银狐木马滥用系统安全机制的新变种与防护思路

一、背景：从“免杀对抗”到“利用系统机制反制安全软件”

近期观测到的一类银狐木马变种，其显著特征不再是单纯追求静态免杀或动态混淆，而是开始系统性地利用操作系统自身的安全机制来削弱甚至“反杀”终端防护能力。这种趋势意味着传统基于特征码和单一行为规则的防护策略面临更大挑战。

从攻击视角看，终端安全软件通常运行在较高权限层级，并依赖系统提供的完整性、策略控制、驱动加载校验等机制来维持可信状态。一旦攻击者能够合法或半合法地操纵这些机制，就可以在不直接结束安全进程的情况下，让防护组件失效、被策略禁用，或无法正常联网更新。

本文讨论的银狐变种在短时间内经历了多次更新，其核心思路包括：

• 滥用受保护进程机制，影响系统关键防护文件的完整性；
• 通过系统级代码完整性策略写入应用黑名单，阻止安全程序启动；
• 组合使用白加黑、动态解密、反射加载、线程池注入等方式降低被检测概率；
• 配合防火墙策略篡改、BYOVD等手段破坏杀软与EDR能力；
• 最终阶段运行远控恶意代码，完成持久化与数据回传。

这一攻击链不再只是“绕过”，而是主动让安全系统“自我削弱”，因此值得安全团队重点关注。

---

二、样本投递与传播路径

2.1 钓鱼邮件与虚假发票页面

该批样本的初始投递具有明显的定向特征。攻击者仿冒电子发票平台，向目标用户发送“开票成功”类钓鱼邮件。邮件正文通常不附带真实附件，而是诱导用户点击“查看或下载电子发票”链接。

点击链接后会跳转至钓鱼页面。该页面结构较为简单，但视觉上具备一定迷惑性，可能由自动化工具或AI辅助生成。页面上通常会提供与发票、税务报告等业务相关的文件下载入口。

2.2 域名解析与早期页面

对相关钓鱼域名进行解析后发现，其早期页面更简陋，主要承担样本分发任务。随着攻击活动推进，页面逐步完善，并增加了语言差异化内容。例如，除中文页面外，还出现了面向印度区域的印地语页面和样本文件名，如“करचालान रिपोर्ट.rar”（税务发票报告）。这说明攻击者可能在尝试扩大目标区域，或对多语言场景进行测试。

2.3 伪造软件官网分发

除发票钓鱼外，同一批样本还通过仿冒常用软件官网的方式传播。用户访问伪造站点后，会被引导下载压缩包或安装程序。此类文件通常使用白加黑结构，即一个合法签名程序加一个恶意DLL，使得简单的人工检查难以判断风险。

---

三、核心机制：利用系统安全策略“反杀”防护软件

3.1 PPL滥用与防护文件完整性破坏

受保护进程机制原本用于保护系统关键进程及其关联文件的完整性，防止普通高权限进程对它们进行篡改或注入。该机制通过设置进程保护级别和签名策略，限制其他进程的打开、写入、调试等操作。

攻击者在公开技术资料后，很快将其用于实际攻击中。具体表现为：通过合法或非法获得的高权限，将目标安全产品进程或其启动文件置于受保护策略影响范围之外，或利用保护级别冲突，使安全产品在启动时发现自身文件被标记为“受保护但无法验证”，从而拒绝加载核心组件。

在部分样本中，攻击者尝试覆盖Windows Defender相关启动文件，使其无法正常运行。这种攻击不依赖直接结束进程或删除文件，而是让防护组件在系统重启后无法恢复完整状态。即使管理员尝试修复，若未清理策略配置，问题也可能反复出现。

3.2 CIP策略写入黑名单

代码完整性策略是系统底层用于限制可执行文件加载的机制。管理员可以通过策略文件定义哪些应用允许运行，哪些被禁止。正常使用场景下，该策略可用于企业环境中的应用白名单管理。

攻击者发现，若能够向指定路径写入策略文件，或在系统策略中注入“拒绝规则”，就可以在系统启动早期阻止安全软件运行。由于策略通过底层机制生效，普通用户态进程和部分安全软件难以直接修改或绕过。

这种方式的隐蔽性在于：

• 策略文件通常位于系统目录或受保护区域；
• 策略一旦生效，即使安全软件重新安装，也可能仍被禁止启动；
• 不留下明显的进程或文件痕迹；
• 需要管理员权限和系统策略知识才能排查。

3.3 从“终止进程”到“让系统阻止进程”

传统对抗杀软的手段包括结束进程、停止服务、删除文件、修改注册表等。这些操作容易触发安全产品的自我保护机制。而利用PPL和CIP的“反杀”思路则有本质不同：攻击者并不直接攻击安全软件，而是修改系统对安全软件的信任关系。

结果就是，安全软件无法启动并非因为被攻击，而是因为操作系统认为它“不允许启动”。这使得事件响应过程中，调查人员容易将问题误判为系统策略配置错误或软件兼容性问题。

---

四、加载与执行链：多阶段、多冗余对抗

4.1 白加黑与反射加载

样本普遍采用白加黑结构，即使用带有合法数字签名的程序加载恶意DLL。这种结构的优势在于：

• 合法签名可以降低文件信誉风险；
• 恶意逻辑隐藏在DLL中，静态扫描较难覆盖；
• 进程名、路径等表象信息与正常软件一致。

加载后的恶意DLL不会立即释放完整载荷，而是使用动态解密和反射加载技术，将核心代码在内存中展开，避免落盘。这增加了基于文件系统的检测难度。

4.2 线程池注入与执行流隐藏

在执行远控前，攻击者使用线程池注入等方式将恶意逻辑注入系统进程或常驻进程。这样即使最初的加载进程被结束，恶意逻辑仍可通过其他进程继续运行。

线程池注入相比经典注入方式更隐蔽，因为它利用系统已有线程执行任务，而不是创建明显的远程线程。部分检测系统对远程线程创建较为敏感，但对线程池任务的监控能力有限。

4.3 防火墙篡改与BYOVD

样本中还存在篡改防火墙配置的行为，目的是阻断安全软件与云端更新、查杀服务之间的通信。此类篡改可能通过命令行工具、WMI或直接修改策略完成。

BYOVD指攻击者携带存在漏洞的合法驱动，利用其内核级读写能力关闭或破坏安全软件。此变种所使用的驱动组件经历过更新。早期样本使用自写驱动，后续更换为某反恶意软件产品的历史漏洞驱动，并通过改名降低识别概率。

4.4 冗余对抗策略

值得注意的是，该批样本堆叠了大量对抗技术，部分技术甚至存在冗余。例如，在已经使用系统策略破坏防护软件的情况下，仍保留动态解密、反射加载、注入、驱动破坏等手段。这种设计可能为了应对不同终端环境，也可能旨在增加分析成本。

对于防守方而言，单一行为检测很难覆盖全部阶段，但反过来，攻击链越长，暴露的观测点就越多。关键是从“进程树、策略变化、驱动加载、网络行为”等多维度进行关联分析。

---

五、针对此类威胁的检测思路

针对滥用系统安全机制的攻击，建议从以下几个方面加强检测和响应。

5.1 关注策略变更与系统完整性状态

重点监控以下事件：

• 系统代码完整性策略文件被新增或修改；
• 受保护进程配置发生变化；
• 安全软件启动失败且原因与“策略、完整性”有关；
• 系统中出现不明来源的驱动文件。

例如，可以记录并分析如下命令行行为：

出现对系统策略目录的写入操作；
出现对保护级别相关配置的修改；
出现带有陌生签发者或不常见文件名的驱动注册；
出现对安全软件关键文件的覆盖或权限继承异常。

以上行为不应孤立判断，而应与时间窗口、来源进程和账号上下文结合分析。

5.2 建立进程链与启动链可见性

完整记录进程创建、模块加载、线程创建、文件写入等行为。针对白加黑样本，不仅关注原始进程，还要关注其加载的DLL及后续注入目标。

可重点关注：

• 可信签名程序加载无签名或低信誉DLL；
• 常见办公软件路径出现异常模块；
• 进程存在动态解密、内存分配和高比例可执行内存区域；
• 出现跨进程写入或线程池任务投递行为。

5.3 网络层检测与失陷指标

样本最终会连接远控服务器。网络层检测可以关注：

• 非业务进程产生域名解析和长连接；
• 与发票、税务业务无关的境外连接；
• 通信内容使用非标准协议或加密通道；
• 安全软件被阻断联网后，出现替代性外联进程。

若分析环境支持沙箱，可让样本在隔离环境中运行，记录其在未接入生产网络时的网络行为。

5.4 终端与云沙箱组合检测

终端侧适合发现策略变更、启动失败、驱动加载等系统级行为；云沙箱则适合对邮件附件、链接下载文件进行自动执行分析，提前识别多阶段样本。两者结合可显著降低此类威胁进入生产环境的概率。

在实际运营中，还可针对邮件投递特征建立规则，例如：

• 主题中包含“发票”“税务”“报告”等关键词；
• 正文附带的下载链接并非官方域名；
• 链接页面结构简单、下载文件为压缩包且内含可执行文件。

---

六、总结

银狐木马的这一波更新表明，攻击者已经不再满足于简单的免杀对抗，而是尝试利用系统安全机制本身来削弱终端防护。从PPL滥用到CIP黑名单策略，从白加黑加载到BYOVD驱动破坏，攻击链呈现出高对抗、多冗余、分区域分语言传播的特点。

对防守方而言，单纯依赖静态查杀或单个行为告警已难以应对。更有效的思路是构建分层检测体系，围绕策略变更、进程链、驱动加载、网络通信和投递源头进行关联分析。同时，邮件侧、终端侧与沙箱侧的联动可以显著缩短从“投递”到“发现”的时间窗口。

本文仅基于公开可观测的攻击行为进行技术拆解，不讨论具体安全厂商能力对比。后续出现新的变种或策略滥用方式时，仍建议从系统机制层面持续跟踪，而不是仅限于样本特征更新。