ZONE.CI 全球网

SilverFox黑客组织部署新型ValleyRAT恶意软件，采用八阶段攻击链，通过DLL侧加载和隐写术隐藏载荷，最终部署内核级Rootkit。该RAT使用Go语言编写，通过WebSocket和QUIC协议通信，具备窃取加密货币和Telegram数据的功能。企业应监控异常命名管道活动、svchost.exe子进程及可疑安装程序，以防范此类复合型威胁。

SilverFoxAPT组织将ValleyRAT升级为八阶段恶意软件链，最终部署内核级rootkit。攻击使用DLL侧加载、ETW/AMSI绕过、PNG隐写术和Donutshellcode等技术。ValleyRAT通过WebSocket和QUIC协议通信，并检查虚拟化环境。rootkit包含65个IOCTL处理器，通过命名管道与RAT通信。防御者应监控MSI安装、可疑进程和内核驱动签名。

火绒安全实验室发现一款伪装为音乐播放器的银狐木马，利用合法签名的TrueSight驱动终止安全软件进程，通过注册表、计划任务和PowerShell脚本建立持久化，最终部署远控后门thumbs!Edge连接C2服务器8.218.106.149:7000，具备下载执行、键盘记录等56条指令。火绒产品已可拦截查杀。

银狐SilverFox升级ValleyRat远控木马，针对日本制造企业发起定向攻击。攻击链包括发票钓鱼邮件、白软件DLL劫持、三套内核驱动BYOVD提权、内存注入和双层自愈持久化架构。该攻击能绕过杀毒软件，手动删除后自动复活。建议企业建立行为告警规则、驱动准入管控、邮件防护和员工培训，并一次性清理进程、看门狗脚本、注册表和定时任务四层载体。

微软披露银狐组织仿冒知名软件下载站攻击Windows终端：诱饵ZIP每次下载哈希不同，滥用msiexec执行载荷，创建SYSTEM权限计划任务实现驻留，篡改Defender排除项、删卷影副本并外联C2及尝试SMB横向移动，波及国内医疗、制造、政企等多行业；建议管控下载来源、开启篡改保护，基于行为链检测并手动清理持久化项。

本文报道了开发团队将iOS16移植到红米Note124G等安卓手机的技术实验。项目基于苹果开源XNU内核与iPhoneX用户态，通过引导层适配解决了大小核架构与16K页等难题，实现了启动至锁屏、软件渲染界面等成果，但触控、Wi-Fi等驱动尚不完善。文章强调此为实验性项目，存在数据丢失风险，普通用户不宜尝试，并提及了HTCHD2运行iOS7的历史案例作为对比。

SilverFox黑客组织部署新型ValleyRAT恶意软件，采用八阶段攻击链，通过DLL侧加载和隐写术隐藏载荷，最终部署内核级Rootkit。该RAT使用Go语言编写，通过WebSocket和QUIC协议通信，具备窃取加密货币和Telegram数据的功能。企业应监控异常命名管道活动、svchost.exe子进程及可疑安装程序，以防范此类复合型威胁。

SilverFoxAPT组织将ValleyRAT升级为八阶段恶意软件链，最终部署内核级rootkit。攻击使用DLL侧加载、ETW/AMSI绕过、PNG隐写术和Donutshellcode等技术。ValleyRAT通过WebSocket和QUIC协议通信，并检查虚拟化环境。rootkit包含65个IOCTL处理器，通过命名管道与RAT通信。防御者应监控MSI安装、可疑进程和内核驱动签名。

火绒安全实验室发现一款伪装为音乐播放器的银狐木马，利用合法签名的TrueSight驱动终止安全软件进程，通过注册表、计划任务和PowerShell脚本建立持久化，最终部署远控后门thumbs!Edge连接C2服务器8.218.106.149:7000，具备下载执行、键盘记录等56条指令。火绒产品已可拦截查杀。

2026年HVV期间境外与境内攻击频发，SilverFox组织利用AI钓鱼、伪造发票及毒简历等方式窃取数据，多起案例显示内网渗透与数据泄露风险加剧。建议部署邮件安全网关、强化身份验证、实施零信任架构，并开展常态化钓鱼演练与应急响应演练以提升整体防御能力。

CERT/CC于2026年7月23日披露Logto身份认证平台存在六个漏洞，允许攻击者通过未验证邮箱劫持账户、绕过MFA及重放SAML断言。厂商SilverhandInc.未响应协调，目前无补丁。建议管理员避免本地账户与联合登录使用相同邮箱、停止使用socialSAML连接器、在上游IdP强制启用MFA并监控日志。

银狐SilverFox升级ValleyRat远控木马，针对日本制造企业发起定向攻击。攻击链包括发票钓鱼邮件、白软件DLL劫持、三套内核驱动BYOVD提权、内存注入和双层自愈持久化架构。该攻击能绕过杀毒软件，手动删除后自动复活。建议企业建立行为告警规则、驱动准入管控、邮件防护和员工培训，并一次性清理进程、看门狗脚本、注册表和定时任务四层载体。

ValleyRAT后门借签名广告软件QNWallpaper分发，利用DLL侧加载规避检测，关闭Defender并持久化。攻击利用用户对签名的信任，安全软件排除列表成关键环节。文章提供终端排查、排除列表审计等可操作建议，并指出签名仅证明来源而非安全性。

微软披露银狐组织仿冒知名软件下载站攻击Windows终端：诱饵ZIP每次下载哈希不同，滥用msiexec执行载荷，创建SYSTEM权限计划任务实现驻留，篡改Defender排除项、删卷影副本并外联C2及尝试SMB横向移动，波及国内医疗、制造、政企等多行业；建议管控下载来源、开启篡改保护，基于行为链检测并手动清理持久化项。

SilverFox黑客组织部署新型ValleyRAT恶意软件，采用八阶段攻击链，通过DLL侧加载和隐写术隐藏载荷，最终部署内核级Rootkit。该RAT使用Go语言编写，通过WebSocket和QUIC协议通信，具备窃取加密货币和Telegram数据的功能。企业应监控异常命名管道活动、svchost.exe子进程及可疑安装程序，以防范此类复合型威胁。

SilverFoxAPT组织将ValleyRAT升级为八阶段恶意软件链，最终部署内核级rootkit。攻击使用DLL侧加载、ETW/AMSI绕过、PNG隐写术和Donutshellcode等技术。ValleyRAT通过WebSocket和QUIC协议通信，并检查虚拟化环境。rootkit包含65个IOCTL处理器，通过命名管道与RAT通信。防御者应监控MSI安装、可疑进程和内核驱动签名。

火绒安全实验室发现一款伪装为音乐播放器的银狐木马，利用合法签名的TrueSight驱动终止安全软件进程，通过注册表、计划任务和PowerShell脚本建立持久化，最终部署远控后门thumbs!Edge连接C2服务器8.218.106.149:7000，具备下载执行、键盘记录等56条指令。火绒产品已可拦截查杀。

2026年HVV期间境外与境内攻击频发，SilverFox组织利用AI钓鱼、伪造发票及毒简历等方式窃取数据，多起案例显示内网渗透与数据泄露风险加剧。建议部署邮件安全网关、强化身份验证、实施零信任架构，并开展常态化钓鱼演练与应急响应演练以提升整体防御能力。

CERT/CC于2026年7月23日披露Logto身份认证平台存在六个漏洞，允许攻击者通过未验证邮箱劫持账户、绕过MFA及重放SAML断言。厂商SilverhandInc.未响应协调，目前无补丁。建议管理员避免本地账户与联合登录使用相同邮箱、停止使用socialSAML连接器、在上游IdP强制启用MFA并监控日志。

银狐SilverFox升级ValleyRat远控木马，针对日本制造企业发起定向攻击。攻击链包括发票钓鱼邮件、白软件DLL劫持、三套内核驱动BYOVD提权、内存注入和双层自愈持久化架构。该攻击能绕过杀毒软件，手动删除后自动复活。建议企业建立行为告警规则、驱动准入管控、邮件防护和员工培训，并一次性清理进程、看门狗脚本、注册表和定时任务四层载体。

ValleyRAT后门借签名广告软件QNWallpaper分发，利用DLL侧加载规避检测，关闭Defender并持久化。攻击利用用户对签名的信任，安全软件排除列表成关键环节。文章提供终端排查、排除列表审计等可操作建议，并指出签名仅证明来源而非安全性。

微软披露银狐组织仿冒知名软件下载站攻击Windows终端：诱饵ZIP每次下载哈希不同，滥用msiexec执行载荷，创建SYSTEM权限计划任务实现驻留，篡改Defender排除项、删卷影副本并外联C2及尝试SMB横向移动，波及国内医疗、制造、政企等多行业；建议管控下载来源、开启篡改保护，基于行为链检测并手动清理持久化项。

SilverFox黑客组织部署新型ValleyRAT恶意软件，采用八阶段攻击链，通过DLL侧加载和隐写术隐藏载荷，最终部署内核级Rootkit。该RAT使用Go语言编写，通过WebSocket和QUIC协议通信，具备窃取加密货币和Telegram数据的功能。企业应监控异常命名管道活动、svchost.exe子进程及可疑安装程序，以防范此类复合型威胁。

SilverFoxAPT组织将ValleyRAT升级为八阶段恶意软件链，最终部署内核级rootkit。攻击使用DLL侧加载、ETW/AMSI绕过、PNG隐写术和Donutshellcode等技术。ValleyRAT通过WebSocket和QUIC协议通信，并检查虚拟化环境。rootkit包含65个IOCTL处理器，通过命名管道与RAT通信。防御者应监控MSI安装、可疑进程和内核驱动签名。

火绒安全实验室发现一款伪装为音乐播放器的银狐木马，利用合法签名的TrueSight驱动终止安全软件进程，通过注册表、计划任务和PowerShell脚本建立持久化，最终部署远控后门thumbs!Edge连接C2服务器8.218.106.149:7000，具备下载执行、键盘记录等56条指令。火绒产品已可拦截查杀。