NexusDesk等远程毗连和运维工具。此类终端普遍持有高价值主机凭证，被控后极易成为横向移动的跳板。建议企业统一分发此类软件，并榨取员工自行下载。

（4）对Windows Defender扫除项变换建设告警。监测注册表键“HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths”的修改，以及PowerShell挪用Add-MpPreference的行为，重点检查将C:\Users、C:\ProgramData、C:\Windows\System32等大规模目录加入扫除项的操作。

（5）排查冒用系统更新名称的隐藏妄想使命。重点检查名称包括“MicrosoftEdgeUpdateTaskUA”、执行目的却位于C:\Users\Public、C:\ProgramData等非通例目录的使命，以及每隔1至30分钟重复执行、设为隐藏且无限期运行的使命。

（6）检查hosts文件与清静软件可达性。若发明清静厂商域名被剖析至127.0.0.1，应团结修改泉源、关联历程和其他恶意行为开展排查；确认熏染后连忙隔离处置惩罚。

（7）启用终端行为检测，并对报告所列IOC中的域名与C2地址实验网络层阻断。该团伙在服务端按次打包载荷，同名文件的哈希值差别，基于文件哈希的黑名单阻挡基本失效，下载时应小心此类文件。

八、相关IOC

受篇幅所限，垂纶及撒播域名表仅抽样列出50条代表性条目，全量IOC清单见附件《“银狐”木马“甲蚁（G01）”团伙全量仿冒网站清单》。

（一）垂纶域名