文章总结： 银狐黑产组织最新攻击活动捆绑FinalShell软件传播AsyncRAT远控木马，使用NETReactor加壳处理，攻击手法隐蔽。该组织分工明确，有专业的恶意软件开发团队和诈骗运营团队，采用类似RAAS模式运营，更新速度快，技术实力强，样本对抗性强。作者已跟踪分析银狐相关攻击样本数百个，变种高达30个，基础设施数千个，建议安全团队加强对此类攻击的检测与防护。
综合评分： 84
文章分类： 恶意软件,威胁情报,漏洞分析,应急响应,安全建设
银狐黑产组织捆绑FinalShell安装AsyncRAT远控木马
原创
pandazhengzheng
安全分析与研究
2025年11月25日 22:00
广东
安全分析与研究
专注于全球恶意软件的分析与研究
前言概述
安全分析与研究，专注于全球恶意软件的分析与研究，深度追踪全球黑客组织攻击活动，欢迎大家关注，获取全球最新的黑客组织攻击事件威胁情报。
银狐组织是一个专业从事黑灰产的攻击组织，该攻击组织此前主要针对金融、证券、教育及设计行业，该组织不仅通过使用SEO网站优化使得相关钓鱼网站搜索排名领先，然后诱导用户下载安装木马文件，还通过把木马文件伪装成各种常见的应用工具、微信聊天记录或者是与金融相关的新闻热点事件和相关教学视频等，诱骗员工点击安装木马文件，从而为后续入侵企业办公网提供入口。
整个银狐黑色产业链，包含有专业的恶意软件开发人员，这些恶意软件开发人员主要负责银狐免杀样本的开发、更新和运营，他们每天的任务基本上就是研究各种免杀技术，通过各种混淆加密和免杀加载方式，以逃避安全厂商的检测，这有点类似红队开发人员的工作，然后他们将这些攻击样本上传到一个类似MAAS恶意软件分发平台，再由其他一些黑产组织进行分发传播，并维护银狐黑产组织相关的基础设施，同时他们应该还有专门的诈骗运营团队，银狐工具远程控制这些受害企业之后，诈骗运营团队的工作人员，就需要对这些受害企业进行诈骗攻击，这可能是一种新型的诈骗模式吧。
最后就是利益分配了，这些与银狐工具相关的黑产组织形成了一个庞大的运转机构，里面分工非常明确，每个团队既相互联系，又相互独立运营，环环相扣，这就是为啥银狐会更新如此频繁，更新速度如此之快的原因，有点类似RAAS模式的勒索病毒运营，不过它比勒索病毒RAAS运营更新要快的多的多，而且最重要的原因是银狐黑产组织非常赚钱。
最近几年银狐类黑产团伙非常活跃，今年这些黑产团伙会更加活跃，而且仍然会不断的更新自己的攻击样本，采用各种免杀方式，逃避安全厂商的检测，此前大部分银狐黑产团伙使用各种修改版的Gh0st远控作为其攻击武器，远程控制受害者主机之后，进行相关的网络犯罪活动。除了银狐黑产团伙以外，还有一些其他黑产团伙也非常活跃，例如黑猫、GanbRun、暗蚊、金相狐、FaCai、DragonRank、夜枭、金眼狗等黑产团伙，后面有空给大家一一分享这些黑产组织最新的攻击活动。
笔者从2023年3月份开始深入分析和研究与银狐相关的黑产组织，差不多一年的时间跟踪分析和研究的银狐黑产相关的攻击样本有几百个，其中银狐工具变种高达30个变种之多，银狐黑产组织相关的基础设施有几千个。
该黑产组织开发人员对各种终端安全攻击技术都非常了解，同时还在研究开发更多新型的免杀加载技术以及漏洞利用技术，技术实力非常强，还使用了很多高级威胁攻击技术在里面，样本对抗性非常强，变化非常快。
银狐黑产组织开发人员基本上每隔一段时间就会更新它的最新的攻击样本，笔者最近跟踪到一例银狐黑产组织最新攻击样本，该最新的攻击样本捆绑FinalShell软件伪装成FinalShell安装程序，然后从远程服务器上下载恶意加载器，最后在内存中通过ShellCode反射加载一个AsyncRAT远控木马，该攻击样本使用NET Reactor(6.X)[Control Flow + Anti-Tamper + Anti-ILDASM]加壳处理，攻击手法非常隐蔽，笔者针对该新型黑产最新攻击样本进行了相关分析，文未分享该攻击样本完整威胁情报。
【友情提示】
安全分析与研究公众号后续文章，主要分为六大专题类：
1.恶意软件分析相关课程
2.全球黑产组织攻击活动
3.全球高级威胁攻击活动
4.全球勒索病毒攻击活动
5.终端安全对抗技术研究
6.笔者安全从业经验、感悟、生活娱乐等
前面五大专题全部采用付费阅读模式，读者可以按需购买，这些主题包含最新的攻击活动、攻击技术、终端安全对抗、检测技术以及最新的威胁情报等，同时笔者还会深入研究一些APT高级威胁组织历史的以及最新的攻击事件等，公众号所有付费文章后面全部会同步在知识星球，已经加入知识星球的朋友无需再购买专题以及付费文章，如果有想加入知识星球的朋友，公众号菜单微信联系笔者。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安全分析与研究 pandazhengzheng《银狐黑产组织捆绑FinalShell安装AsyncRAT远控木马》