ZONE.CI 全球网

ThreatLocker团队发现一个伪装成快连VPN(LetsVPN)的MSI安装包，释放远控木马。木马通过加载器解密并反射式加载载荷，实现完全远程控制、键盘记录、浏览器操控和持久化。C2通信使用持久TCP会话，支持文件传输、命令执行、代理映射和屏幕控制。木马会扫描杀毒软件并禁用MicrosoftDefender的部分功能。建议用户警惕非官方VPN安装包，并检查系统异常。

奇安信威胁情报中心披露UTG-Q-1000黑产团伙自2026年6月起投递仿冒Zinst等软件的银狐木马新变种。样本分MSI和EXE两类，MSI为4字节占位文件，EXE通过修改ZwTraceEvent函数禁用ETW。最终载荷采用白加黑方式，创建TCLService服务、注册表自启动和计划任务实现持久化，并篡改hosts文件。建议加强安全意识培训，使用云沙箱检测可疑文件。

该文档分析了一起针对西班牙和葡萄牙用户的Ousaban银行木马攻击活动。攻击者利用服务器端地理围栏技术过滤非目标用户，通过伪装成损坏PDF的钓鱼文件诱导受害者下载VBS脚本。脚本使用隐写术从图像中提取ZIP文件以释放恶意载荷。木马采用自定义XOR算法加密银行列表，监控浏览器活动并解析动态DDNS域名进行C2通信。建议安全团队过滤PDF钓鱼邮件并监控持久性痕迹与DDNS解析行为。

本文分析EtherHiding后门样本，通过MSI安装包释放PowerShell脚本，下载便携Python并安装恶意依赖，利用以太坊Sepolia测试网合约存储C2地址，最终加载自定义ChaCha20加密轮询后门。链上回溯发现攻击者先验证链路再切换真实基础设施。建议加强MSI文件检测与链上合约监控。

新型ROMULUS恶意软件平台利用六台服务器分发多种恶意载荷，包括木马化的Stardock软件包和LegionLoader。攻击者通过ClickFix技术诱骗用户执行恶意PowerShell命令，使用十进制IP下载、隐藏执行标志和加密载荷等技术规避检测。防御者应优先监控%TEMP%目录下的PowerShell脚本执行、十进制IP下载等行为指标，并将这些行为与进程起源关联以增强覆盖。

本文介绍利用Windows注册表实现权限维持与提权的方法。提权方面重点讲解AlwaysInstallElevated配置检测与利用，通过构造恶意MSI以SYSTEM权限执行；权限维持方面涵盖自启动项、IFEO劫持及COM劫持技术，并给出具体注册表命令与WIX制作MSI示例。文章实操性强，对红队与渗透测试人员具有较高参考价值。

ThreatLocker团队发现一个伪装成快连VPN(LetsVPN)的MSI安装包，释放远控木马。木马通过加载器解密并反射式加载载荷，实现完全远程控制、键盘记录、浏览器操控和持久化。C2通信使用持久TCP会话，支持文件传输、命令执行、代理映射和屏幕控制。木马会扫描杀毒软件并禁用MicrosoftDefender的部分功能。建议用户警惕非官方VPN安装包，并检查系统异常。

该文档分析了一起针对西班牙和葡萄牙用户的Ousaban银行木马攻击活动。攻击者利用服务器端地理围栏技术过滤非目标用户，通过伪装成损坏PDF的钓鱼文件诱导受害者下载VBS脚本。脚本使用隐写术从图像中提取ZIP文件以释放恶意载荷。木马采用自定义XOR算法加密银行列表，监控浏览器活动并解析动态DDNS域名进行C2通信。建议安全团队过滤PDF钓鱼邮件并监控持久性痕迹与DDNS解析行为。

该情报速览指出单日监测到19个高危攻击IP和8类漏洞，SQL注入占比63.2%为主要攻击方式，银狐组织新增15条IOC针对金融教育能源行业。建议立即封禁金和C6、孚盟云、FortiWeb三款产品的公网入口并修补漏洞，同时将恶意样本和IOC加入黑名单。

msaRAT是Chaos勒索软件团伙使用的Rust远控木马，其核心创新在于通过ChromeDevToolsProtocol与本地浏览器通信，利用CloudflareWorkers进行信令交换，并通过TwilioTURN中继WebRTCDataChannel构建隐蔽C2通道。攻击链包括通过HTTP下载伪装MSI、内存加载DLL、启动无头浏览器并注入JavaScript。检测应关注跨层行为组合，如非浏览器进程连接CDP端口、浏览器访问workers.dev及异常Origin/Referer。

ThreatLocker团队发现一个伪装成快连VPN(LetsVPN)的MSI安装包，释放远控木马。木马通过加载器解密并反射式加载载荷，实现完全远程控制、键盘记录、浏览器操控和持久化。C2通信使用持久TCP会话，支持文件传输、命令执行、代理映射和屏幕控制。木马会扫描杀毒软件并禁用MicrosoftDefender的部分功能。建议用户警惕非官方VPN安装包，并检查系统异常。

奇安信威胁情报中心披露UTG-Q-1000黑产团伙自2026年6月起投递仿冒Zinst等软件的银狐木马新变种。样本分MSI和EXE两类，MSI为4字节占位文件，EXE通过修改ZwTraceEvent函数禁用ETW。最终载荷采用白加黑方式，创建TCLService服务、注册表自启动和计划任务实现持久化，并篡改hosts文件。建议加强安全意识培训，使用云沙箱检测可疑文件。

该文档分析了一起针对西班牙和葡萄牙用户的Ousaban银行木马攻击活动。攻击者利用服务器端地理围栏技术过滤非目标用户，通过伪装成损坏PDF的钓鱼文件诱导受害者下载VBS脚本。脚本使用隐写术从图像中提取ZIP文件以释放恶意载荷。木马采用自定义XOR算法加密银行列表，监控浏览器活动并解析动态DDNS域名进行C2通信。建议安全团队过滤PDF钓鱼邮件并监控持久性痕迹与DDNS解析行为。

该情报速览指出单日监测到19个高危攻击IP和8类漏洞，SQL注入占比63.2%为主要攻击方式，银狐组织新增15条IOC针对金融教育能源行业。建议立即封禁金和C6、孚盟云、FortiWeb三款产品的公网入口并修补漏洞，同时将恶意样本和IOC加入黑名单。

msaRAT是Chaos勒索软件团伙使用的Rust远控木马，其核心创新在于通过ChromeDevToolsProtocol与本地浏览器通信，利用CloudflareWorkers进行信令交换，并通过TwilioTURN中继WebRTCDataChannel构建隐蔽C2通道。攻击链包括通过HTTP下载伪装MSI、内存加载DLL、启动无头浏览器并注入JavaScript。检测应关注跨层行为组合，如非浏览器进程连接CDP端口、浏览器访问workers.dev及异常Origin/Referer。

ThreatLocker团队发现一个伪装成快连VPN(LetsVPN)的MSI安装包，释放远控木马。木马通过加载器解密并反射式加载载荷，实现完全远程控制、键盘记录、浏览器操控和持久化。C2通信使用持久TCP会话，支持文件传输、命令执行、代理映射和屏幕控制。木马会扫描杀毒软件并禁用MicrosoftDefender的部分功能。建议用户警惕非官方VPN安装包，并检查系统异常。

奇安信威胁情报中心披露UTG-Q-1000黑产团伙自2026年6月起投递仿冒Zinst等软件的银狐木马新变种。样本分MSI和EXE两类，MSI为4字节占位文件，EXE通过修改ZwTraceEvent函数禁用ETW。最终载荷采用白加黑方式，创建TCLService服务、注册表自启动和计划任务实现持久化，并篡改hosts文件。建议加强安全意识培训，使用云沙箱检测可疑文件。

该文档分析了一起针对西班牙和葡萄牙用户的Ousaban银行木马攻击活动。攻击者利用服务器端地理围栏技术过滤非目标用户，通过伪装成损坏PDF的钓鱼文件诱导受害者下载VBS脚本。脚本使用隐写术从图像中提取ZIP文件以释放恶意载荷。木马采用自定义XOR算法加密银行列表，监控浏览器活动并解析动态DDNS域名进行C2通信。建议安全团队过滤PDF钓鱼邮件并监控持久性痕迹与DDNS解析行为。

该情报速览指出单日监测到19个高危攻击IP和8类漏洞，SQL注入占比63.2%为主要攻击方式，银狐组织新增15条IOC针对金融教育能源行业。建议立即封禁金和C6、孚盟云、FortiWeb三款产品的公网入口并修补漏洞，同时将恶意样本和IOC加入黑名单。

msaRAT是Chaos勒索软件团伙使用的Rust远控木马，其核心创新在于通过ChromeDevToolsProtocol与本地浏览器通信，利用CloudflareWorkers进行信令交换，并通过TwilioTURN中继WebRTCDataChannel构建隐蔽C2通道。攻击链包括通过HTTP下载伪装MSI、内存加载DLL、启动无头浏览器并注入JavaScript。检测应关注跨层行为组合，如非浏览器进程连接CDP端口、浏览器访问workers.dev及异常Origin/Referer。

ThreatLocker团队发现一个伪装成快连VPN(LetsVPN)的MSI安装包，释放远控木马。木马通过加载器解密并反射式加载载荷，实现完全远程控制、键盘记录、浏览器操控和持久化。C2通信使用持久TCP会话，支持文件传输、命令执行、代理映射和屏幕控制。木马会扫描杀毒软件并禁用MicrosoftDefender的部分功能。建议用户警惕非官方VPN安装包，并检查系统异常。

奇安信威胁情报中心披露UTG-Q-1000黑产团伙自2026年6月起投递仿冒Zinst等软件的银狐木马新变种。样本分MSI和EXE两类，MSI为4字节占位文件，EXE通过修改ZwTraceEvent函数禁用ETW。最终载荷采用白加黑方式，创建TCLService服务、注册表自启动和计划任务实现持久化，并篡改hosts文件。建议加强安全意识培训，使用云沙箱检测可疑文件。

该文档分析了一起针对西班牙和葡萄牙用户的Ousaban银行木马攻击活动。攻击者利用服务器端地理围栏技术过滤非目标用户，通过伪装成损坏PDF的钓鱼文件诱导受害者下载VBS脚本。脚本使用隐写术从图像中提取ZIP文件以释放恶意载荷。木马采用自定义XOR算法加密银行列表，监控浏览器活动并解析动态DDNS域名进行C2通信。建议安全团队过滤PDF钓鱼邮件并监控持久性痕迹与DDNS解析行为。

该情报速览指出单日监测到19个高危攻击IP和8类漏洞，SQL注入占比63.2%为主要攻击方式，银狐组织新增15条IOC针对金融教育能源行业。建议立即封禁金和C6、孚盟云、FortiWeb三款产品的公网入口并修补漏洞，同时将恶意样本和IOC加入黑名单。

msaRAT是Chaos勒索软件团伙使用的Rust远控木马，其核心创新在于通过ChromeDevToolsProtocol与本地浏览器通信，利用CloudflareWorkers进行信令交换，并通过TwilioTURN中继WebRTCDataChannel构建隐蔽C2通道。攻击链包括通过HTTP下载伪装MSI、内存加载DLL、启动无头浏览器并注入JavaScript。检测应关注跨层行为组合，如非浏览器进程连接CDP端口、浏览器访问workers.dev及异常Origin/Referer。